DNS 域名信息查询
域名信息是任何渗透测试中的核心组成部分，它不仅仅涉及子域名，还包括整个互联网上的相关信息。因此，我们会收集相关信息，试图了解公司的功能特点，以及为成功高效地提供服务所必需的技术和结构。
这类信息是通过被动方式获取的，无需进行直接或主动的扫描。换句话说，我们始终保持隐蔽状态，以“客户”或“访客”的身份进行活动，以避免与公司产生直接联系，从而不会暴露自己的身份。与 OSINT 相关的部分只是深入 OSINT 工作过程中的一小部分而已，它们仅描述了获取信息的一些方法。更多关于这方面的方法和策略，可以在“OSINT：企业侦察”模块中找到。
不过，在收集信息的过程中，我们可以借助第三方服务来更好地了解这家公司。不过，首先我们需要仔细研究该公司的 main website 。然后，我们应该仔细阅读相关文档，了解这些服务所需的技术和结构支持。
证书查询
在互联网上，第一个可识别的标识可能是来自公司主网站的 SSL certificate 。通常，这样的证书不仅仅包含一个子域，这意味着该证书被用于多个域名，而这些域名很可能仍然处于活跃状态。
curl -s https://crt.sh/\?q\=inlanefreight.com\&output\=json | jq .
查询子域名：
curl -s https://crt.sh/\?q\=inlanefreight.com\&output\=json | jq . | grep name | cut -d":" -f2 | grep -v "CN=" | cut -d'"' -f2 | awk '{gsub(/\\n/,"\n");}1;' | sort -u
DNS记录
dig any inlanefreight.com
让我们来看看这里了解到的内容，然后回到我们的原则上来。我们看到了一些 IP 记录、一些邮件服务器、一些 DNS 服务器、TXT 记录，还有 SOA 记录。
A记录：我们通过 A 记录识别出指向特定子域的 IP 地址。在这里，我们只看到了一个已知的 IP 地址。MX记录显示，邮件服务器记录了负责处理公司邮件的服务器信息。在我们的情况下，这一操作是由谷歌来处理的，因此我们可以暂时忽略这一信息。NS记录：这类记录表明了用于将 FQDN 解析为 IP 地址的名称服务器。大多数托管提供商都使用自己的名称服务器，这使得识别托管提供商变得更加容易。TXT记录类型：这种记录通常包含各种第三方提供商的验证密钥，以及 DNS 的其他安全特性，如 SPF、DMARC 和 DKIM 等。这些功能用于验证和确认所发送电子邮件的来源。如果我们仔细查看这些结果，就能发现一些有价值的信息。
空间测绘
Shodan查询
常用语法
city:城市名称 城市的名称 city:"Beijing"
country:国家或者地区代码 国家的简称 country:"CN"
geo:经纬度 经纬度 geo:"46.9481, 7.4474
hostname:主机名 主机名或者域名 hostname:"baidu.com"
ip:IP 地址 IP 地址 ip:"11.11.11.11"
isp:ISP 供应商 ISP 供应商 isp:"China Telecom"
org:组织或者公司 组织或者公司 org:"baidu"
os:操作系统 操作系统 os:"Windows 7 or 8"
port:端口号 端口号 port:80
net:CIDR 格式的 IP 地址 CIDR 格式的 IP 地址 net:"190.30.40.0/24"
version:软件版本号 软件版本 version:"4.4.2"
http.server:服务类型 http 请求返回中 server 的类型 http:server:apache
http.status:请求状态码 http 请求返回响应码的状态 http.status:200
FOFA查询
国内还是FOFA使用的比较多
红队搜索引擎
| 打法 | 原因 |
|---|---|
| 搜业务常见关键词 | 大量影子资产并未在工信部备案，仅靠公司名无法定位，但业务特征无法隐藏 |
| 限定省份和城市 | 政务、学校、国企等机构的服务器物理位置明确，利用region语法能有效过滤全球CDN节点以及云上无关资产 |
找CMS指纹、中间件 | 漏洞利用最终需依赖具体功能点。直接搜索功能入口，绕过指纹识别，直击要害 |
语法查询
搜索业务场景
资产测绘平台搜索关键字
政务 智慧农村、数字乡村、林业管理、招商平台、党建平台、纪检委、统战部、智慧政务、一网通办、
教育 智慧校园、智慧课堂、学习平台、学生管理、入学系统、智慧入学、校园卡、学院系统、学业平台
医疗 智慧医疗、预约平台、健康管理、医保系统、医院管理
交通 智慧交通、交通管控、智慧城市、智慧基建
企业 供应链管理、ERP系统、办公OA、CPM系统、生产管理
通用 管理平台、管理系统、后台管理、运维平台、测试环境、灰度、dev、upload、文件上传
# 地理搜索+业务关键字
region="浙江" && title="智慧农村"
region='广东' && title="智慧校园"
region=‘江苏’ && title="房间平台"
region='上海' && title="入学系统"
# 功能入口
region='四川' && (body="文件上传" ||bdoy="upload") && title="管理"
#搜特定业务系统
region='江苏' && title="林业"
region='山东' && title="招商平台"
region='河北' && body="智慧城市"
搜索暴露面
在高对抗情况下，漏洞扫描直接触发漏洞告警风险极高，更稳健的方式是先利用搜索引擎返现配置错误或暴露的敏感目录
# 搜开放的目录列表
title="index of" && region="浙江" && (body="parent directory" || body="Directory Listing")
# 搜暴力的环境/源码配置文件
body="APP_ENV" && region="广东"
body=".git/Head" && region="北京"
body=".svn/entries" && region="江苏"
# 搜未授权的API文档
title="swagger UI" && region="上海"
body="api-docs"&®ion="江苏"
title="API Gateway" && region "浙江"
# 搜测试/灰度环境(安全防护最薄弱)
title="测试环境" && region="浙江"
title="灰度" && region="广东"
title="dev" && region="北京" && (body="登录"||body="管理")
# 搜备份/临时文件
body="bak"&& region="四川"
body=".sql" && region="湖北"
body=".tar.gz" && region=“湖南”
多源测绘联动
单一平台存在盲点，可以结合多个数据源交叉验证
指纹反查域同源关联
通过识别到的特定指纹，反查互联网上所有使用相同组件的系统，可用于供应链攻击寻找相同类型脆弱目标
# 通过JS文件特征反查
body="assets/js/common.js" && region="浙江"
# 通过特定icon_hash反查
icon_hash="1578525679" && region="广东"
# 通过特定CSS特征反查
body="style.css?v=2.3.1" && region="江苏"
# 通过特定的响应头特征反查
header="X-powered-By:ThinkPHP" && region="山东"