5 分钟了解蓝队如何搜索网络情报

网络情报搜集是指围绕攻击目标系统的网络架构、IT 资产、敏感信息、组织管理与供应商等方面进行的情报搜集。网情搜集是为蓝队攻击的具体实施做情报准备，是蓝队攻击工作的基础，目的在于帮助蓝队在攻击过程中快速定位薄弱点和采取正确的攻击路径，并为后两个阶段的工作提供针对性的建议，从而提高蓝队攻击工作效率和渗透成功率。

一、网情搜集的内容

网情搜集的内容主要包括目标系统的组织架构、IT 资产、敏感信息、供应商信息等方面：

• 组织架构包括单位部门划分、人员信息、工作职能、下属单位等；

• IT 资产包括域名、IP、C 段、开放端口、运行服务、Web 中间件、Web 应用、移动应用、网络架构等；

• 敏感信息包括代码信息、文档信息、邮箱信息、历史漏洞信息等；

• 供应商信息包括合同、系统、软件、硬件、代码、服务、人员等的相关信息。

二、网情搜集的途径

专业网站

通过专业网络信息网站搜集目标的 IP 范围、域名、互联网侧开放服务端口、设备指纹与网络管理等相关信息。

1）Shodan是互联网上著名的搜索引擎，百度百科里这样描述：“Shodan 可以说是一款‘黑暗’谷歌，一刻不停地在寻找着所有和互联网关联的服务器、摄像头、打印机、路由器等。”Shodan 爬取的是互联网上所有设备的 IP 地址及其端口号，其官网提供了强大的搜索功能，可通过 IP、域名、设备进行条件搜索，获取大量有价值的网络信息。

2）Censys也是一款用以搜索联网设备信息的新型搜索引擎，其功能与 Shodan 十分相似。与 Shodan 相比，其优势在于它是一款由谷歌提供支持的免费搜索引擎。Censys 搜索引擎能够扫描整个互联网，蓝队常将它作为前期侦查攻击目标、搜集目标信息的利器。

3）ZoomEye中文名字“钟馗之眼”，是国内一款类似于 Shodan 的搜索引擎。ZoomEye 官网提供了两部分数据资源搜索：网站组件指纹，包括操作系统、Web 服务、服务端语言、Web 开发框架、Web 应用、前端库及第三方组件等；终端设备指纹，主要对 NMAP 大规模扫描结果进行整合。

4）FOFA（网络空间资产检索系统）也是一款网络设备搜索引擎，号称拥有更全的全球联网 IT 设备的 DNA 信息，数据覆盖更完整。通过其官网可搜索全球互联网的资产信息，进行资产及漏洞影响范围分析、应用分布统计、应用流行度态势感知等。

5）APNIC提供全球性的支持互联网操作的分派和注册服务。通过其官网可对公共 APNIC Whois 数据库进行查询，获取目标网络 IP 地址、域名网络服务提供商、国家互联网登记等相关信息。

6）CNNIC负责国家网络基础资源的相关信息维护管理，可提供 Whois 相关查询服务。

7）凌风云是国内专业团队在大数据、云计算的基础上精心研发的新一代互联网平台，具备专业的免费资源垂直搜索引擎功能，可搜索百度网盘、新浪微盘、天翼云盘、腾讯微盘等多个网盘中公开分享的资源，支持关键词检索和大量数据库查询。

8）CNVD国家信息安全漏洞共享平台，是国家计算机网络应急技术处理协调中心联合建立的信息安全漏洞信息共享知识库。建立 CNVD 的主要目标即与国家政府部门、重要信息系统用户、运营商、主要安全厂商、软件厂商、科研机构、公共互联网用户等共同建立软件安全漏洞统一收集验证、预警发布及应急处置体系，切实提升我国在安全漏洞方面的整体研究水平和及时预防能力，进而提高我国信息系统及国产软件的安全性，带动国内相关安全产品的发展。

目标官网

目标官网经常会发布一些有关网络建设的新闻消息，这些信息也是蓝队在进行网情搜集时需要的重要信息。在官网上可主要围绕目标组织管理架构、网络建设情况进行信息搜集，可通过关注目标网络建设招标情况、网络项目介绍、设备供应商合作等搜集有价值的信息。

社会工程

社会工程学手段主要从目标系统内部人员入手，通过拉拢、收买等手段间接获取目标系统相关的情况信息来开展网情搜集，常用的手段主要有熟人打听、买通内部人员、与客服沟通来套取和打探等。

扫描探测

扫描探测主要是借助扫描工具，对目标网络设备指纹、系统版本、平台架构、开放服务端口进行扫描，以发掘可能存在的漏洞信息。扫描探测主要完成以下几方面的信息搜集。

• 地址扫描探测：主要利用 ARP、ICMP 请求目标 IP 或网段，通过回应消息获取目标网段中存活机器的 IP 地址和 MAC 地址，进而掌握拓扑结构。

• 端口扫描探测：端口扫描是扫描行为中用得最多的，可以快速获取目标机器开启端口和服务的情况。

• 设备指纹探测：根据扫描返回的数据包匹配 TCP/IP 协议栈指纹来识别不同的操作系统和设备。

• 漏洞扫描：通过扫描等手段对指定的远程或本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞。漏洞扫描可细分为网络漏扫、主机漏扫、数据库漏扫等不同种类。