文章总结： 本文是一篇面向SRC（安全响应中心）新手的保姆级信息收集教程。核心观点是信息收集是渗透测试的第一步，旨在全面发现目标企业的互联网资产。文章系统性地介绍了从确定资产边界、企业主体信息、WHOIS、备案信息、子域名、证书透明度、DNS、空间测绘、IP资产、CDN识别到历史DNS与端口服务等十余个维度的收集思路、工具（如Subfinder、crt.sh、FOFA）和网站，并强调了在授权范围内进行测试的重要性。 综合评分： 85 文章分类： 渗透测试,红队,安全工具,实战经验
SRC保姆级教程：一篇学会信息收集
隐雾安全 隐雾安全
隐雾安全
2026年8月18日 12:21 浙江
在小说阅读器读本章
去阅读
很多刚开始挖SRC的同学，遇到的第一个问题都是：
「拿到目标以后，我到底应该从哪里开始？」
打开官网？扫目录？跑扫描器？还是直接拿 Burp 抓包？
其实都可以。
但如果让我来，我做的第一件事情一定是：
「信息收集。」
因为你看到的官网，只是一个企业互联网资产里非常小的一部分。
真正值得关注的东西，往往藏在：
- 子域名
- 历史域名
- APP
- 小程序
- API
- JS 文件
- 开发测试环境
- 云上资产
- 历史系统
- 供应商系统
- 遗留后台
这篇就把SRC中常用的信息收集思路、工具、网站和基础用法整理出来。
建议收藏，需要的时候直接当 Checklist 用。
一、先搞明白：SRC 信息收集到底在收集什么？
假设 SRC 给你的核心目标是：
example.com
不要把它理解成：
我要测试 www.example.com
应该把它理解成：
example.com
│
├── 域名资产
│ ├── www.example.com
│ ├── api.example.com
│ ├── admin.example.com
│ └── ...
├── IP资产
│ ├── 服务器
│ ├── 云主机
│ └── 历史IP
├── Web资产
│ ├── 官网
│ ├── 管理后台
│ ├── API
│ └── 测试环境
├── 移动端资产
│ ├── Android APP
│ ├── iOS APP
│ └── H5
├── 微信生态
│ ├── 小程序
│ ├── 公众号
│ └── H5
└── 关联资产
├── 子公司
├── 品牌
├── 产品
└── 历史业务
所以信息收集真正要解决的是：
❝
「这个企业到底有哪些互联网资产？」
❞
二、第一阶段：确定资产边界
在SRC场景里，不是”搜到的资产都能测”。
第一步应该先阅读 SRC 的测试规则，重点记录：
允许测试的根域名：
允许测试的APP：
允许测试的小程序：
允许测试的IP段：
禁止测试的业务：
禁止测试的漏洞类型：
是否允许自动化扫描：
是否限制请求频率：
建议自己建立一个 scope.txt：
example.com
example.cn
exampleapp.com
后面的所有信息收集，都围绕 Scope 展开。
可参考平台
「1. 补天漏洞响应平台」
地址：https://www.butian.net/
「2. 漏洞盒子」
地址：https://www.vulbox.com/
「3. HackerOne」
地址：https://www.hackerone.com/
「4. Bugcrowd」
地址：https://www.bugcrowd.com/
❝
不同 SRC 的测试范围和规则差异很大，具体以目标 SRC 公布的规则为准。
❞
三、企业主体信息收集
先确认：
- 公司全称
- 曾用名
- 品牌名称
- 子公司
- 控股公司
- 产品名称
- APP 名称
- 公众号
- 小程序
- 官方网站
推荐网站
「1. 企查查」
用途：企业主体、股权、品牌、关联企业
地址：https://www.qcc.com/
「2. 天眼查」
用途：企业关系、产品、投资关系
地址：https://www.tianyancha.com/
「3. 爱企查」
用途：企业工商与关联信息
地址：https://aiqicha.baidu.com/
「4. 国家企业信用信息公示系统」
用途：官方工商主体查询
地址：https://www.gsxt.gov.cn/
这里最重要的并不是看注册资本，而是找：
「企业 → 品牌 → 产品 → 域名之间的关系。」
例如：
公司A
├── 产品A
├── 产品B
├── APP C
├── 子公司D
└── 品牌E
这些关键词都可以成为下一轮资产搜索的入口。
四、WHOIS 信息
WHOIS 可以帮助了解：
- 域名注册时间
- 注册商
- DNS 服务器
- 域名状态
- 部分注册信息
推荐网站
「1. 站长之家 Whois」
地址：https://whois.chinaz.com/
「2. ICANN Lookup」
地址：https://lookup.icann.org/
现在很多域名开启了隐私保护，所以 WHOIS 不一定能直接找到联系人。
但它仍然适合用来确认域名注册时间、注册商、DNS 服务商和域名状态。
