信息收集型攻击

2019年，信息型攻一个做跨境电商的收集朋友给我看了他的后台日志。连续三周，信息型攻每天凌晨两点到四点，收集都有来自越南和印尼的信息型攻IP在批量请求他的商品接口。请求量不大，收集每次几百条，信息型攻刚好卡在他服务器告警阈值下面。收集他一开始以为是信息型攻爬虫，没管。收集一个月后，信息型攻他发现自己的收集客户邮箱列表被人打包挂在暗网上卖。

这就是信息型攻信息收集型攻击——不直接砸门，先趴在你家窗户上数清楚你有几口人、收集几点关灯、信息型攻狗拴在哪。

它到底在收集什么

攻击者要的东西比大多数人想象的琐碎得多。不是一上来就盯着你的数据库密码。他们先要知道你用什么框架、版本号多少、后台登录页藏在哪个路径、哪个员工在领英上标注了“负责运维”、公司邮箱的命名规则是“名.姓”还是“姓+首字母”。

我见过一个真实案例：某小型SaaS公司被入侵，入口是攻击者从GitHub上一个离职员工两年前提交的代码注释里，翻到了一个内网测试环境的IP段。那个测试环境用的是默认密码，而且和 production 数据库共享了同一个VPC。整个链条里，没有一行恶意代码，全是公开信息拼出来的。

手法比你想的笨

很多人以为信息收集靠什么高级0day。大部分时候靠的是笨办法。

子域名爆破：拿一份字典，挨个试 mail.xxx.com、test.xxx.com、dev.xxx.com。很多公司的测试环境没有配WAF，甚至没有配HTTPS证书，浏览器直接弹“不安全”，但里面跑着和生产环境一样的数据。

Google Hacking：site:target.com filetype:env，运气好能直接翻出暴露的配置文件。我试过，找到一个教育机构的 .env 文件，里面SMTP密码明文写着。他们只是忘了在部署时把调试文件从web根目录移走。

还有更土的——看你的招聘JD。招“熟悉AWS S3权限配置”的人，说明你用S3；招“有Kubernetes运维经验”，说明你跑了K8s。攻击者不需要猜，你自己在招聘网站上写得清清楚楚。

为什么防不住

因为大部分信息泄露根本不经过你的服务器。

员工在技术论坛提问，贴了一段报错日志，日志里带了内部主机名。销售在朋友圈晒了工位照片，显示器上贴着便签，写着VPN的登录地址。前员工在脉脉上吐槽“公司的Jenkins连密码都不改”，配图是构建失败的截图，项目名称和分支名全露着。

你没法给员工的嘴和手机装防火墙。安全团队能做的，是定期做外部资产测绘，看看外面到底暴露了多少东西。但多数公司连自己有多少个子域名都不清楚，更别说一个三年前离职员工在Stack Overflow上留下的那行 curl -H "Authorization: Bearer sk_live_xxx"。

一个细节

我习惯在渗透测试的早期阶段花40%的时间做信息收集。有一次，目标公司的官网“团队介绍”页面上，每个高管照片的文件名是 zhangwei-cto.jpg、lina-cfo.jpg。我拿这些名字去试邮箱密码重置，发现他们的密码策略是“姓名全拼+123”。试到第三个就进去了。那个账号是CFO的，里面有一份未加密的董事会纪要PDF。

信息收集型攻击的可怕之处不在于技术多高明，而在于你根本不知道哪条公开信息会成为那把钥匙。你发在网上的每一条动态、每一张照片、每一行代码，都在帮攻击者画一张你公司的地图。地图画完了，门在哪，锁是什么型号，也就清楚了。