一次真实的网络网络渗透，前期收集的渗透收集收集信息直接决定了后续攻击路径的成败。去年某金融公司委托测试，信息息我们仅凭公开的网络LinkedIn员工列表和GitHub代码仓库，就拼出了内网拓扑——这比任何扫描器都管用。渗透收集收集

技术层面，信息息信息收集分两大块：被动和主动。网络被动收集不碰目标系统，渗透收集收集像搜索引擎缓存、信息息DNS记录、网络证书透明度日志（crt.sh）、渗透收集收集甚至社交媒体的信息息照片EXIF。举个例子，网络某次渗透中，渗透收集收集我从目标公司官网的信息息“团队风采”照片里提取了门禁卡编号的反射倒影，配合默认密码规则直接进了物理办公区。主动收集就粗暴些——端口扫描、目录爆破、指纹识别，但别迷信nmap全端口结果，真正有价值的是服务版本和banner，比如SSH版本过老往往意味着未打补丁。

人员信息比技术信息更致命。HR邮箱在招聘网站的职位描述会泄露OA系统名称，技术博客的报错截图可能带内网IP。更绝的是，用猎头身份给目标运维发虚假高薪职位邮件，附件里藏个宏文档，回传的Net-NTLM hash直接用于中继攻击——这招在红队行动里屡试不爽。别忽略离职员工的语雀、Notion文档，权限回收漏洞常让过期凭证成为突破口。

基础设施信息要抓“关联性”。目标公司可能用阿里云，但CDN回源IP暴露在某个老旧的子域名解析里。利用Shodan搜索SSL证书的序列号，能找出同一机构购买的其他证书——这些域名往往没做隔离。有次我通过目标子域名的favicon.ico哈希值，在FOFA上反查到十几个影子资产，其中一个测试环境直接弱口令进后台。

供应链也是个坑。目标用的第三方支付插件版本过旧，直接搜公开CVE就能打。更隐蔽的是，他们合作的物流公司官网有个上传点，路径穿越能读到目标服务器的配置文件——这就是“隔山打牛”的逻辑。别忘了检查目标在开源社区留下的痕迹：Stack Overflow提问片段、NPM包作者邮箱，都可能关联到个人GitHub，而那里常有公司内网VPN的配置样例。

最后说点实在的。别把精力耗在批量扫目录上，优先收集邮箱格式（比如名字.姓氏@域名），这能用来构造钓鱼链接。域名注册信息里的隐私保护虽然隐藏了电话，但WHOIS历史记录常暴露旧地址——社工库一查，密码习惯就出来了。真正的信息收集高手，往往用80%时间盯着人的行为模式，而不是机器漏洞。