作者：Lucky Dream（admin@lucky-dream.cn）

信息搜集思路以及方法论

前言

在渗透测试之前，获得对于的授权后，甲方Dad通常会将需要渗透测试的靶标详细罗列出来，这个时候我们就需要对给出的靶标信息（域名/公司名称/ip）进行信息搜集，而好的信息搜集能力可以极大的拓宽我们的攻击面，提高我们出成果的概率

常见的信息搜集分为俩类，本文将进行一些信息搜集思路的介绍以及一些常见信息搜集工具的使用

一.收集域名信息

域名通常都是渗透的起点，扩展攻击面也往往是从公司主域名开始，对主域名进行挖掘其下的子域名和关联资产可以有效拓宽我们的攻击面

1.子域名爆破

这是最经典的攻击面拓展手段，主要有俩种，一种是字典爆破，另外一种则是工具集成查询

原理

原理就是通过枚举常见的域名前缀（如 www, mail, oa, test, dev），组合成完整的子域名（如 mail.target.com），然后向DNS服务器发起解析请求。若能成功解析出IP地址，则证明该子域名存在。

常用工具

Layer子域名挖掘机：Windows下图形化工具，速度快，适合新手。

OneForAll：Python编写，功能极度强大。不仅支持字典爆破，还集成了数十种API接口（如 Virustotal、AlienVault、Shodan、Fofa等）和证书透明度查询，是目前最推荐的子域名收集工具之一。

Kali内置工具：
dnsenum：综合型工具，支持字典爆破、Google搜索、Whois反查、网段扫描。

dnsrecon：功能类似，支持多种DNS记录查询和爆破模式。

fierce：会先尝试区域传输漏洞（AXFR），失败后转为字典爆破。

字典的质量决定爆破结果的上限，针对不同行业可以考虑准备不同的专用字典

Ps（关于泛解析的干扰处理）

泛解析的开启，会导致任何随机前缀的返回ip，导致爆破结果充满大量虚假的子域名干扰后续进程

解决办法就是下对几个绝对不存在的随机前缀做解析，记录泛解析返回的ip和响应特征，然后剔除

2.ICP备案查询

通过ICP备案可以查一个公司主体名下的所有注册域名，从法律方面搜集相关信息

同时通过这种手法可以顺带挖掘企业子公司投资公司以及股东还有资产信息，可以挖掘一些旗下的资产获取旁站，拓宽一些攻击面

供应链攻击面：

通过天眼查/企查查挖掘目标公司的“对外投资”和“供应商”，这些关联企业的安全水平往往低于目标主体，但可能拥有与目标主体网络互通的VPN或专线权限。

小程序/公众号备案：

微信/支付宝小程序的备案主体信息，常能带出传统ICP备案查询不到的内部开发用域名或测试域名。

APP版权信息：

在应用商店查看APP的“开发者”栏，拨打客服电话或访问开发者网站，可能直接关联到母公司未备案的其他主体。

常用网站

国家企业信用信息公示系统			www.gsxt.gov.cn
	官方备案：股东、注册资本、变更记录、行政处罚 
	
天眼查
	www.tianyancha.com
	股权穿透、对外投资、实际控制人、司法风险
	
企查查
	www.qcc.com
	类似天眼查，知识产权、招投标、舆情

爱企查
	aiqicha.baidu.com
	百度旗下，商标、专利、著作权较全

3.SSL证书查询（证书透明度）

Certificate Transparency 是所有CA（证书颁发机构）公开的证书日志。当一个域名申请HTTPS证书时，其域名会被记录，且此记录不可篡改。

因为这个特性，我们就可以查到很多已经下线或者没有DNS解析记录但是历史上申请过证书的子域名，甚至还有同一个服务器上面绑定的非同组织的域名

但是缺点是，可能历史ip记录过多，需要排查筛选很多废弃的域名

常见网站

crtsh[https://crt.sh/]
censys[https://censys.io/certificates]
spyse[https://spyse.com/search/certificate]
certspotter[https://sslmate.com/certspotter/api/]

拓展思路：

证书序列号反查：

在 crt.sh 中找到一个域名的证书序列号（十六进制），将其转换为十进制后，在Fofa中使用 cert="序列号十进制" 语法，可以直接查到绑定了同一证书的IP地址，这些IP极有可能就是源站。

