一个目标站点的渗试信术真实攻击面，往往在信息收集阶段就已经暴露无遗。透测我见过太多渗透测试新手，息收拿到授权后直接打开Burp Suite对着主页一顿狂扫——那是集技撞大运的打法，不是渗试信术干活的样子。真正拉开差距的透测，是息收你在发起第一次请求前，对目标了解多少。集技

信息收集的渗试信术核心不是“多”，而是透测“准”。DNS历史解析记录能告诉你目标换过多少次服务器，息收而每一次更换都可能留下旧IP指向的集技旁站。用dnsdumpster或SecurityTrails拉一遍A记录，渗试信术你可能会发现某个子域名还解析到三年前的透测阿里云主机上——那台机器可能早已无人维护，却依然挂着公司的息收VPN入口。这种资产，就是突破口。

子域名枚举别只依赖爆破字典。用crt.sh查证书透明度日志，往往能翻出测试环境、内部管理后台这类意外惊喜。有一次测试某金融平台，字典爆破一无所获，但证书日志里直接躺着jenkins.staging.bank.com——未授权访问，root权限，内网横向的起点。证书比你想象的更诚实。

端口扫描要讲究策略，别一上来就全端口。先扫常见端口判断操作系统和服务类型，再用nmap -sV --version-intensity 7精准识别版本。但真正的重点在于：版本号不等于漏洞，你得把版本信息对应到公开的CVE库和实际业务场景里。比如开放了22端口且版本是OpenSSH 7.2，理论上存在CVE-2016-6210用户枚举风险，但实际利用需要看目标是否开了密码登录——这种判断，光靠扫描器输出是远远不够的。

前端源码里藏着大量线索。JS文件中的API路径、硬编码的accessKey、注释掉的调试接口，这些都是开发者留下的“礼物”。用LinkFinder或干脆手动翻Sources面板，把每个请求URL和参数记下来。更别忽略robots.txt和sitemap.xml，它们有时候比后台权限还好用——直接告诉你哪些目录被搜索引擎屏蔽了，那些地方往往就是管理入口。

Google Hacking仍然是利器，但得用活。别只搜site:example.com inurl:admin这种老套路，试试site:example.com ext:sql找数据库备份，site:example.com "password" filetype:xlsx碰碰运气。GitHub上搜目标域名或公司名，经常能翻到员工上传的配置文件——有一次我就是靠一个公开仓库里的.env文件，直接拿到了云数据库的读写权限。

WAF识别要动手验证。发送恶意payload看返回码和响应头，X-Security-WAF这类自定义头会暴露防护厂商。但WAF绕过不是信息收集的终点——你得知道目标背后是CDN还是源站直连。用shodan搜SSL证书的哈希值，经常能绕过CDN找到真实IP。测一个电商站时，CDN后面藏着台192.168.x.x的内网IP，直接访问竟然能打通，原来他们把数据库端口暴露在公网了。

收集到的所有信息最终要画成一张资产地图。域名、IP段、端口、服务、目录、账号、技术栈，每个节点间的关联关系比单点数据重要得多。比如发现目标用了Shiro框架，那就得重点找rememberMe的加密key；用了FastJSON，就要去测反序列化链。技术栈决定了攻击路径，而信息收集就是确认这些路径存在的过程。

别指望一次性收集完所有信息。渗透测试是动态的——你从后台找到一条新接口，那接口指向另一个子域名，那个子域名又开着新的端口。循环往复，直到整个攻击面清晰到可以画成一张树状图。到那时，你手里握着的已经不是一个URL，而是这个目标在网络世界的完整骨架。剩下的，只是找一根合适的骨头敲下去而已。