谈谈攻防当中资产收集自动化

• 前言

参与了多次攻防演练后，每当看到其他队伍攻陷了我们未能拿下的目标时，我总会疑惑他们是否使用了 0day。明明这些资产我都进行过查看，可为何他们却能攻破呢？随着参与次数的增多，好奇心愈发强烈，在演练结束后，我便会询问他们的攻击方法。最终得出一个并非十分准确的结论：大约 70%的情况是由于自己前期信息收集不全面，而 30%则是凭借大佬们的手法（如 WAF 绕过、代审 0day、社工钓鱼、近源攻击等）。不过，总体而言，大部分问题还是源于自身前期信息收集工作做得不够到位。

• 常规信息收集手法

攻防当中，经常会面对大量的企业或单位资产。此时，我们通常会借助搜索引擎如 FoFa、鹰图和 Quake 来进行信息收集。然而，目前市面上公开的工具中，没有一个能够批量将所有单位或企业资产全部导出。往往我们需要通过鹰图的“icp.name==‘某公司’”，或者 360 Quake 的“icp_keywords:'某公司'”等等方式进行搜索。可以发现，对于一个公司的信息收集，往往需要借助多个搜索引擎和多种搜索语法。

• 工具编写

我开始尝试自行编写工具。在资产处理方面主要分为以下几个步骤：

• 第一步：借助备案平台和搜索引擎平台（如鹰图、Quake）收集主域名。之所以借助搜索引擎，是因为存在一些主域名在备案平台上无法找到。
• 第二步：将收集到的主域名通过 FoFa、鹰图、Quake 全部提取出来并进行去重处理，其中包括域名以及域名对应的 IP。
• 第三步：处理 IP。在 IP 处理上，我分为两方面：第一部分是通过搜索引擎收集到的 IP；第二部分是通过 nslookup 收集的 IP。之所以使用 nslookup 而不是 ping，是因为如果名称和源域名不符，基本上这个 IP 就可以丢弃了，一般来说，这种情况要么是CDN要么是防DDoS.如下图所示。    
• 第四步：在处理 IP 时，此处拿到的 IP 有两个来源，一个是搜索引擎，另一个是 nslookup。然而，即便如此，仍然会存在许多垃圾 IP。此前，朋友提供了一个思路，即扫描 1 至 10 端口，判断其开放情况，若开放，则大概率是防火墙或者 CDN。不过，我尝试后发现，在很多情况下，这种方法会把真正的资产 IP 过滤掉。最后，我选择借助 FoFa 搜索引擎，搜索当前 IP 下的资产数量，以此来去除垃圾 IP（垃圾 IP 在搜索引擎中的资产一般很多）。
• 第五步：关于快速的资产扫描，通常我们收集到的 URL 资产在使用扫描工具时，可能刚扫描几个漏洞利用脚本（POC）就会被封掉 IP，导致后续 POC 无法进行验证。所以在这里，我添加了一个功能，即将容易存在高频漏洞的资产快速扫描一遍，例如 nacos、heapdump、xxl-job 等。这样做的好处是，这种简单的目录扫描不会被拦截，能够更有效地找到可攻击点。

• 工具痛点：

• 鹰图和Quake KEY的使用量需要提前判断，不然资产过多会消耗大量额度。
• 没有一个好的方法去除垃圾IP，只能尽最大程度上收集较全的资产IP。
• 很多容易存在高频漏洞的WEB资产往往出现在二级目录甚至三级目录下，仅能通过burp的被动扫描发现。

原文始发于微信公众号（思极安全实验室）：谈谈攻防当中资产收集自动化