【网络安全】网络资产收集

网络资产是什么？

网络资产主要是计算机（或通讯）网络中使用的各种设备。主要包括主机、网络设备（路由器、交换机等）和安全设备（防火墙等）。

起源

网络资产一词源于美国信息科技先驱罗伯特·梅特卡夫发明的以太网络。1973年，罗伯特·梅特卡夫发明了一种信息连接的标准，使不同距离的电脑可以相互连通，这种网络当时叫以太网（即现在的万维网）。在使用这种网络时，客户必须购买网络卡。网络所有者要想从网络使用中获得更多的收益，网络卡的使用规模必须达到一定数量，即网络的价值取决于网络连接服务器的数量及网络用户的数量。其暗含的原理是：网络使用成本与网络卡使用的数量相关；或者说，网络的价值与网络用户数量的平方成正比。这种基于网络用户使用数量的网络效应，称为网络资产。

我们如何收集呢？

当我们拿到需要测试的站点后，需要通过以下多种方式尽可能多的收集网络资产信息。

利用插件

Google插件Wappalyzer

这里我们用站长之家作为测试网站

我们可以看到这个插件安装后服务器、web框架、js库等信息就被显示了出来，这就是我们这个插件的使用方法。通过这个插件我们能可以了解到网站的版本从而找到一些版本漏洞进行验证。

利用网站

查找ip

1.ip查询查ip 网站ip查询同ip网站查询 iP反查域名 iP查域名同ip域名

2.What's that site running? | Netcraft

绕过cdn查询ip

c段查询

1.同IP网站查询,C段查询,IP反查域名,C段旁注,旁注工具

子域名查询

在线子域名查询

whois查询

站长工具 - 站长之家

fofa网站信息收集

语法：

title="beijing"

从标题中搜索“北京”

header="elastic"

从http头中搜索“elastic”

body="网络空间测绘"

从html正文中搜索“网络空间测绘”

fid="sSXXGNUO2FefBTcCLIT/2Q=="

查找相同的网站指纹

搜索网站类型资产

domain="qq.com"

搜索根域名带有qq.com的网站。

icp="京ICP证030173号"

查找备案号为“京ICP证030173号”的网站

搜索网站类型资产

js_name="js/jquery.js"

查找网站正文中包含js/jquery.js的资产

搜索网站类型资产

js_md5="82ac3f14327a8b7ba49baa208d4eaa15"

查找js源码与之匹配的资产

cname="ap21.inst.siteforce.com"

查找cname为"ap21.inst.siteforce.com"的网站

cname_domain="siteforce.com"

查找cname包含“siteforce.com”的网站

icon_hash="-247388890"

搜索使用此 icon 的资产

仅限FOFA高级会员使用

host=".gov.cn"

从url中搜索”.gov.cn”

搜索要用host作为名称

port="6379"

查找对应“6379”端口的资产

ip="1.1.1.1"

从ip中搜索包含“1.1.1.1”的网站

搜索要用ip作为名称

ip="220.181.111.1/24"

查询IP为“220.181.111.1”的C网段资产

status_code="402"

查询服务器状态为“402”的资产

查询网站类型数据

protocol="quic"

查询quic协议资产

搜索指定协议类型(在开启端口扫描的情况下有效)

country="CN"

搜索指定国家(编码)的资产。

region="Xinjiang"

搜索指定行政区的资产。

city="Ürümqi"

搜索指定城市的资产。

cert="baidu"

搜索证书(https或者imaps等)中带有baidu的资产。

cert.subject="Oracle Corporation"

搜索证书持有者是Oracle Corporation的资产

cert.issuer="DigiCert"

搜索证书颁发者为DigiCert Inc的资产

cert.is_valid=true

验证证书是否有效，true有效，false无效

仅限FOFA高级会员使用

jarm="2ad...83e81"

搜索JARM指纹

banner="users" && protocol="ftp"

搜索FTP协议中带有users文本的资产。

type="service"

搜索所有协议资产，支持subdomain和service两种

搜索所有协议资产

os="centos"

搜索CentOS资产。

server=="Microsoft-IIS/10"

搜索IIS 10服务器。

app="Microsoft-Exchange"

搜索Microsoft-Exchange设备

after="2017" && before="2017-10-01"

时间范围段搜索

asn="19551"

搜索指定asn的资产。

org="LLC Baxet"

搜索指定org(组织)的资产。

base_protocol="udp"

搜索指定udp协议的资产。

is_fraud=falsenew

排除仿冒/欺诈数据

is_honeypot=false

排除蜜罐数据

仅限FOFA高级会员使用

is_ipv6=true

搜索ipv6的资产

搜索ipv6的资产,只接受true和false。

is_domain=true

搜索域名的资产

搜索域名的资产,只接受true和false。

port_size="6"

查询开放端口数量等于"6"的资产

仅限FOFA会员使用

port_size_gt="6"

查询开放端口数量大于"6"的资产

仅限FOFA会员使用

port_size_lt="12"

查询开放端口数量小于"12"的资产

仅限FOFA会员使用

ip_ports="80,161"

搜索同时开放80和161端口的ip

搜索同时开放80和161端口的ip资产(以ip为单位的资产数据)

ip_country="CN"

搜索中国的ip资产(以ip为单位的资产数据)。

搜索中国的ip资产

ip_region="Zhejiang"

搜索指定行政区的ip资产(以ip为单位的资产数据)。

搜索指定行政区的资产

ip_city="Hangzhou"

搜索指定城市的ip资产(以ip为单位的资产数据)。

搜索指定城市的资产

ip_after="2021-03-18"

搜索2021-03-18以后的ip资产(以ip为单位的资产数据)。

搜索2021-03-18以后的ip资产

ip_before="2019-09-09"

搜索2019-09-09以前的ip资产(以ip为单位的资产数据)。

搜索2019-09-09以前的ip资产

shodan网络信息收集

语法：

port 端口
product 所使用的软件或产品
os 操作系统类型
version：搜索指定的软件版本，例如 version:"1.3.2"
net：搜索指定的IP地址或子网，例如 net:"110.43.140.0/24"
html.title 网页标题
http.html 网页内容
http.server http请求返回中server的类型
http.status http请求返回响应码的状态
hostname 主机类型
http.favicon.hash icon对应hash
vuln CVE漏洞编号，例如：vuln：CVE-2014-0723
country：搜索指定的国家，例如 country:"CN"
city：搜索指定的城市，例如 city:"Beijing"
org：搜索指定的组织或公司，例如 org:"google"
isp：搜索指定的ISP供应商，例如 isp:"China Telecom"