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19

作者：Lucky Dream（admin@lucky-dream.cn）

DC-1域渗透

环境都用nat链接ping通即可

一.信息搜集

a.探测目标主机的ip地址

先看一下本机的ip地址

ifconfig

拿到ip后扫描网段

nmap -sn 192.168.162.0/24

nmap常用参数

-sS：TCP SYN扫描（只检测端口状态）

-sV：版本检测（检测端口状态+服务版本）

-A：全面扫描（包含版本检测+OS检测+脚本扫描）

-p- 是扫描全部端口0~65535

b.探测主机开放端口

依旧使用nmap

nmap -sV -p- 192.168.162.129

扫到几个端口

靶机开的几个服务，一个ssh一个http的web服务，还有俩个都是用来提供远程过程调用的服务

44141是NFS服务的一个自服务端口

111就相当于接线员，如果有客户想访问服务器某个RPC服务时，不知道端口号可以先访问111，在渗透中虽然他不常作为直接入口，但是可以配合rpcinfo -p来枚举服务器开的RPC服务，题外话题外话

接下来我们访问这个web服务

c.网页信息

发现是一个drupal服务，第一反应是sql注入，但是sqlmap检测后没发现什么可利用点

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19

作者：Lucky Dream（admin@lucky-dream.cn）

DC-3

环境都用nat链接ping通即可

一.信息搜集

a.探测目标主机的ip地址

先看一下本机的ip地址

ifconfig

拿到ip后扫描网段

nmap -sn 192.168.162.0/24

nmap常用参数

-sS：TCP SYN扫描（只检测端口状态）

-sV：版本检测（检测端口状态+服务版本）

-A：全面扫描（包含版本检测+OS检测+脚本扫描）

-p- 是扫描全部端口0~65535

b.探测主机开放端口

依旧使用nmap

nmap -sV -p- 192.168.162.131

扫到一个端口，那也没招，去看看吧

接下来我们访问这个web服务

http://192.168.162.131:80

c.网页信息

发现一个登录框，试了一下弱密码，没进去

然后就用whatweb进行一下web指纹识别，看看有没有存在历史漏洞

whatweb 192.168.162.131

几个信息

其中joomla是PHP常见的一个cms框架，等会可以去查看一下版本号找找历史漏洞，而且kali也有相关工具，等会试一下，我们先继续完成初步的信息搜集

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19

作者：Lucky Dream（admin@lucky-dream.cn）

DC-2渗透

前言.靶场搭建

同样的放在一个网段就行，依旧是nat

一.信息搜集

a.探测目标主机的ip地址

ifconfig

攻击机的ip为

192.168.162.128

然后扫描这个网段

nmap -sn 192.168.162.0/24

常用参数

-sS：TCP SYN扫描（只检测端口状态）

-sV：版本检测（检测端口状态+服务版本）

-A：全面扫描（包含版本检测+OS检测+脚本扫描）

-p- 是扫描全部端口0~65535

靶机IP为

192.168.162.130

b.探测端口

nmap -sV -p- 192.168.162.130

发现了一个80和一个7744端口

7744开放的是shh，是个非标准端口，我们去看看这个web服务是啥用的

但是发现连不上，非常奇怪，全面扫一下看看

nmap -A -p- 192.168.162.130

Did not follow redirect to http://dc-2/

未遵循重定向到http://dc-2/

发现是web服务会重定向到dc-2的域名，我们需要手动改本地的dns将域名解析指向靶机ip

echo "192.168.162.130 dc-2" | sudo tee -a /etc/hosts

顺利进入

发现页面有一个flag1

Flag 1:

Your usual wordlists probably won’t work, so instead, maybe you just need to be cewl.

More passwords is always better, but sometimes you just can’t win them all.

Log in as one to see the next flag.

If you can’t find it, log in as another.

翻译一下，发现他应该是让我们使用cewl工具生成字典而不是用kali自带的通用字典来暴力破解

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19

作者：Lucky Dream（admin@lucky-dream.cn）

DC-1域渗透

环境都用nat链接ping通即可

一.信息搜集

a.探测目标主机的ip地址

先看一下本机的ip地址

ifconfig

拿到ip后扫描网段

nmap -sn 192.168.162.0/24

nmap常用参数

-sS：TCP SYN扫描（只检测端口状态）

-sV：版本检测（检测端口状态+服务版本）

-A：全面扫描（包含版本检测+OS检测+脚本扫描）

-p- 是扫描全部端口0~65535

b.探测主机开放端口

依旧使用nmap

nmap -sV -p- 192.168.162.129

扫到几个端口

靶机开的几个服务，一个ssh一个http的web服务，还有俩个都是用来提供远程过程调用的服务

44141是NFS服务的一个自服务端口

111就相当于接线员，如果有客户想访问服务器某个RPC服务时，不知道端口号可以先访问111，在渗透中虽然他不常作为直接入口，但是可以配合rpcinfo -p来枚举服务器开的RPC服务，题外话题外话

接下来我们访问这个web服务

c.网页信息

发现是一个drupal服务，第一反应是sql注入，但是sqlmap检测后没发现什么可利用点

本文2026-07-19首发于Lucky_Dog的秘密小屋，最后修改于2026-07-19