信息收集-渗透测试

# 信息收集

# 目录

[TOC]

# 一、收集DNS信息

## fierce：勘察DNS

使用方法，可以通过字典文件查询下级域名信息`fierce -dns leadsino.com -threads 15`

![image-20200720094413794](/zb_users/upload/2020/07/20200722093044159538144436174.png)
基本扫描

从图可以看出，fierce扫描指定域时，首先得到该域对应的DNS服务器，之后尝试对获取到的DNS服务器进行区域传输，参看服务器中是否存在区域传输漏洞，最后通过默认的字典暴力破解指定域对应的子域。
### 基于HTTP的暴力破解

使用-connect参数可以实现基于HTTP的暴力破解，该参数后面指定了一个包含HTTP头内容的文档。使用-connect参数进行信息收集时，会返回HTTP头的内容。但是由于每次暴力破解时都要进行HTTP连接，并且发送HTTP头内容，所以会很消耗时间。

`fierce -dns 指定的域 -connect 指定头内容的文档`

### 指定搜索列表

使用-search参数指定要搜索的域列表，域列表中指定了属于同一公司的其他域。

`fierce -dns examplecompany.com -search corpcompany, blahcompany`

### 指定DNS服务器

通过-dnsserver参数指定DNS服务器根据IP地址来查找域名，一般与-range参数一起使用，-range参数指定了IP地址范围。

`fierce -range 192.168.1.0-255 -dnsserver 114.114.114.114`

更加详细的参数

| 选项        | 说明                                                         |
| ----------- | ------------------------------------------------------------ |
| -delay      | 不按指定次数执行Look-Up，而是等待                            |
| -dns        | 指定域名                                                     |
| -dnsfile    | 反向查找时使用字典文件                                       |
| -dnsserver  | 反向查找时使用特定的DNS服务器                                |
| -fulloutput | 与网络服务器连接就会输出包括HTTP头信息的所有内容             |
| -nopattern  | 不按搜索模式查找临近主机，查找极易成为垃圾邮件目标的域名时效果显著 |
| -range      | 扫描内部IP范围(与-dnsser选项一起使用)`fierce -range 111.222.222.0-255 -dnsserver baidu.com` |
| -search     | 不输出TTYA(与file选项一同使用时)                             |
| -tcptimeout | 指定超时时间                                                 |
| -threads    | 指定线程数                                                   |
| -wide       | 扫描整个C类来搜索一致的主机                                  |
| -wordlist   | 使用其他wordlist(字典文件)                                   |

## lbd：查看网络均衡负载信息

检查服务器是否使用了均衡负载

lbd www.leadsino.com

![image-20200720095743173](/zb_users/upload/2020/08/20200807163702159678942288684.png)

# 二、查看网络信息

## 主动扫描阶段

### 二层发现arp

基于广播的，只能在内网使用

```shell
###arping
arping 10.10.10.1 -c 1 #arp扫描
arping 10.10.10.1 -d #发现重复的响应，找到arp攻击，两个不同的mac地址有同一个ip

###nmap
nmap -sn 10.10.10.1-254 #arp扫描
nmap -iL addr -sn #用addr列表内的文件进行扫描

###netdiscover
netdiscover -i eth0 -r 1.1.1.0/24#arp扫描
netdiscover -l iplist.txt #用iplist.txt列表内的文件进行扫描
netdiscover -p #被动扫描

#scapy集成环境
form scapy.all  import * #导入包

apt-get install python-gnuplot

scapy #进入
ARP().display()#查看函数下需要设置的子函数
###[ ARP ]### 
  hwtype= 0x1 #硬件类型
  ptype= IPv4 #协议类型
  hwlen= None #头长度
  plen= None  #协议地址长度
  op= who-has #操作，who-has谁有
  hwsrc= 00:0c:29:c2:11:4b  #源mac地址
  psrc= 192.168.40.128      #源地址
  hwdst= 00:00:00:00:00:00  #目标mac
  pdst= 0.0.0.0             #目标ip
###[ ARP ]### 
arp=ARP() #定义函数变量
arp.pdst="192.168.1.1" #定义字函数
st1(arp) #发包
```

### 三层发现ipc/ip icmp

可路由，会被边界防火墙过滤

```shell
traceroute www.baidu.com #路由追踪近端ip，通过ttl值来实现
ping -R www.baidu.com    #路由追踪远端ip

#trarcerout返回的是近端接口地址，ping -R 返回的是远端接口地址

fping 192.168.1.1/24 -c 10 #和ping类似，可以地址段

hping3 1.1.1.1 --icmp -c 2 #可以进行压力测试

#scapy集成环境
scapy #进入
i=IP()    #定义ip包头
p=ICMP()  #定义ping包
ping=(i/p)#组合icmp的ping包
ping[IP].dst="192.168.1.1" #指定目标地址
ping.display()#查看配置
a=sr1(ping) #发包
a.display() #查看回报

sr1(IP(dst="192.168.1.1")/ICMP(). timeout=1) #也可以这样timeout设置超时

