web安全的信息信息收集

一次真实渗透测试里，八成的收集时间花在翻公开资料上，真正敲漏洞的信息窗口往往只有两小时。这话不夸张，收集信息收集就是信息web安全的命门——你连目标用了几层CDN、源站IP藏在哪个角落都不知道，收集拿什么去谈攻击路径？信息

先从最笨但最有效的开始：DNS历史记录。你以为目标换了新服务器就万事大吉？收集SecurityTrails上翻一翻，三年前的信息A记录可能还指向一台没打补丁的旧主机。我有次测试某金融平台，收集当前域名解析到云WAF后面，信息硬是收集顺着历史记录找到一台暴露的测试服务器，上面跑着全套开发环境。信息这不算什么高深技巧，收集纯粹是信息耐心活。

接着是子域名枚举。别只盯着主站，admin.xxx.com、api.xxx.com、dev.xxx.com才藏着惊喜。用subfinder跑一遍常规字典，再用amass做暴力枚举，交叉比对证书透明度日志——crt.sh上能直接搜到所有为该域名签发的SSL证书，里面经常泄露未公开的子域。某次我光靠crt.sh就找到个“内部工资查询系统”，登录页连验证码都没有。

端口扫描要讲究策略。nmap全端口跑一遍可能花二十分钟，但你先用masscan快速扫出开放端口，再对高价值端口做精细探测。记住，80和443只是开胃菜，8080、8443、9200（Elasticsearch）、6379（Redis）这些才是主菜。有个电商站，主站防护固若金汤，结果9200端口裸奔着ES数据库，几万条用户订单直接可读。

指纹识别别迷信工具。Wappalyzer能告诉你用了什么框架，但版本号得自己确认。比如看到nginx版本号1.14.0，直接去查CVE-2019-9511，HTTP/2请求走私漏洞就能用上。还有个小技巧——看响应头的Server字段是否被修改过。真实环境里，很多运维会删掉版本号，但忘了改X-Powered-By，泄露了PHP 5.6.40，一个已停止安全维护的老古董。

重点聊聊Google hacking，这活儿现在被低估了。site:target.com filetype:sql，或者inurl:admin intitle:login，语法老套但有效。更骚的是用“target.com + 员工姓名 + 简历”去搜，能扒出内部技术栈信息。某次我搜到目标公司CTO在技术博客晒的架构图，连内网IP段都标得清清楚楚。

最后说下Git信息泄露。现在开发都习惯把代码推到GitHub，但总有人忘了加.gitignore。搜索“target.com password”这种关键词，或者用GitHacker工具自动扒公开仓库的.git目录。我见过最离谱的案例：某P2P平台把数据库备份文件直接传到了Git LFS上，里面全是用户身份证照片。

别急着动手，信息收集的终点是画一张攻击面地图。把所有域名、IP段、端口、指纹、泄露的凭证整理成表格，标出哪些是核心资产、哪些是边缘系统。边缘系统往往防护薄弱，但可能和核心系统在同一个内网段——那就成了突破口。记住，信息收集不是流水线作业，而是像侦探一样拼图。你挖到的每个细节，都可能改变整场攻防的走向。