五、根域名与备案信息收集
这是很多新手最容易漏掉的一步。
我们通常拿到：
example.com
但一家大型企业可能还有：
example.cn
example.net
examplecloud.com
exampleapp.com
examplegroup.com
甚至不同产品使用完全不同的域名。
常见思路
搜索：
"公司名称" "官网"
"公司名称" "ICP备案"
"品牌名称" "官网"
"产品名称" "官网"
推荐网站
「1. 工信部 ICP/IP」
用途：官方备案查询
地址：https://beian.miit.gov.cn/
地址/域名信息备案管理系统
「2. 企查查」
用途：企业主体、股权、品牌、关联企业
地址：https://www.qcc.com/
「3. 天眼查」
用途：企业关系、产品、投资关系
地址：https://www.tianyancha.com/
「4. 爱企查」
用途：企业工商与关联信息
地址：https://aiqicha.baidu.com/
重点关注：
备案主体
网站名称
域名
APP备案
小程序备案
六、子域名收集
确定根域名之后，就可以开始扩展子域名。
例如：
www.example.com
api.example.com
admin.example.com
oa.example.com
mail.example.com
test.example.com
dev.example.com
open.example.com
推荐工具
「1. Subfinder」
用途：被动子域名收集，速度快
地址：https://github.com/projectdiscovery/subfinder
「2. OneForAll」
用途：多数据源子域名收集
地址：https://github.com/shmilylty/OneForAll
「3. OWASP Amass」
用途：攻击面映射与资产发现
地址：https://github.com/owasp-amass/amass
**4. crt.sh **
用途：证书透明度查询
地址：https://crt.sh/
Subfinder 基础使用
subfinder -d example.com -o domains.txt
得到：
www.example.com
api.example.com
admin.example.com
test.example.com
...
这份 domains.txt 后面可以继续交给 httpx 做存活探测。
七、证书透明度收集
HTTPS 证书也是非常重要的数据来源。
很多企业申请证书时，会把多个子域名写进证书：
*.example.com
www.example.com
api.example.com
passport.example.com
admin.example.com
推荐网站
「crt.sh」
https://crt.sh/
查询时可以搜索：
%.example.com
还可以配合：
「1. Censys」
地址：https://search.censys.io/
「2. Shodan」
地址：https://www.shodan.io/
证书透明度有时能够发现常规子域名工具没有找到的历史资产。
八、DNS 信息收集
对子域名进行整理以后，需要继续查询 DNS。
重点关注：
A
AAAA
CNAME
MX
NS
TXT
本地工具
Windows：
nslookup example.com
Linux/macOS：
dig example.com
在线网站
「1. DNSdumpster」
地址：https://dnsdumpster.com/
「2. DNSChecker」
地址：https://dnschecker.org/
「3. ViewDNS」
地址：https://viewdns.info/
我们主要想搞清楚：
域名
↓
CNAME
↓
CDN / 云服务
↓
最终服务
DNS 信息还能帮助识别邮件服务、CDN、云厂商和第三方 SaaS。
九、空间测绘搜索
空间测绘是 SRC 信息收集中非常重要的一环。
常见平台
「1. FOFA」
地址：https://fofa.info/
「2. Hunter」
地址：https://hunter.qianxin.com/
「3. ZoomEye」
地址：https://www.zoomeye.org/
「4. Shodan」
地址：https://www.shodan.io/
「5. Quake」
地址：https://quake.360.net/quake/
「6. Censys」
地址：https://search.censys.io/
它们可以帮助我们从：
域名
IP
证书
Title
ICON
组件
备案信息
继续扩展资产。
不同平台的查询语法并不完全一致，建议以各平台当前语法文档为准。
十、IP资产收集
域名整理完成以后，可以开始建立：
域名 → IP
映射关系。
例如：