```
## NMAP扫描
### 1、基本操作：

```shell
nmap {目标} --exclude {排查目标}
nmap -iL {目标文本文件}
nmap -iR #随机地址
```

显示发出和接收的数据包：`--packet-trace`

跟踪扫描版本的活动:`--packet-trace`

### 3、idle扫描

```shell
nmap -Pn -p- -sI {第三方主机} {目标} #模拟第三方主机进行扫描
```

### 主机发现

#### 1、二层协议

```shell
nmap -sn {目标} #只检测主机
nmap -sn -PR {目标} #ARP协议进行的主机发现
nmap -sn -PE {目标} #ICMP主机发现
nmap -sn -pp {目标} #时间戳请求和应答进行主机发现
nmap -sn -PM {目标} #ICMP地址掩码请求地址掩码发现
```

#### 2、三层协议

##### 2.1、基于TCP协议

```shell
nmap -sn -PS {端口1,端口2..."可选"} {目标} #SYN三层握手发现,默认80端口
nmap -sn -PA {目标} #SYN的ACK扫描，直接发送确认,返回RST表示无法建立，确认主机存活
```

##### 2.1、基于UDP协议

```shell
nmap -sn -PU {目标} #UDP端口关闭时，会发送不可达，确认。
```

##### 2.3、基于SCTP协议

```shell
nmap -sn -PY {目标} #SCTP协议扫描,主机支持的较少
```

##### 2.4、基于TP协议

```shell
nmap -sn -sP -PO {目标} #默认使用ICMP(编1) IGMP(2) IP-IN-IP(4)
nmap -sn -sP -PO 1,2,4 {目标} #指定协议：1,2,4
```

添加随机数据:`--data-length 24 {目标}`

### DNS协议

```shell
nmap -R {目标} #无论主机是否活跃列出域名
nmap -n {目标} #取消域名转换
```

指定DNS服务器：`--dns -servers [DNSserverIP] {目标}`

### 端口扫描

#### 1、基本操作

```shell
nmap -F {目标} #扫描常见的100个端口
nmap --top-ports {目标} #常见10端口扫描
nmap -p * {目标} #扫描全部端口
nmap -p U:{UDP端口号},T{TCP端口号} {目标} #指定端口
nmap -p smtp,http {目标} #指定服务
```

#### 2、TCP扫描

##### 2.1、基本的扫描

```shell
nmap -sS {目标} #TCP的SYN三次握手对端口的扫描(半连) ->默认
nmap -sT {目标} #TCP的STN三次握手(完全连接)
```

##### 2.2、特殊的扫描

基于RFC793规定

```shell
nmap -sF {目标} #对端口发送一个FIN数据包,对于关闭的端口返回：RST标志
nmap -sN {目标} #发送不包含任何标志的数据包,对于关闭的端口返回：RST标志
nmap -sX {目标} #发送含有FIN;URG;PUSH标志的数据包,对于关闭的端口返回：RST标志
```
##### 2.3、TCP端口结果

| 状态码     | 主机的应答                           |
| ---------- | ------------------------------------ |
| open       | 打开的端口                           |
| closed     | 可访问但是没有监听程序               |
| filtered   | 被过滤                               |
| unfiltered | 可访问，但是无法判断是否有程序在监听 |

#### 3、UDP扫描

```shell
nmap -sU {目标} #UDP的全端口扫描
```
##### 3.1、UDP端口结果
| 状态码         | 主机的应答                              |
| -------------- | --------------------------------------- |
| open           | 得到任意的UDP应答                       |
| open\|filtered | 如果目标主机没给应答                    |
| closed         | ICMP端口无法抵达错误(类型3,代码3)       |
| filtered       | ICMP无法抵达错误(类型3,代码1,2,9,10,13) |

### 远程操作系统检测

```shell
nmap -o {目标} #指纹扫描
nmap -A {目标} #完全扫描
nmap -sV -F --fuzzy --osscan-guess {目标} #猜测扫描
```

### 服务发现

```shell
nmap -sV {目标} #服务版本扫描
nmap -sV --allports {目标} #不排除任何端口
nmap -sV --version-intensity {0-9} {目标} #设置扫描强度 
nmap -sR {目标} #RPC扫描多端口联合扫描，执行SunRPC程序NULL命令企图确实是否RPC端口
```

# 三、社工信息收集

上链接，这里有实用的在线社工工具
[渗透师](https://www.shentoushi.top/ "渗透师")
[汉武安全实验室](http://www.hawoo.net/p/SecNavi.html "汉武安全实验室")

[^这里只记录的个人觉得使用的常用的工具，重复工具将不再记录]: