技术分享｜涉网犯罪信息侦察思路分享

缘起-网络犯罪之兴起

打工是不可能打工的，这辈子都不可能打工的。”这是小偷周某被抓时说的经典大话，引起热议。如今，周某早已经出狱，发现一切都变了，人们都不带钱了。这辈子都不可能打工的周某 ，也只有回家种田创业了。

当然上面的例子只是我们茶余饭后的谈资，但是，随着科技的不断发展，网络犯罪这一新型犯罪方式已逐渐替代传统的犯罪方式成我国发案率最高的案件类型。

根据：CNNIC:2023年第52次中国互联网络发展状况报告统计：

从上数据可以看到，目前为止我国的互联网仍然处于一个高水平发展趋势，在这繁荣发展的情况下不免滋生了一些阴暗灰色的地带——网络诈骗仍占据一个比较高比例。其中电信诈骗（比如：杀猪盘、杀鱼盘、杀鸟盘）、网络赌博、金融信贷等为主的案件类型逐渐占据所有涉网犯罪案件的主导地位。这类案件有着发案量大、涉案金额大、技术性强、取证难等一系列复杂问题。

针对涉网犯罪案件，我们的调查人员往往绕不开对庞大的数据进行信息收集与整理，怎么在这些数据面前保持一个高效从容的态度？那需要我们有个明确的思路。下面分享一下作者在此类型案件的思路。

信息收集

这里的信息收集其实指的是一种提前踩点的动作，在这个阶段，我们要尽可能的收集目标的更多信息。所谓“知己知彼，百战不殆”，越是获得更多的信息那后面对于我们对目标的侦察就更加的有利。

那秉着信息收集：思维为主,工具为辅的原则

信息收集架构

涉案web网站

对于涉案web网站的收集，我们可以遵循下面3个要素：

什么是CDN？

在获取真实ip的时候我们往往首先要判断网站是否使用了CDN,那什么是CND呢？

‍‍

可见CND有一个提高网站访问速度以及伪装真实ip的作用，在获取真实ip我们显然不想遇到此类情况，所以我们需要绕开CDN。

如何判断是否存在CDN服务

在判断CDN是否存在，最简单的办法就是多地址ping我们的网站，如何返回不同的ip即可判断使用了CDN。

获取真实IP

获取真实ip的方法可以参照下面一些思路去进行获取。

开放端口探测与敏感服务识别

网站注册信息收集

如果知道目标的域名，首先可以通过whois数据库查询域名的注册信息。Whois数据库提供域名的注册人信息、包括联系方式、管理员名字、管理员邮箱，其中也包括DNS服务器的信息。默认的情况下，kali已经按照了whois数据库，只需要输入查询的域名即可。除了使用kali自带的whois工具也可以使用在线的一些网站。

Web指纹收集

子域名收集

在信息收集的过程中，有时候主域名收集的结果可能不尽人意，此时如果执意进行主域名的收集往往可能事倍功半，调整思路。从子域名入手，可能会有意想不到的收获，如：一些管理页面，一些敏感信息页面，一些暴露真实IP的页面等等。

敏感信息收集

巧用搜索引擎，Google是世界上最强的搜索引擎之一，除了日常的信息检索，它可能是一款绝佳的信息收集工具。我们可以通过构造特殊的关键字语法来搜索互联网上的相关敏感信息。

如检索某一网站的后台，可使用语法：site：xxx.om intext: 后台管理

其他收集

网站信息与组织架构整理

涉案apk信息收集

原文始发于微信公众号（网络安全与取证研究）：技术分享｜涉网犯罪信息侦察思路分享