api.example.com 1.1.1.1
oa.example.com 2.2.2.2
mail.example.com 3.3.3.3
推荐工具/网站
「1. nslookup」
地址：Windows 系统自带
「2. dig」
地址：https://www.isc.org/bind/
「3. DNSChecker」
地址：https://dnschecker.org/
「4. ViewDNS」
地址：https://viewdns.info/
建议建立 assets.csv，至少记录：
Domain
IP
Port
Title
Status
Technology
Source
Remark
这样后面不会越来越乱。
十一、CDN识别
拿到 IP 以后，不要马上认为：
❝
这个 IP 就是目标服务器。
❞
很多网站前面都有 CDN、WAF、负载均衡或云加速。
推荐工具/网站
「1. CDNCheck」
地址：https://cdncheck.tools/
「2. DNSChecker」
地址：https://dnschecker.org/
「3. SecurityTrails」
地址：https://securitytrails.com/
「4. ViewDNS」
地址：https://viewdns.info/
可以结合：
DNS解析
CNAME
不同地区DNS结果
历史DNS
证书
空间测绘
综合判断。
十二、历史DNS与历史IP
企业迁移服务器以后可能出现：
新IP → 有CDN/WAF
旧IP → 历史上曾承载业务
常见思路：
域名
↓
历史DNS
↓
历史IP
↓
空间测绘
↓
重新确认资产归属
推荐网站
「1. SecurityTrails」
地址：https://securitytrails.com/
「2. ViewDNS IP History」
地址：https://viewdns.info/iphistory/
「3. VirusTotal」
地址：https://www.virustotal.com/
「4. DNSlytics」
地址：https://dnslytics.com/
❝
**历史关联不等于当前授权。**发现历史 IP 后，应重新确认是否仍属于目标以及是否处于 SRC 授权范围。
❞
十三、端口与服务信息
确认属于授权范围的 IP 后，可以进一步了解暴露服务。
常见 Web 端口：
80
443
8080
8443
8000
8888
推荐工具
「1. Nmap」
地址：https://nmap.org/
「2. Naabu」
地址：https://github.com/projectdiscovery/naabu
「3. Masscan」
地址：https://github.com/robertdavidgraham/masscan
例如，对「明确授权」的目标进行有限端口检查：
naabu -host example.com -p 80,443,8080,8443
或者：
nmap -sV -p 80,443,8080,8443 example.com
SRC 场景尤其需要控制扫描速率、扫描范围和请求数量。
十四、Web存活探测
收集几百个子域名以后，一个一个打开显然不现实。
推荐工具：httpx
GitHub：
https://github.com/projectdiscovery/httpx
基础使用：
httpx -l domains.txt -title -status-code -o live.txt
这样可以得到：
URL
状态码
Title
完整流程：
example.com
↓
Subfinder
↓
domains.txt
↓
httpx
↓
live.txt
十五、Title 收集
Title 是非常容易被低估的信息。
例如：
统一身份认证平台
XX管理后台
订单管理系统
API Documentation
Swagger UI
XX测试平台
XX运营后台
推荐工具
「1. httpx」
地址：https://github.com/projectdiscovery/httpx
「2. WebBatchRequest」
地址：https://github.com/ScriptKid-Beta/WebBatchRequest
httpx 可以直接：
httpx -l domains.txt -title -status-code
建议最终保存：
URL + Status + Title + Technology
十六、Web指纹识别
我们关心：
CMS
框架
中间件
Web Server
编程语言
前端框架
后台系统
开源组件
版本
推荐工具
「1. Wappalyzer」
地址：https://www.wappalyzer.com/
「2. ObserverWard」
地址：https://github.com/0x727/ObserverWard_0x727
「3. EHole」
地址：https://github.com/EdgeSecurityTeam/EHole
