1 信息收集的核心价值与分类体系
信息收集是渗透测试的“侦察兵”阶段，其质量直接决定后续攻击链的构建效率。根据交互特征可分为：
被动信息收集：通过公开渠道获取目标信息且不与目标系统直接交互
主动信息收集：向目标系统发送探测数据包并分析响应特征
混合信息收集：结合被动获取的元数据与主动验证的实时信息
2 被动信息收集技术栈与实践
2.1 域名与IP情报收集
WHOIS查询：获取域名注册商、联系人、DNS服务器等关键信息
证书透明度日志：通过crt.sh等平台发现子域名及关联资产
历史DNS记录：使用SecurityTrails等工具追溯DNS变迁轨迹
示例实践：
# 使用Amass进行被动子域名枚举
amass enum -passive -d target.com
2.2 网络空间测绘引擎
Shodan：识别开放端口、服务指纹、地理定位
Censys：获取SSL证书详情、协议配置信息
ZoomEye：补充特定区域的网络资产数据
关键价值：发现暴露在公网的数据库、管理后台、IoT设备等非预期资产
2.3 源代码与元数据挖掘
GitHub监控：敏感信息（API密钥、数据库连接串）、内部架构文档
WayBackMachine：历史网页内容、已下线功能的接口文档
JS文件分析：提取隐藏接口、测试环境地址、第三方依赖
3 主动信息收集的技术实现
3.1 网络层探测
ICMP探测：使用nmap -PE进行主机发现
TCP SYN扫描：半开放扫描减少日志记录（nmap -sS）
UDP端口扫描：针对DNS、SNMP、DHCP等关键服务
自适应策略：根据网络延迟动态调整超时参数
3.2 服务指纹识别
版本检测：nmap -sV确定服务类型及版本号
操作系统识别：TTL值、TCP窗口大小、ICMP响应分析
负载均衡检测：基于TTL偏差、HTTP头差异识别多节点架构
3.3 Web应用信息收集
目录爆破：使用dirsearch、gobuster发现隐藏路径
子域名枚举：通过字典攻击、证书查询、DNS传输组合探测
技术栈识别：
Wappalyzer分析前端框架
报头信息获取服务器型号
错误页面泄露中间件版本
4 社会工程学信息收集
4.1 组织架构重建
LinkedIn企业页面：技术人员姓名、职位关系
招聘信息：技术栈要求、系统架构描述
会议资料：员工分享的架构图、技术方案
4.2 物理安全情报
地理位置图片：办公室布局、门禁系统类型
无线网络名称：企业命名规则、访客网络策略
垃圾箱挖掘：废弃文档、登录凭证片段
5 自动化信息收集框架
5.1 工具链集成方案
graph LR
A[域名输入] --> B(被动收集模块)
B --> C[子域名列表]
C --> D(主动验证模块)
D --> E[存活主机]
E --> F(深度扫描模块)
F --> G[完整资产画像]
5.2 定制化数据管道
数据去重：基于端口服务组合的智能合并
风险评估：根据服务版本关联CVE数据库
报告生成：按业务单元分类的资产清单
6 防御视角的反侦察策略
测试人员需同步了解防御技术，包括：
DNS监控：检测大规模子域名枚举行为
Honeypot部署：识别主动探测来源
日志聚合：关联分析分布式扫描特征
流量整形：对扫描源实施速率限制
7 合规性边界与道德规范
严格限定测试范围至授权目标
被动收集优先于主动探测
敏感信息（员工个人数据）立即销毁
遵守《网络安全法》对漏洞信息的处理规定
通过系统化的信息收集，测试团队可构建超过80%的攻防演练基础数据，为漏洞验证、横向移动、权限提升等后续阶段提供精准的“作战地图”。
精选文章
持续测试在CI/CD流水线中的落地实践
部署一套完整的 Prometheus+Grafana 智能监控告警系统
Headless模式在自动化测试中的核心价值与实践路径