作者：Lucky Dream（admin@lucky-dream.cn）

信息搜集思路以及方法论

前言

在渗透测试之前，获得对于的授权后，甲方Dad通常会将需要渗透测试的靶标详细罗列出来，这个时候我们就需要对给出的靶标信息（域名/公司名称/ip）进行信息搜集，而好的信息搜集能力可以极大的拓宽我们的攻击面，提高我们出成果的概率

常见的信息搜集分为俩类，本文将进行一些信息搜集思路的介绍以及一些常见信息搜集工具的使用

一.收集域名信息

域名通常都是渗透的起点，扩展攻击面也往往是从公司主域名开始，对主域名进行挖掘其下的子域名和关联资产可以有效拓宽我们的攻击面

1.子域名爆破

这是最经典的攻击面拓展手段，主要有俩种，一种是字典爆破，另外一种则是工具集成查询

原理

原理就是通过枚举常见的域名前缀（如 www, mail, oa, test, dev），组合成完整的子域名（如 mail.target.com），然后向DNS服务器发起解析请求。若能成功解析出IP地址，则证明该子域名存在。

常用工具

Layer子域名挖掘机：Windows下图形化工具，速度快，适合新手。

OneForAll：Python编写，功能极度强大。不仅支持字典爆破，还集成了数十种API接口（如 Virustotal、AlienVault、Shodan、Fofa等）和证书透明度查询，是目前最推荐的子域名收集工具之一。

Kali内置工具：
dnsenum：综合型工具，支持字典爆破、Google搜索、Whois反查、网段扫描。

dnsrecon：功能类似，支持多种DNS记录查询和爆破模式。

fierce：会先尝试区域传输漏洞（AXFR），失败后转为字典爆破。

字典的质量决定爆破结果的上限，针对不同行业可以考虑准备不同的专用字典

Ps（关于泛解析的干扰处理）

泛解析的开启，会导致任何随机前缀的返回ip，导致爆破结果充满大量虚假的子域名干扰后续进程

解决办法就是下对几个绝对不存在的随机前缀做解析，记录泛解析返回的ip和响应特征，然后剔除

2.ICP备案查询

通过ICP备案可以查一个公司主体名下的所有注册域名，从法律方面搜集相关信息

同时通过这种手法可以顺带挖掘企业子公司投资公司以及股东还有资产信息，可以挖掘一些旗下的资产获取旁站，拓宽一些攻击面

供应链攻击面：

通过天眼查/企查查挖掘目标公司的“对外投资”和“供应商”，这些关联企业的安全水平往往低于目标主体，但可能拥有与目标主体网络互通的VPN或专线权限。

小程序/公众号备案：

微信/支付宝小程序的备案主体信息，常能带出传统ICP备案查询不到的内部开发用域名或测试域名。

APP版权信息：

在应用商店查看APP的“开发者”栏，拨打客服电话或访问开发者网站，可能直接关联到母公司未备案的其他主体。

常用网站

国家企业信用信息公示系统			www.gsxt.gov.cn
	官方备案：股东、注册资本、变更记录、行政处罚 
	
天眼查
	www.tianyancha.com
	股权穿透、对外投资、实际控制人、司法风险
	
企查查
	www.qcc.com
	类似天眼查，知识产权、招投标、舆情

爱企查
	aiqicha.baidu.com
	百度旗下，商标、专利、著作权较全

3.SSL证书查询（证书透明度）

Certificate Transparency 是所有CA（证书颁发机构）公开的证书日志。当一个域名申请HTTPS证书时，其域名会被记录，且此记录不可篡改。

因为这个特性，我们就可以查到很多已经下线或者没有DNS解析记录但是历史上申请过证书的子域名，甚至还有同一个服务器上面绑定的非同组织的域名

但是缺点是，可能历史ip记录过多，需要排查筛选很多废弃的域名

常见网站

crtsh[https://crt.sh/]
censys[https://censys.io/certificates]
spyse[https://spyse.com/search/certificate]
certspotter[https://sslmate.com/certspotter/api/]

拓展思路：

证书序列号反查：

在 crt.sh 中找到一个域名的证书序列号（十六进制），将其转换为十进制后，在Fofa中使用 cert="序列号十进制" 语法，可以直接查到绑定了同一证书的IP地址，这些IP极有可能就是源站。

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19