渗透测试信息收集阶段的技术实践与体系构建

1 信息收集的核心价值与分类体系

信息收集是渗透测试的“侦察兵”阶段，其质量直接决定后续攻击链的构建效率。根据交互特征可分为：

被动信息收集：通过公开渠道获取目标信息且不与目标系统直接交互

主动信息收集：向目标系统发送探测数据包并分析响应特征

混合信息收集：结合被动获取的元数据与主动验证的实时信息

2 被动信息收集技术栈与实践

2.1 域名与IP情报收集

WHOIS查询：获取域名注册商、联系人、DNS服务器等关键信息

证书透明度日志：通过crt.sh等平台发现子域名及关联资产

历史DNS记录：使用SecurityTrails等工具追溯DNS变迁轨迹

示例实践：

# 使用Amass进行被动子域名枚举
amass enum -passive -d target.com

2.2 网络空间测绘引擎

Shodan：识别开放端口、服务指纹、地理定位

Censys：获取SSL证书详情、协议配置信息

ZoomEye：补充特定区域的网络资产数据

关键价值：发现暴露在公网的数据库、管理后台、IoT设备等非预期资产

2.3 源代码与元数据挖掘

GitHub监控：敏感信息（API密钥、数据库连接串）、内部架构文档

WayBackMachine：历史网页内容、已下线功能的接口文档

JS文件分析：提取隐藏接口、测试环境地址、第三方依赖

3 主动信息收集的技术实现

3.1 网络层探测

ICMP探测：使用nmap -PE进行主机发现

TCP SYN扫描：半开放扫描减少日志记录（nmap -sS）

UDP端口扫描：针对DNS、SNMP、DHCP等关键服务

自适应策略：根据网络延迟动态调整超时参数

3.2 服务指纹识别

版本检测：nmap -sV确定服务类型及版本号

操作系统识别：TTL值、TCP窗口大小、ICMP响应分析

负载均衡检测：基于TTL偏差、HTTP头差异识别多节点架构

3.3 Web应用信息收集

目录爆破：使用dirsearch、gobuster发现隐藏路径

子域名枚举：通过字典攻击、证书查询、DNS传输组合探测

技术栈识别：

Wappalyzer分析前端框架

报头信息获取服务器型号

错误页面泄露中间件版本

4 社会工程学信息收集

4.1 组织架构重建

LinkedIn企业页面：技术人员姓名、职位关系

招聘信息：技术栈要求、系统架构描述

会议资料：员工分享的架构图、技术方案

4.2 物理安全情报

地理位置图片：办公室布局、门禁系统类型

无线网络名称：企业命名规则、访客网络策略

垃圾箱挖掘：废弃文档、登录凭证片段

5 自动化信息收集框架

5.1 工具链集成方案

graph LR
A[域名输入] --> B(被动收集模块)
B --> C[子域名列表]
C --> D(主动验证模块)
D --> E[存活主机]
E --> F(深度扫描模块)
F --> G[完整资产画像]

5.2 定制化数据管道

数据去重：基于端口服务组合的智能合并

风险评估：根据服务版本关联CVE数据库

报告生成：按业务单元分类的资产清单

6 防御视角的反侦察策略

测试人员需同步了解防御技术，包括：

DNS监控：检测大规模子域名枚举行为

Honeypot部署：识别主动探测来源

日志聚合：关联分析分布式扫描特征

流量整形：对扫描源实施速率限制

7 合规性边界与道德规范

严格限定测试范围至授权目标

被动收集优先于主动探测

敏感信息（员工个人数据）立即销毁

遵守《网络安全法》对漏洞信息的处理规定

通过系统化的信息收集，测试团队可构建超过80%的攻防演练基础数据，为漏洞验证、横向移动、权限提升等后续阶段提供精准的“作战地图”。

精选文章

持续测试在CI/CD流水线中的落地实践

部署一套完整的 Prometheus+Grafana 智能监控告警系统

Headless模式在自动化测试中的核心价值与实践路径