linux——网络情报收集(总结篇.干货+实战)
这里附上一篇 2cto.com上的干货,自己根据这些干货整理了一些实用工具 http://m.2cto.com/article/201309/245214.html
从攻击者的角度出发的几个简单步骤:
1、确定自己的目标,目标可以是一个网络,web应用程序,组织或个人。在我们的世界中,寻找信息也被称为踩点
2、各种不同目标上的有利收集技术:
a、互联网
有效数据:
公司的归档数据
公司网站(网页)
在应用程序中使用的隐私政策
应用程序中使用的安全策略
客户信息
推荐/评论
精确的位置细节
员工信息(位置、联系方式,感兴趣的领域,等等)。
检查网页的源代码的注释也能获取有效信息
命令介绍:whois 【DNS】
----------------------------------------------------------------------------------------------------------------------------------------------------------------------
利用数据获取授权:
黑客/攻击者使用此信息作为用户名,以获得任何授权的网络,路由器等,黑客可以使用下面列出电话号码,物理地址的任何员工以下来源:
www.phonenumbers.com
www.411.com
www.yellowpages.com
一个电话号码,你也可以利用社会工程学技术。其他信息可从这些网站如:
www.ussearch.com
www.zabasearch.com
www.pipl.com
利用信息寻找薄弱环节:
该工具是一个情报收集Maltego工具。
(3)选择参数:
-a 搜寻所有数据库
-c 找到最小的包含一个 mnt-irt 属性的匹配
-d 同时返回 DNS 反向查询的代理对象(需支持RPSL协议)
-F 快速输出原始数据
-H 隐藏法律声明内容
-i ATTR 进行一次反向查询
-l 将精确度降低一级的查询 (需支持RPSL协议)
-L 找到所有低精确度匹配
-m 找到第一级较高精确度匹配
-M 找到所有较高精确度匹配
-r 查询联系信息时关闭递归查询
-R 显示本地域名对象副本
-x 精确匹配
-h[主机] 连接到指定 HOST 服务器
-p[端口] 连接到指定 PORT 端口
-t[类型] 查询指定类型对象头信息
-T[类型] 查找指定类型的对象
-v[类型] 查询指定类型对象冗余信息
-q [版本|类型] 查询特定的服务器信息(需支持RPSL协议)
b、windows利用
这些复杂的路由器的ACL(访问控制列表)。如果已启用,则不能做tracerouting从客户端和其他常见的测试。在这种情况下,人们仍然可以通过发送数据包的端口53,DNS数据。因此我们的命令是一个路由跟踪如下:
traceroute –p 53 resources.infosecinstitute.com --通过53端口、DNS发送数据包,从复杂的路由器ACL访问控制列表中获得路由跟踪信息。
troueroute信息解读:记录按序列号从1开始,每个纪录就是一跳 ,每跳表示一个网关,我们看到每行有三个时间,单位是 ms,其实就是-q的默认参数。探测数据包向每个网关发送三个数据包后,网关响应后返回的时间;如果您用 traceroute -q 4 www.58.com ,表示向每个网关发送4个数据包。
有时我们traceroute 一台主机时,会看到有一些行是以星号表示的。出现这样的情况,可能是防火墙封掉了ICMP的返回信息,所以我们得不到什么相关的数据包返回数据。
有时我们在某一网关处延时比较长,有可能是某台网关比较阻塞,也可能是物理设备本身的原因。当然如果某台DNS出现问题时,不能解析主机名、域名时,也会 有延时长的现象;您可以加-n 参数来避免DNS解析,以IP格式输出数据。
如果在局域网中的不同网段之间,我们可以通过traceroute 来排查问题所在,是主机的问题还是网关的问题。如果我们通过远程来访问某台服务器遇到问题时,我们用到traceroute 追踪数据包所经过的网关,提交IDC服务商,也有助于解决问题;但目前看来在国内解决这样的问题是比较困难的,就是我们发现问题所在,IDC服务商也不可能帮助我们解决。
DNS=>IP,但是 IP !=>DNS,所以配置DNS安全显得极为重要
检查出Tracerouting的另一个重要的事情要询问DNS枚举。这是最重要的一部分,网络情报搜集。一般来说,这种使用DNS主机名映射到IP地址,反之亦然。必须配置DNS安全,否则有人能得到每一个位的信息完整的组织通过区域信息。区域传送是最常见的和潜在的弱点在于错误配置的服务器。这可以披露目标的有价值的信息。
如果服务器存在此漏洞,它允许一个第二服务器更新本身从主服务器。这就是为什么攻击者只执行辅助服务器上的区域传输。这就是为什么攻击者只有执行区转移辅助服务器上。因此,许多服务器给所有区域的信息。
命令介绍:
挖掘DNS服务器的有效信息:dig infosecinstitute.com
转移区域以及DNS枚举(在DNS服务器配置安全的情况下):dnsenum dnsmap
总结一下其他的工具:如cain 、ettercap、brupsuit工具的基本介绍
都是对局域网经过的流量进行监听,通过获取数据包,进行解析。
cain:配置->开始嗅探监听->扫描局域网内的地址->选择监听的目标主机->从中间进行arp的欺骗-》当目标主机有流量经过时,就能获取到数据包。
ettercap:先进行伪基站的配置->cd /etc —->开启监听——>选择局域网内的目标主机——>当目标主机访问指定的网站时,流量就会经过预先经过的网站——>修改封包,指定某个运行的网页——>欺骗成功!!
brupsuit:原理与上面两种类似,唯一不同的是,要设置代理服务器,是流量经过代理服务器,通过代理服务器去劫持封包获取,通过修改封包数据,转发实现欺骗。