信息收集009：Web入门

凌晨两点，信息我盯着Burp Suite里那串十六进制响应体，收集突然意识到一件事——所有Web攻击的信息起点，根本不是收集漏洞，而是信息你愿不愿意把浏览器地址栏当成显微镜。信息收集不是收集“打开页面看看”，是信息把自己变成一台会呼吸的扫描器。

先别急着上工具。收集打开目标站点，信息按F12，收集看Network面板。信息那里躺着最诚实的收集数据：每个请求的URL、状态码、信息响应时间。收集一个404页面可能比首页更有价值——它告诉你后台目录结构、信息框架版本，甚至程序员懒得删除的调试接口。我见过某政务网站，404页面直接暴露了内网IP和Tomcat版本号，这比任何漏洞扫描器都来得直接。

然后是robots.txt和sitemap.xml。别只扫一眼就关掉。robots.txt里被Disallow的路径，往往是管理员想藏起来的东西——虽然搜索引擎不爬，但你的眼睛会爬。去年渗透某电商平台，我在robots.txt里看到/admin_upload_2021/，直接访问发现是个未做鉴权的文件上传点。你猜怎么着？那个目录连个访问日志都没开。

再往下走，是响应头。Server: nginx/1.18.0 和 X-Powered-By: PHP/7.4.3，这两行字能省你半天瞎猜。版本号对应已知CVE，比如nginx 1.18.0的目录穿越，PHP 7.4.3的filter链绕过。但别高兴太早——很多运维会改版本号伪装，你得拿实际行为验证。比如发个畸形请求，看它回显的是nginx默认错误页还是自定义页面，这比盲目信头信息靠谱得多。

JS文件是块肥肉。打开Sources，搜索“api”“token”“secret”“internal”这些关键词。现在的前端工程师习惯把接口地址硬编码在js里，还顺手注释掉“// TODO: 上线前删掉这段测试代码”。我曾在某医疗站点的main.js里，翻到http://192.168.1.10:8080/api/user/list，直接映射内网服务。后来顺着那条线，用SSRF打了三层跳板——但那是另一个故事了。

别忘了看HTML源码里的注释。 这种话不是段子，是真实存在的。还有表单的hidden字段，有些系统会把用户ID、角色编号藏在里面，你改个数字可能就垂直越权了。信息收集不是收集“看起来有用的”，是收集“所有存在的”，哪怕一条css注释里写着“修复IE6兼容问题”，都说明这站点至少十年没重构过——技术债重的系统，漏洞往往也多。

最后，把收集到的所有域名、IP、子域名、端口、目录、参数名做成一张脑图。别急着扫漏洞，先看这张图里有没有逻辑矛盾：比如某个子域名解析到内网IP，但证书却暴露了外部CDN的源站地址；或者两个不同域名指向同一台服务器，但响应头里一个写Apache一个写IIS——那八成是反向代理配错了。

工具只是手，脑子才是引擎。nmap扫出的开放端口，不如你手动访问8080端口看到的那个“Apache Tomcat/8.5.51”页面信息量大。信息收集的本质，是让目标在你脑子里变成一张三维地图，而不是一堆散落的IP列表。做到这一步，你才算真正“入门”了。

下次打开Burp之前，先问自己一句：如果我是这台服务器，我会把秘密藏在哪个文件里？答案往往不在扫描报告里，在你刚刚忽略的那行注释中。