企业官网建设流程全解析

🔒法律免责声明：本文全部技术内容仅用于企业授权渗透测试、SRC 漏洞挖掘、网络安全学习研究。未经资产所有者书面授权，禁止对互联网任意域名、IP 执行域名查询、端口扫描、目录爆破等探测行为，未授权网络探测违反网络安全相关法律，全部风险由使用者自行承担。文中案例全部为靶场模拟演示，请勿直接复现于公网业务资产。

摘要
信息收集是渗透测试占比最高的环节，行业普遍认为渗透 70% 时间消耗在信息收集阶段，漏洞往往不是靠爆破碰运气，而是靠高质量情报挖掘出来。很多新手拿到目标直接跑扫描器，忽略前置情报搜集，攻击面严重缺失，很难挖到有效漏洞。

完整信息收集分为：域名资产收集、端口与服务探测、Web 指纹识别、目录与敏感文件挖掘四大核心模块，分为被动 OSINT 收集、主动探测两个层级。被动优先，主动后置，最大限度扩大攻击面，同时降低被 WAF、IDS 告警风险。

本文摒弃教科书式的参数堆砌，从实战视角完整讲解标准化工作流程，工具选型、命令模板、流水线脚本、高频踩坑点，覆盖 SRC 漏洞挖掘、红蓝对抗、企业授权渗透场景。读完本文，你可以搭建一套完整可复用的信息收集流水线，拿到目标之后系统性输出域名列表、开放端口、服务指纹、后台路径、敏感文件清单，为后续漏洞探测打下基础。

前言
什么是信息收集？通俗来讲就是尽可能拿到目标的全部情报：有哪些域名、子域名；对外开放哪些端口；跑了什么 Web 框架、中间件、CMS；存在哪些后台、备份、接口、敏感文件。

被动收集：不向目标服务器发送数据包，只查询互联网公开数据源，没有访问日志，隐蔽性强，优先使用。数据源包含证书透明度、网络测绘、DNS 历史记录、归档网页、WHOIS 信息等。代表工具 Subfinder、FOFA、gau、crt.sh。

主动收集：直接对目标发包探测，端口扫描、DNS 请求、HTTP 访问、目录爆破。会留下访问日志，容易触发安全设备告警，必须拿到授权之后再执行主动探测。代表工具 Nmap、RustScan、httpx、ffuf、dirsearch。

新手常见错误：

1. 拿到主域名直接访问网站首页，只测试主站，忽略海量子域名资产；
2. 不做被动收集，上来直接大规模爆破，IP 被 WAF 封禁；
3. 工具输出原始数据不做清洗，大量过期、泛解析、CDN 噪声干扰；
4. 只扫描 80/443 端口，忽略 8080、8443、9000 等非标准 Web 端口；
5. 目录扫描字典单一，扫不到备份文件、后台管理路径。

实战黄金原则：先被动扩资产，后主动做探测；多数据源交叉验证；所有原始结果必须清洗过滤；形成资产清单之后再进行漏洞扫描。

1. 信息收集整体方法论：被动优先，分层探测

完整工作顺序：

1. 第一层 被动 OSINT：WHOIS、DNS 记录、证书透明度、网络测绘、归档网页。不发包，拿到尽可能多域名、IP 资产；
2. 第二层 资产清洗：去重，过滤泛解析、过期域名，输出待探测资产清单；
3. 第三层 主动探测：端口扫描、存活 HTTP 探测，获取开放端口、服务版本；
4. 第四层 Web 深度探测：指纹识别、爬虫、目录爆破、敏感文件发现；
5. 第五层 交付资产报告：域名列表、IP 端口清单、指纹清单、敏感路径清单，交付给漏洞扫描环节。