「4. TideFinger」
地址：https://github.com/TideSec/TideFinger
例如识别出：
Spring Boot
ThinkPHP
WordPress
Jenkins
Nginx
Apache
Vue
React
后续分析方向就会更清晰。
十七、目录与路径信息
目录扫描的目的不是单纯”跑字典”。
真正值得关注的是：
后台
接口
备份
配置
测试目录
上传目录
Swagger
历史文件
开发目录
常见路径：
/admin/
/api/
/swagger/
/swagger-ui/
/doc/
/docs/
/upload/
/uploads/
/backup/
/test/
/dev/
/static/
推荐工具
「1. dirsearch」
地址：https://github.com/maurosoria/dirsearch
「2. ffuf」
地址：https://github.com/ffuf/ffuf
「3. Gobuster」
地址：https://github.com/OJ/gobuster
例如：
dirsearch -u https://example.com/
❝
目录扫描会产生主动请求。在 SRC 场景下必须确认规则允许，并控制线程和请求频率。
❞
十八、robots.txt
访问：
https://example.com/robots.txt
有时候能够发现：
后台路径
管理目录
接口目录
测试路径
禁止搜索引擎收录的页面
辅助工具
浏览器直接访问即可，也可以使用：
curl https://example.com/robots.txt
curl：
https://curl.se/
十九、sitemap.xml
继续查看：
https://example.com/sitemap.xml
有些站点会把大量业务页面直接放进 sitemap。
可以使用：
curl https://example.com/sitemap.xml
对于大型业务系统来说，它可以帮助快速理解：
网站结构
业务模块
页面路径
二十、JS文件收集
现代 Web 应用大量使用 Vue、React、Angular、Webpack 等技术。
所以 JS 中可能存在：
API
后台地址
内部域名
测试地址
参数名称
接口路径
第三方服务配置
业务模块名称
推荐工具
「1. FindSomething」
地址：https://github.com/momosecurity/FindSomething
「2. JSFinder」
地址：https://github.com/Threezh1/JSFinder
「3. URLFinder」
地址：https://github.com/pingc0y/URLFinder
「4. LinkFinder」
地址：https://github.com/GerbenJavado/LinkFinder
「5. Katana」
地址：https://github.com/projectdiscovery/katana
例如：
katana -u https://example.com -o endpoints.txt
也可以直接串联：
cat live.txt | katana -o endpoints.txt
二十一、JS接口提取
JS 最值得看的东西之一就是：
「API 接口。」
可以重点搜索：
/api/
/admin/
/user/
/login/
/upload/
/download/
/export/
/import/
以及常见代码特征：
axios
fetch(
$.ajax
http.get
http.post
request(
service.get
service.post
推荐工具
「1. FindSomething」
地址：https://github.com/momosecurity/FindSomething
「2. JSFinder」
地址：https://github.com/Threezh1/JSFinder
「3. URLFinder」
地址：https://github.com/pingc0y/URLFinder
「4. LinkFinder」
地址：https://github.com/GerbenJavado/LinkFinder
「5. Katana」
地址：https://github.com/projectdiscovery/katana
最终可以整理成：
api.txt
再进入后续人工接口分析。
二十二、SourceMap 信息
看到：
app.js
chunk.js
vendor.js
的时候，可以留意：
.map
例如：
app.js.map
SourceMap 如果公开，有时能够帮助恢复更完整的前端源码结构。
推荐方式
浏览器开发者工具：
Chrome DevTools → Sources
Chrome DevTools 文档：
https://developer.chrome.com/docs/devtools/
