Agent-Reach：统一CLI管理多语言AI Agent的架构设计与实践
2026/10/26 9:29:54
一、ZoomEy搜索引擎
ZoomEye 是知道创宇出品的网络空间测绘搜索引擎，用来搜互联网上暴露的服务器、网站、IoT 设备、开放端口、Web 组件指纹，属于被动信息收集工具，网安资产测绘、渗透信息收集常用。(只允许对自己拥有授权的资产进行查询）
Google 索引的是网页，ZoomEye 索引的是机器。
Google:通过网页爬虫，顺着超链接抓取网页文本，文件（应用层）-->找到页面内容
ZoomEye主动对海量IP发包探测，握手，拿banner，指纹，端口信息（传输层+应用层）->找到一台台联网主机/服务
二，类似功能引擎
2.1 国外阵营
| 平台 | 地址 | 一句话特点 |
|---|---|---|
| Shodan | shodan.io | 开山鼻祖（2009），自称"Search Engine for the Internet of Everything"，物联网、工控设备数据特别多 |
| Censys | search.censys.io | 证书检索最强，学术出身（ZMap 项目），适合做"同证书资产"拓线 |
| Netlas | netlas.io | API 优先，适合写脚本批量查 |
| Criminal IP | criminalip.io | 给 IP 和域名打风险评分，偏威胁情报 |
| ONYPHE | onyphe.io | 反向 DNS、网络基础设施数据丰富 |
| BinaryEdge | binaryedge.io | 偏暴露面与漏洞关联 |
| FullHunt | fullhunt.io | 攻击面管理，子域和资产发现 |
| LeakIX | leakix.net | 专注"泄露"类暴露，比如公开的数据库 |
| GreyNoise | greynoise.io | 它不扫全网，而是看谁在扫你，用来给告警降噪 |
2.2 国内阵营
| 平台 | 地址 | 归属 | 特点 |
|---|---|---|---|
| ZoomEye钟馗之眼 | zoomeye.org | 知道创宇 | 索引量大，Xmap（网络层）+ Wmap（Web 指纹）双引擎，中文资料多 |
| FOFA | fofa.info | 华顺信安 | 语法灵活，icon_hash找同源系统特别好用 |
| Quake | quake.360.net | 360 | 测绘 + 资产分组，语法和 ZoomEye 很接近 |
| Hunter鹰图 | hunter.how | 奇安信 | 企业资产维度强，ip.port、cert检索 |
| DayDayMap谛听 | daydaymap.com | 盛邦安全 | 较新的测绘平台 |
不同平台的采集侧重和用户群体是不一样的。
2.3平台查找
1.搜索引擎关键词：网络空间搜索引擎、网络资产测绘平台、cyberspace search engine、Shodan 替代品
2.GitHub 聚合列表：搜 awesome-osint、advanced-search-engines，有人专门整理了几十个
3.平台互相对比的评测文章：厂商写的会有立场，但平台名单和功能差异是真的
4.安全导航站：这类站点通常按"资产测绘""威胁情报""漏洞库"分类
三、语法格式
3.1 核心格式
app="nginx"
port="6379"
title="Welcome to nginx!"
site="example.com"
device="router"
country="CN"
3.2 常用字段速查（ZoomEye）
| 字段 | 含义 | 例子 |
|---|---|---|
app= | 应用指纹（Web 层） | app="nginx" |
service= | 网络服务/协议 | service="redis" |
port= | 端口号 | port="6379" |
title= | 网页标题 | title="后台管理" |
body= | 网页正文 | body="login" |
site= | 属于该域名 | site="example.com" |
ip= | 指定 IP | ip="1.2.3.4" |
cidr= | 指定网段 | cidr="1.2.3.0/24" |
country=city= | 国家 / 城市 | country="CN" city="Beijing" |
os= | 操作系统 | os="Windows" |
device= | 设备类型 | device="router" |
其他平台字段名略有差异，记住对照关系就行：
| 用途 | ZoomEye | FOFA | Shodan |
|---|---|---|---|
| 应用指纹 | app= | app= | product: |
| 网页标题 | title= | title= | http.title: |
| 域名 | site= | domain= | hostname: |
| 证书 | — | cert= | ssl: |
第一条：site="example.com"
这就是 site: 的正确用法——一个域名名下到底有几台机器，一目了然。
第二条：port="6379"
第三条：title="Welcome to nginx!"
740 万台服务器装完 Nginx 连默认页都没改，说明它们上线后根本没被正经配置过。
第四条：device="router"
四、子域名收集：查阅一本公开账本
4.1 子域名
example.com是公司总机，www.example.com、mail.example.com、oa.example.com就是分机。
子域名=写在主域名前面，用点隔开
子域名收集 = 把这家的分机号尽量找全。->扩大攻击面
4.2 收集原理：证书公开
网站管理员给子域名申请 HTTPS 证书的时候，证书会自动提交到证书透明日志（CT log），这是 CA 机构的强制公开记录
任何人都可以公开查询这个日志，不需要扫描目标。这个渠道最容易挖到测试、内部、很久不用的子域名。->每一个申请过 HTTPS 证书的域名，都会在这本公开账本上永久留名，谁都能查，删不掉
其他可能的被动数据源：
1.DNS历史解析记录：以前这个字域名解析过某个IP,第三方DNS存档平台存下了这条记录；
2.公开DNS服务器：一些DNS查询日志存档
3.开源代码,GitHub，论坛：代码里写死了shturl.cc/p,被爬虫抓到
.3 具体怎么查：crt.sh
打开crt.sh，搜索框输入：
代码块:
%.example.com%是通配符，意思是"前面随便是什么"。所以%.example.com= "所有以.example.com结尾的域名"。
结果页：
| 字段 | 意思 |
|---|---|
| crt.sh ID | 这张证书在账本里的编号，点进去能看详情 |
| Not Before / Not After | 证书生效 / 过期时间 |
| Common Name | 证书主域名 |
| Matching Identities | 这张证书覆盖的所有域名——这就是我们要的 |
| Issuer Name | 哪家 CA 签发的 |
4.4结果分析
第一条：emudhra-lab.example.com
这个子域名，你在example.com的官网上绝对找不到入口，但它出现在证书日志里了——说明它申请过 HTTPS 证书。
第二条：*.example.com
这是泛域名证书，一张证书覆盖所有一级子域。看到它要明白：它只能证明"这个域开过 HTTPS"，不能反推出具体有哪些子域
第三条：同一个域名，一堆证书
example.com名下挂着几十张证书，有效期从 2026 到 2027，签发机构有 Cloudflare、Sectigo、eMudhra 好几家。这说明证书会不断续期、换 CA，所以同一个子域会在账本里留下很多条记录，收集时要去重。
4.5 其他办法
| 方法 | 原理 | 代表工具 |
|---|---|---|
| 证书日志 | 上面讲的公开账本 | crt.sh、Cert Spotter、Censys |
| 被动 DNS | 有人早就把历史解析记录存下来了 | SecurityTrails、VirusTotal、DNSDumpster |
| 测绘平台反查 | 平台扫过这台机器，记录里带域名 | ZoomEyesite=、FOFAdomain= |
| 搜索引擎 | 网页里链接过这些子域 | site:example.com -www |
| 暴力枚举 | 拿字典猜前缀（www、mail、oa…） | subfinder、amass、OneForAll |
前四种都是被动的——你只是在查别人已经公开的数据，不碰目标。最后一种要主动向 DNS 发请。