不要颠倒顺序，不要跳过被动收集直接扫描。被动收集可以拿到很多主站之外的遗留测试站、废弃子域名，这类资产往往防护最弱，是漏洞高发位置腾讯云。

2. 模块一：域名与子域名资产收集（被动 + 主动）

子域名收集的目标：把攻击面从单一主站，扩大到全部关联资产。很多高危漏洞不在 www 主站，而在dev、test、api、admin、backup这类子域名上。

2.1 WHOIS、DNS 基础信息查询

WHOIS 可以拿到域名注册人、注册邮箱、注册时间、DNS 服务器，属于基础情报。

• 网页工具：站长工具 WHOIS 查询；
• 命令行：whois example.com

DNS 记录查询：A 记录、NS 记录、MX 邮件记录、TXT 记录。

nslookup example.com dig example.com ANY

MX 记录可以拿到企业邮箱后缀，用于社工；NS 记录可以看到企业使用的 DNS 服务商。

2.2 子域名收集工具与完整命令

主流被动子域名枚举工具：Subfinder（首选）、Amass、OneForAll。

Subfinder 实战常用命令：

#基础被动收集，全部数据源，静默输出 subfinder -d example.com -all -silent -o sub_raw.txt #批量多个主域名 subfinder -dL domain_list.txt -all -o batch_sub.txt #递归挖掘二级子域名 a.b.example.com subfinder -d example.com -all -recursive -o recursive.txt #管道直接传给dnsx做DNS解析过滤 subfinder -d example.com -all -silent | dnsx -silent > resolved_sub.txt

Subfinder 只是读取公开数据库，结果大量过期，必须经过 dnsx 做 DNS 解析校验，不能直接作为最终资产。

Amass 适合深度情报，兼顾被动 + 少量主动：

amass intel -d example.com amass enum -passive -d example.com -o amass_sub.txt

2.3 网络测绘 FOFA 补充资产

Subfinder 依赖 DNS 历史记录，部分站点没有 DNS 公开记录，但是曾经被测绘爬虫访问，就可以在 FOFA 找到，用来补齐资产缺口。

核心查询语法：

#查询该域名全部子域名 domain="example.com" #过滤https，排除CDN节点 domain="example.com" && protocol="https" && !server~="cloudflare" #查询公司名下全部资产 icon_hash="xxx" || cert="企业公司名称"

导出 host 列表，和 subfinder 结果合并去重。

2.4 泛解析、旁站、C 段探测实战

1. 泛解析识别处理
   *.example.com泛解析配置：任意随机子域名都会解析到同一个 IP。工具会输出大量垃圾随机域名。
   处理方法：使用 dnsx 批量解析，同一个 IP 出现大量随机子域名，判定为泛解析，过滤该域名。

cat sub_raw.txt | dnsx -silent -o resolved.txt

2. 旁站探测：同一个 IP 上绑定多个虚拟主机站点。FOFA 输入ip="x.x.x.x"，查看该 IP 上全部绑定域名。
3. C 段探测：目标 IP 为192.168.1.100，探测192.168.1.0/24整个网段存活主机。

注意：C 段扫描发包量大，内网渗透常用，公网环境谨慎使用，必须有完整授权。

3. 模块二：端口 & 服务探测，识别开放服务

拿到解析完成的 IP 列表之后，下一步端口扫描，识别对外开放的服务。

很多 Web 业务不跑 80/443，跑在 8080、8443、9000、10086 等端口，只扫描 80/443 会漏掉大量资产。

3.1 端口扫描选型

Masscan 速度极快，公网滥用容易触发运营商风控，公网渗透优先 RustScan、Naabu。

3.2 实战命令模板

Naabu（适合脚本流水线）

#读取IP列表，输出开放端口，静默模式 naabu -iL ip_list.txt -silent -o port_result.txt #扫描完成直接丢给httpx做HTTP探测 naabu -iL ip_list.txt -silent | httpx -silent -sc -title

RustScan 快速全端口扫描

rustscan -a 192.168.1.100 -- -sV

Nmap 深度版本探测，常用参数

#基础版本探测 nmap -sV -Pn 192.168.1.100 -oN nmap_scan.txt #全端口扫描 nmap -sV -Pn -p‑ 192.168.1.100 -oN fullport.txt #输出xml格式，可以导入Goby nmap -sV -Pn 192.168.1.100 -oX result.xml

参数说明：
‑Pn：不做存活探测，部分主机禁 ping，跳过 ping 检测；
‑sV：探测服务版本号，版本号是漏洞查找关键。

3.3 常见高危端口对应风险梳理

扫描拿到端口版本之后，可以直接去搜索该版本已知 CVE 漏洞。

3.4 CDN 场景如何获取真实源站 IP

很多域名接入 CDN，nmap 扫描得到的是 CDN 节点 IP，不是后端真实服务器 IP。
获取真实 IP 思路：

1. 查找历史 DNS 解析记录（securitytrails、crt.sh），CDN 上线之前的 A 记录；
2. 子域名中部分站点未接入 CDN；
3. 证书解析，证书透明度历史记录；
4. 旁站、C 段交叉比对。

不要对 CDN 节点 IP 做深度扫描，扫描的是代理节点，不是业务源站，没有意义。

4. 模块三：Web 指纹识别，识别框架、中间件、CMS

指纹识别目的：判断目标使用什么 Web 服务器、CMS、框架、组件版本，快速匹配对应漏洞。例如识别 ThinkPHP5.0.23，直接联想到 RCE；识别 Dedecms 织梦，查找织梦系列漏洞。

4.1 指纹识别判断维度CSDN博…

1. HTTP 响应头：X‑Powered‑By、Server 字段（Nginx/Apache）；
2. HTML 页面源码：meta 标签、特殊注释、版权信息；
3. 特征文件：/admin.php、/readme.md、/robots.txt；
4. 特殊路径返回的状态码，404 页面特征；
5. 网页 favicon 图标 hash 值，FOFA 支持 icon_hash 检索。

很多站点会修改响应头伪装版本，不能单靠响应头，多特征交叉确认。

4.2 工具：httpx、whatweb、nuclei 指纹库、Goby

1. httpx（流水线首选）

httpx -l live_host.txt -silent -sc -title -tech‑detect -o fingerprint.txt

输出示例：

https://api.example.com [200] [API接口] [Nginx,ThinkPHP/5.0.23,PHP7.2]

2. Whatweb，专门 Web 指纹工具

whatweb‑i‑l live_host.txt

3. Nuclei 自带大量指纹模板，批量识别框架组件

nuclei -l live_host.txt -t nuclei‑templates/fingerprint‑technologies/

4. Goby 图形化：导入 nmap xml 结果，可视化展示全部指纹，适合人工分析。

4.3 根据指纹快速定位对应漏洞

拿到指纹之后，建立对应关系：

• ThinkPHP5.0‑5.1 → RCE；
• SpringBoot → SpringBoot 未授权、Spring 系列 CVE；
• Dedecms 织梦 → SQL 注入、后台 getshell；
• Jboss、Weblogic → 反序列化漏洞；
• Shiro → Shiro RememberMe 反序列化。

实战思路：指纹优先，漏洞匹配，而不是盲目跑全部 POC。

5. 模块四：目录、敏感文件、接口发现

目录扫描用来寻找：管理后台、上传页面、备份压缩包、git 泄露、swagger 接口文档、phpinfo、robots.txt 等敏感资源，这是挖到越权、文件上传、信息泄露的重要来源。

5.1 目录扫描工具对比 ffuf /feroxbuster/dirsearch

ffuf 基础命令：

#基础目录爆破，‑w字典，‑u目标，FUZZ为payload占位符 ffuf -w ./wordlist.txt -u https://target.com/FUZZ -fc 403,404 #POST表单爆破 ffuf -w user.txt:W1,pass.txt:W2 -u https://target/login -d "username=W1&password=W2"

feroxbuster 递归扫描：

feroxbuster -u https://target.com -w wordlist.txt

注意：目录爆破发包频率很高，公网极易触发 WAF 拦截，实战调低线程，增加延时。

5.2 字典选择策略，SecLists 字典库使用

不要使用网上随便下载的小字典，SecLists 是行业标准字典库，包含目录、备份、子名字典。

• 目录字典：SecLists/Discovery/Web‑Content/common.txt；
• 备份文件字典：找 zip、tar、sql 备份文件；
• 后台路径字典：admin、manage、login。

