少横1. 信息收集基础概念与价值
信息收集是网络安全评估中最基础也最关键的环节，就像医生问诊时的全面体检。当我们需要评估一个系统的安全状况时，首先要做的就是摸清它的"家底"——有哪些开放的入口（端口）、暴露的资源（目录）以及可交互的接口（API）。这三大要素构成了系统对外暴露的"攻击面"，也是安全防护的第一道防线。
在实际工作中，我经常遇到两类极端情况：一类是开发团队完全不清楚自己系统开放了哪些服务；另一类是运维人员为了图方便，把测试接口、备份目录直接暴露在公网。这两种情况都可能导致严重的安全隐患。通过系统化的信息收集，我们能够：
- 发现未授权访问的敏感数据（如.git目录泄露）
- 识别不必要的服务暴露（如开放了3306数据库端口）
- 检测配置不当的API接口（如未鉴权的管理接口）
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 目录信息收集实战
2.1 常见敏感目录类型
在近十年的安全评估中，我发现以下目录最常出现泄露问题：
- 版本控制目录：
.git/,.svn/等包含完整的源代码历史 - 备份文件：
wwwroot.zip,database.bak等 - 配置文件：
config.ini,.env等含敏感凭证 - 日志文件：
access.log,error.log等可能记录敏感操作 - 管理后台：
/admin/,/wp-login.php等登录入口
2.2 目录扫描工具对比
| 工具 | 特点 | 适用场景 | 使用示例 |
|---|---|---|---|
| Dirsearch | 多线程速度快，支持递归扫描 | 快速全面扫描 | python3 dirsearch.py -u https://target.com -e * |
| 御剑 | 中文界面，内置常见字典 | 国内环境快速扫描 | 图形界面直接输入URL |
| Gobuster | 支持多种模式（DNS/Vhost等） | 需要定制化扫描 | gobuster dir -u https://target.com -w common.txt |
实际经验：在扫描生产环境时务必控制并发数（建议10-20线程），否则可能触发WAF封禁。我曾遇到因扫描频率过高导致IP被封，不得不更换出口IP的情况。
2.3 目录泄露应急案例
去年处理过一个典型的.git泄露案例：
- 通过
https://example.com/.git/HEAD确认泄露 - 使用
git-dumper工具完整下载仓库：bash复制
git-dumper https://example.com/.git/ ./output - 恢复代码历史：
bash复制cd output && git checkout .
最终发现代码中包含数据库凭证，导致整个用户数据库暴露。这个案例告诉我们，即使是一个小小的.git目录，也可能引发雪崩式的数据泄露。
3. 端口扫描技术与实践
3.1 端口扫描原理详解
端口扫描就像检查建筑物的所有门窗是否上锁。TCP协议通过三次握手建立连接的特性，衍生出多种扫描技术：
| 扫描类型 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| TCP全连接 | 完成完整三次握手 | 结果最准确 | 容易被日志记录 |
| SYN扫描 | 只发SYN包，不完成握手 | 隐蔽性较好 | 需要root权限 |
| UDP扫描 | 发送UDP探测包 | 能发现UDP服务 | 结果不可靠 |
3.2 Nmap高级用法
Nmap是端口扫描的瑞士军刀，这些参数组合特别实用：
bash复制# 基础扫描（识别服务版本）
nmap -sV -T4 target.com
# 避开防火墙检测（分片+随机顺序）
nmap -f --scan-delay 500ms -T2 target.com
# 输出所有结果到文件
nmap -oA scan_result -sS -p- target.com
实测发现，-T4速度在大多数网络环境下是最佳平衡点。过高的-T5经常导致丢包，而-T3又太慢。对于云环境，建议加上--max-retries 1避免被云安全产品拦截。
3.3 端口冲突解决方案
当遇到"端口已被占用"错误时（常见于开发环境），我的排查步骤是：
- 查找占用进程（Windows）：
powershell复制netstat -ano | findstr "8080" tasklist | findstr "1234" # 1234是PID - Linux下终止进程：
bash复制lsof -i :8080 kill -9 <PID> - 如果必须使用该端口，可以修改服务配置或通过端口转发解决：
bash复制
socat TCP-LISTEN:8080,fork TCP:localhost:8081
4. API接口信息收集
4.1 API发现方法
现代Web应用的API接口往往隐藏在JavaScript或移动APP中，我常用的挖掘方法包括：
- 流量抓取：
- 浏览器开发者工具（Network面板）
- Burp Suite/Charles抓包
- JS文件分析：
bash复制curl https://target.com/main.js | grep -E "/api/v[0-9]/" - 常见API路径爆破：
code复制
/api/v1/users /graphql /rest/v2/auth
4.2 Swagger接口文档泄露
自动化API文档工具是把双刃剑。曾在一个金融项目中发现：
code复制https://target.com/swagger-ui.html
https://target.com/v2/api-docs
这些未授权访问的Swagger页面完整暴露了所有接口参数和数据结构，甚至包含测试接口。建议生产环境一定要：
- 添加基础认证
- 限制访问IP
- 禁用测试接口
4.3 Postman集合测试
收集到API信息后，用Postman进行系统化测试：
- 导入收集到的API到Postman
- 配置环境变量（如base_url）
- 编写测试脚本检查：
- 未授权访问
- 参数注入
- 速率限制缺失
示例测试脚本片段：
javascript复制pm.test("未授权访问检查", function() {
pm.expect(pm.response.code).to.be.oneOf([401, 403]);
});
5. 综合工具链与自动化
5.1 一体化信息收集框架
对于大型项目，我通常会搭建这样的工作流：
mermaid复制graph TD
A[子域名收集] --> B[端口扫描]
B --> C[Web目录爆破]
C --> D[API端点发现]
D --> E[自动化测试]
具体实现可以用Python脚本串联各种工具：
python复制import subprocess
def run_scan(target):
# 子域名枚举
subprocess.run(["amass", "enum", "-d", target])
# 端口扫描
subprocess.run(["nmap", "-T4", "-oA", "nmap_scan", target])
# 目录扫描
subprocess.run(["gobuster", "dir", "-u", f"https://{target}", "-w", "wordlist.txt"])
5.2 防御对抗技巧
面对越来越智能的防御系统，这些技巧很实用：
- 随机User-Agent：模拟不同浏览器访问
- IP轮换：使用代理池或TOR网络
- 时间随机化：在扫描间隔加入随机延迟
- 分散扫描：将任务拆分成多个小任务在不同时段执行
6. 法律合规与道德边界
必须强调的是，未经授权的扫描可能构成违法行为。在实际工作中：
- 务必取得书面授权
- 控制扫描频率和强度
- 发现漏洞后及时报告
- 不查看或下载敏感数据
我曾协助处理过一起因第三方安全公司过度扫描导致业务中断的事件。事后分析发现，他们的扫描器以每秒上千请求的强度扫描API接口，直接触发了DDoS防护。这提醒我们，即使是安全测试，也需要遵守最小影响原则。