可以重点理解：
目录结构
API封装
路由
组件
接口
业务逻辑
二十三、前端路由
Vue / React 项目里经常存在大量前端路由：
/admin
/user
/order
/system
/manager
/audit
/config
这些路由本身不代表漏洞，但可以帮助快速绘制：
「业务功能地图。」
推荐方式
- Chrome DevTools：https://developer.chrome.com/docs/devtools/
- FindSomething：https://github.com/momosecurity/FindSomething
- Katana：https://github.com/projectdiscovery/katana
二十四、API文档
信息收集时非常值得关注：
Swagger
OpenAPI
Knife4j
API Docs
常见路径：
/swagger-ui.html
/swagger-ui/
/v2/api-docs
/v3/api-docs
/doc.html
相关项目/文档
「1. Swagger」
地址：https://swagger.io/
「2. OpenAPI Initiative」
地址：https://www.openapis.org/
「3. Knife4j」
地址：https://doc.xiaominfo.com/
如果发现 API 文档，重点是理解接口结构、业务模块、参数和认证方式。
是否允许进一步测试，要以 SRC 规则为准。
二十五、GitHub代码搜索
公开代码仓库同样是重要的信息来源。
GitHub：
https://github.com/
GitHub Code Search：
https://github.com/search?type=code
可以搜索：
公司名称
域名
产品名称
公开仓库
重点关注公开代码中出现的：
域名
API地址
历史项目
配置模板
测试环境名称
接口路径
❝
公开仓库中的敏感字符串不能直接认定仍然有效，更不能超出授权范围使用。
❞
二十六、搜索引擎信息收集
搜索引擎本身就是非常强大的信息收集工具。
常用网站
「1. Google」
地址：https://www.google.com/
「2. Bing」
地址：https://www.bing.com/
「3. 百度」
地址：https://www.baidu.com/
常见：
site:example.com
继续组合：
site:example.com inurl:admin
site:example.com inurl:login
site:example.com inurl:test
site:example.com inurl:api
site:example.com intitle:"后台"
site:example.com intitle:"管理"
还可以寻找公开文件：
site:example.com filetype:pdf
site:example.com filetype:doc
site:example.com filetype:xls
重点是发现：
「被搜索引擎收录但常规资产扫描没有发现的页面。」
二十七、历史URL
网站今天没有的页面，不代表以前没有。
可以通过历史公开数据寻找：
旧接口
旧页面
历史目录
废弃业务
旧参数
推荐工具/网站
「1. Wayback Machine」
地址：https://web.archive.org/
「2. gau」
地址：https://github.com/lc/gau
「3. waybackurls」
地址：https://github.com/tomnomnom/waybackurls
历史 URL 最大的价值，是帮助理解：
「这个系统以前长什么样。」
历史页面同样需要重新确认当前资产归属和授权范围。
二十八、APP资产
很多企业的核心业务并不在 Web 官网，而在 APP。
需要收集：
Android APP
iOS APP
历史版本
APP包名
开发者信息
官方网站
隐私政策
关联域名
推荐来源
「1. Apple App Store」
地址：https://www.apple.com/app-store/
「2. 华为应用市场」
地址：https://appgallery.huawei.com/
「3. 小米应用商店」
地址：https://app.mi.com/
「4. 腾讯应用宝」
地址：https://sj.qq.com/
「5. 七麦数据」
地址：https://www.qimai.cn/
还可以从企业官网、隐私政策、备案信息反向确认 APP 与企业主体之间的关系。
二十九、小程序
现在 SRC 信息收集里，小程序越来越重要。
可以从：
微信搜索
企业公众号
官网
品牌名称
产品名称
寻找小程序。
推荐来源
「1. 微信」
地址：https://weixin.qq.com/
「2. 小蓝本」
地址：https://www.xiaolanben.com/
建议整理：
小程序名称
主体
业务功能
关联域名
接口域名
很多时候：
官网
APP
小程序
背后使用的是同一套 API。
三十、公众号
公众号可以帮助我们了解：
产品
活动
H5
小程序
业务入口
历史业务
特别值得关注：
「历史文章里的活动链接。」
推荐来源
「1. 微信」
地址：https://weixin.qq.com/
「2. 搜狗微信搜索」
地址：https://weixin.sogou.com/
有些已经从官网消失的业务，可能仍然能够从历史公众号文章中找到线索。
三十一、邮箱与邮件系统
可以通过公开页面判断企业是否使用：
Exchange
Outlook Web App
企业邮箱
第三方邮件服务
推荐方式
DNS MX 记录：
nslookup -type=mx example.com
在线查询：
- MXToolbox：https://mxtoolbox.com/
- DNSChecker：https://dnschecker.org/
这里主要用于资产识别、技术栈识别和域名关系确认。
不要进行密码喷洒、爆破等超出授权范围的行为。
三十二、云资产识别
现在企业大量业务部署在：
阿里云
腾讯云
华为云
AWS
Azure
Cloudflare
可参考网站
「1. 阿里云」
地址：https://www.aliyun.com/
「2. 腾讯云」
地址：https://cloud.tencent.com/
「3. 华为云」
地址：https://www.huaweicloud.com/
「4. AWS」
地址：https://aws.amazon.com/
「5. Microsoft Azure」
地址：https://azure.microsoft.com/
「6. Cloudflare」
地址：https://www.cloudflare.com/
通过 DNS、CNAME、证书、HTTP Header 和 IP/ASN 归属，可以判断部分云服务关系。
三十三、WAF识别
推荐工具
「1. wafw00f」
地址：https://github.com/EnableSecurity/wafw00f
「2. WhatWaf」
地址：https://github.com/Ekultek/WhatWaf
识别 WAF 的主要意义不是”马上想办法绕”，而是知道：
「目标前面是否存在安全防护。」
这会影响后续测试策略以及请求频率。
三十四、历史漏洞与公开情报
完成技术资产收集以后，还应该看看：
「这个企业、产品或技术栈以前出过什么问题？」
可以搜索：
公司名称 + 漏洞
域名 + 漏洞
产品名称 + CVE
组件名称 + CVE
产品名称 + 安全公告
推荐网站
「1. NVD」
地址：https://nvd.nist.gov/
「2. CVE」
地址：https://www.cve.org/
「3. CNVD」
地址：https://www.cnvd.org.cn/
「4. CNNVD」
地址：https://www.cnnvd.org.cn/
「5. Exploit-DB」
地址：https://www.exploit-db.com/
「6. GitHub Security Advisories」
地址：https://github.com/advisories
目的不是看到 POC 就直接打，而是理解：
「这个系统历史上出现过什么类型的问题。」
三十五、资产去重与清洗
跑完一堆工具以后，最常见的问题就是：
「资产太多。」
所以一定要做：
去重
存活检测
状态码整理
Title整理
IP归并
指纹整理
推荐工具
「1. anew」
用途：去重/追加新结果
地址：https://github.com/tomnomnom/anew
「2. httpx」
用途：存活与信息整理
地址：https://github.com/projectdiscovery/httpx
「3. uro」
用途：URL 清洗
地址：https://github.com/s0md3v/uro
最终不要得到：
10000个乱七八糟的URL
而应该得到：
一批真正值得人工分析的Web资产
三十六、资产分类
建议按照：
高价值资产
普通业务资产
低价值资产
进行分类。
高价值
例如：
统一认证
后台
API
开发平台
测试环境
文件系统
订单系统
用户中心
开放平台
普通业务
例如：
官网
活动页面
内容系统
营销页面
低价值
例如：
纯静态页面
CDN静态资源
第三方托管页面
工具可以帮助你发现资产，但最终的价值判断仍然需要人工完成。
三十七、建立自己的资产表
最后强烈建议每一个 SRC 都建立自己的资产表。
例如：
可以直接使用：
- Excel
- WPS 表格
- CSV
- Notion
- 自己编写资产管理脚本
做到这里以后：
「信息收集才算真正完成第一轮。」
三十八、自动化信息收集平台
如果后面目标越来越多，每次手动运行工具会比较麻烦。
可以使用自动化资产收集平台统一管理。
常见项目
「1. ARL（灯塔）」
地址：https://github.com/TophantTechnology/ARL
「2. ShuiZe」
地址：https://github.com/0x727/ShuiZe_0x727
自动化平台适合：
资产较多
需要周期性更新
多个目标同时管理
希望统一查看子域名/IP/端口/Web资产
但自动化平台同样要严格配置 Scope 和扫描频率。
三十九、漏洞扫描工具
信息收集完成后，可以在「规则明确允许自动化扫描」的情况下，使用漏洞扫描工具进行辅助检测。
常见工具
「1. Nuclei」
地址：https://github.com/projectdiscovery/nuclei
「2. afrog」
地址：https://github.com/zan8in/afrog
「3. Xray」
地址：https://github.com/chaitin/xray
「4. Goby」
地址：https://gobies.org/
例如 Nuclei 可以读取目标列表：
nuclei -l live.txt
❝
自动扫描结果不能直接等同于漏洞。SRC 场景中应先确认平台是否允许自动扫描，并对结果进行人工复核，避免误报和对业务造成影响。
❞
四十、我的 SRC 信息收集流程
如果把上面的内容压缩成一条流程，就是：
的一套最小工具链
看到这里你可能会发现：
「工具真的很多。」
但实际上你不需要全部安装。
新手先把下面这一套跑熟：
工具地址汇总
「1. 子域名」
地址：https://github.com/projectdiscovery/subfinder
「2. 子域名」
地址：https://github.com/shmilylty/OneForAll
「3. 空间测绘」
地址：https://fofa.info/
「4. 空间测绘」
地址：https://hunter.qianxin.com/
「5. 端口」
地址：https://github.com/projectdiscovery/naabu
「6. Web探测」
地址：https://github.com/projectdiscovery/httpx
「7. 指纹」
地址：https://www.wappalyzer.com/
「8. 目录」地址：https://github.com/maurosoria/dirsearch
「9. Web爬取」
地址：https://github.com/projectdiscovery/katana
「10. JS接口」
地址：https://github.com/Threezh1/JSFinder
「11. JS接口」
地址：https://github.com/pingc0y/URLFinder
「12. 抓包分析」
地址：https://portswigger.net/burp
真正重要的从来不是：
❝
装了多少工具。
❞
而是：
❝
「能不能把一个目标的资产关系理清楚。」
❞
四十二、可以串起来的一套基础工作流
工具真正有价值的地方，不是一个一个单独运行，而是把结果串起来。
例如：
第一步：子域名
subfinder -d example.com -o domains.txt
第二步：Web存活
httpx -l domains.txt -title -status-code -o live.txt
第三步：Web爬取
katana -list live.txt -o endpoints.txt
于是：
example.com
↓
Subfinder
↓
domains.txt
↓
httpx
↓
live.txt
↓
Katana
↓
endpoints.txt
↓
人工整理 API / JS / 业务路径
如果目标规则允许端口探测，也可以增加：
domains.txt
↓
Naabu
↓
开放端口
↓
httpx
这才是一套真正可以重复使用的信息收集流程。
四十三、信息收集真正的终点
很多新手觉得：
收集到1000个子域名 = 信息收集做得好
其实不是。
真正有效的信息收集应该最终回答：
- 这个企业有哪些业务？
- 哪些域名属于它？
- 哪些系统值得优先看？
- 哪些是后台？
- 哪些是 API？
- 哪些是测试环境？
- APP 和 Web 是否共用接口？
- 小程序调用哪些域名？
- 哪些系统使用同一套技术栈？
- 哪些资产可能被大家忽略？
当这些问题逐渐清楚以后：
你面对的就不再是一堆 URL。
而是一张：
企业互联网资产地图
这时候，才真正进入漏洞挖掘阶段。
❝
工具项目可能随时间更新、迁移或停止维护，实际使用前建议查看对应项目的 README、Release 和官方文档。
❞
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：隐雾安全 隐雾安全 隐雾安全《SRC保姆级教程：一篇学会信息收集》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论