小目标用小字典，大目标用大字典；一定要加入备份文件后缀：.zip .tar.gz .bak .sql .old。很多高危点来自备份文件泄露。

5.3 敏感文件：备份、git 泄露、swagger 接口文档

高频敏感文件清单，扫描重点关注：

1. /robots.txt禁止爬取路径，经常泄露后台地址；
2. .git/git 源码泄露，可以下载整套源代码；
3. /swagger‑ui.html、/v2/api‑docsAPI 接口文档泄露；
4. www.zip、backup.zip、db.sql网站备份数据库备份；
5. phpinfo.php泄露 PHP 环境信息；
6. .env环境配置文件，泄露数据库账号密码。

5.4 爬虫 + 归档网页提取历史接口 URL

很多接口页面现在已经删除，Wayback Machine 网页归档里面还保存历史 URL，适合拿到旧接口、废弃 API。
工具 gau，可以批量抓取归档 URL：

gau example.com --subs | sort -u > archive_url.txt

输出大量历史 URL，可以直接丢给 httpx 验证是否还存活，经常挖到已经被遗忘的旧漏洞接口。

6. 完整实战流水线案例（靶场模拟）

模拟授权靶场目标域名 example.com，完整复现整套信息收集流程。

步骤 1：被动收集子域名

subfinder -d example.com -all -silent -o sub_raw.txt

步骤 2：FOFA 查询domain="example.com"，导出 host 保存为fofa.txt。

步骤 3：合并、去重、DNS 解析过滤泛解析

cat sub_raw.txt fofa.txt > all_raw.txt sort -u all_raw.txt > all_unique.txt cat all_unique.txt | dnsx -silent > resolved_ip_domain.txt

步骤 4：HTTP 存活探测，提取状态码、标题、指纹

httpx -l resolved_ip_domain.txt -silent -sc -title -tech‑detect -o live_web.txt

步骤 5：端口扫描，对解析出来 IP 做端口探测

naabu -iL resolved_ip_domain.txt -silent -o port_open.txt

步骤 6：对存活 Web 资产做目录扫描 + 归档 URL 收集

gau example.com --subs | sort -u >> all_url.txt ffuf -w common.txt -u https://{{domain}}/FUZZ

步骤 7：整理输出资产报告：

1. 全部子域名清单；
2. IP 与开放端口清单；
3. Web 存活站点 + 标题 + 指纹清单；
4. 扫描发现的后台、备份、敏感文件路径清单。

拿到这份完整资产，再丢给 nuclei 做批量 POC 漏洞检测。

完整单行管道流水线（无中间文件）

subfinder -d example.com -all -silent | dnsx -silent | httpx -silent -sc -title -tech‑detect | tee final_web_asset.txt

7. 可直接复制的自动化 Shell 脚本

保存为recon.sh，chmod +x recon.sh，传入目标域名自动执行被动收集，DNS 过滤，httpx 存活探测。

#!/bin/bash if [ $# -ne 1 ];then echo "使用方式： ./recon.sh example.com" exit fi TARGET=$1 OUTDIR="./recon_${TARGET}" mkdir -p ${OUTDIR} echo "[+] 第一步 Subfinder被动子域名收集" subfinder -d ${TARGET} -all -silent -o ${OUTDIR}/sub_raw.txt echo "[+] 第二步 Wayback归档URL抓取" gau ${TARGET} --subs | sort -u > ${OUTDIR}/archive_url.txt echo "[+] 第三步 DNS解析过滤无效域名与泛解析" cat ${OUTDIR}/sub_raw.txt | dnsx -silent -o ${OUTDIR}/resolved.txt echo "[+] 第四步 httpx存活Web探测，提取状态码、标题、指纹" httpx -l ${OUTDIR}/resolved.txt -silent -sc -title -tech‑detect -o ${OUTDIR}/live_web.txt echo "[+] 信息收集完成！结果目录：${OUTDIR}" echo "存活Web资产： ${OUTDIR}/live_web.txt" cat ${OUTDIR}/live_web.txt

脚本不含 FOFA 自动下载，需要网页端手动导出 fofa 资产，追加到 resolved.txt；拥有 FOFA API key 可以扩展脚本自动拉取测绘资产。

8. 实战高频踩坑与排错

坑 1：直接使用 subfinder 原始输出做渗透

Subfinder 输出大量过期 DNS 记录，很多域名早已不解析，不经过 dnsx、httpx 过滤，后续扫描大量无效请求。
✅解决：DNS 解析过滤 + HTTP 存活探测两道关卡。

坑 2：忽略非 80/443 端口 Web 业务

很多后台部署 8080、8443、9000 端口，只访问域名默认端口漏掉高价值资产。
✅解决：端口扫描不要只扫常用端口；httpx 增加‑ports参数。

坑 3：目录扫描线程开太大，IP 被 WAF 拉黑

ffuf、dirsearch 高并发短时间发送上千请求，公网业务 WAF 直接封禁 IP。
✅解决：降低线程，增加延时，授权内网可以调高并发。

坑 4：CDN 环境扫描 CDN 节点 IP，得不到真实源站

扫描返回全部是 CDN 服务器版本，业务真实版本被掩盖。
✅解决：利用历史 DNS 记录寻找源站 IP，不要对 CDNIP 深度测试。

坑 5：字典过小，扫不到备份文件、git 泄露

只用普通后台字典，忽略 zip、bak、sql 备份后缀。
✅解决：使用 SecLists 完整字典，备份后缀不可省略。

坑 6：只靠单一数据源，资产大量遗漏

只用 subfinder，或者只用 FOFA，都会丢失部分资产。
✅解决：Subfinder+FOFA+Amass+gau 多源合并，sort‑u 去重。

9. 不同场景策略：SRC 挖掘、红蓝对抗、企业渗透测试

SRC 漏洞挖掘

1. 被动优先，尽量少主动发包，避免被厂商 WAF 封禁；
2. 重点挖掘子域名、归档历史 URL，废弃测试站点；
3. 优先寻找 swagger 文档、备份文件、git 泄露这类低门槛漏洞；
4. 目录爆破降低并发，不要大规模暴力扫描。

红蓝对抗护网

1. 最大化扩大攻击面，Subfinder+Amass+FOFA 全量搜集；
2. 拿到资产之后快速端口扫描，重点关注高危端口 445、6379；
3. 区分 CDN 节点，优先找没有 CDN 的源站资产；
4. 流水线自动化脚本批量处理大量目标。

企业授权渗透测试

1. 拿到明确授权范围，严格在 scope 内探测，禁止扫描范围外子域名；
2. 完整信息收集，输出企业攻击面报告，找出遗忘的遗留系统；
3. 内网场景可以做 C 段扫描，公网严格控制发包速率。

10. 蓝队视角：利用信息收集自查企业攻击面

信息收集不只是红队攻击手段，蓝队安全运营人员可以用来自查企业互联网暴露面：

1. 周期性执行整套 recon 脚本，搜集企业全部对外域名子域名，发现私自上线未备案测试站点；
2. 发现意外暴露高危端口：445、3389、6379 等；
3. 检测是否存在 git 泄露、备份文件、swagger 接口文档等信息泄露风险；
4. 对比历史资产清单，发现新上线未知资产；
5. 测绘平台核查，确认是否有资产被错误解析公网。

蓝队自查同样需要控制扫描速率，避免业务系统负载过高。

11. 写在最后

信息收集不是简单的把工具全部跑一遍，它是一套情报拼图的过程。很多新手急于跑漏洞扫描器，跳过信息收集，结果只能挖到主站简单漏洞，大量高价值子域名资产完全错过。

记住标准流程：被动 OSINT 收集资产 → 数据清洗过滤噪声 → 主动端口与 HTTP 探测 → Web 指纹识别 → 目录、敏感文件、历史 URL 挖掘 → 整理完整资产清单，再开展漏洞验证。

域名、端口、指纹、目录，四大模块环环相扣，缺一不可。子域名扩大攻击面，端口找到开放服务入口，指纹匹配组件漏洞，目录爆破挖掘敏感文件与后台。

工具只是载体，核心是方法论。学会多数据源交叉验证，做好数据清洗，熟练使用管道串联工具，构建自己的自动化 recon 流水线，可以极大提升渗透测试效率。

最后重申法律红线：所有端口扫描、目录爆破、主动探测行为，必须拥有资产所有者书面授权，禁止对互联网未授权资产做任何探测行为，严格遵守《网络安全法》。

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。

网络安全工程师企业级学习路线

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】