在網(wǎng)絡安全滲透測試中,信息收集是至關重要的一步,它決定了后續(xù)攻擊的廣度和深度。2020年小迪安全課程的第九天筆記聚焦于信息收集的高級層面,特別是針對移動應用程序(APP)、其他非傳統(tǒng)資產(chǎn)以及一個值得關注的案例——九崴信息。本筆記將系統(tǒng)梳理這些內(nèi)容,為安全從業(yè)者提供實用的思路與方法。
一、APP信息收集
移動應用已成為企業(yè)和個人數(shù)據(jù)交互的核心載體,其安全性直接關聯(lián)后端服務器、API接口及用戶隱私。對APP進行信息收集主要包括以下幾個方面:
- 應用基礎信息:通過官方應用商店或第三方平臺獲取APP名稱、版本號、開發(fā)者信息、下載量及用戶評價,初步評估其流行度和潛在攻擊面。
- 靜態(tài)分析:對APK或IPA文件進行反編譯,提取源代碼、資源文件、配置文件(如AndroidManifest.xml)和證書信息,尋找硬編碼的密鑰、敏感API接口或邏輯漏洞。
- 動態(tài)分析:使用抓包工具(如Burp Suite、Fiddler)攔截APP的網(wǎng)絡請求,分析其通信協(xié)議、API端點及數(shù)據(jù)傳輸方式,檢測是否存在未加密或弱加密問題。
- 第三方服務識別:APP常集成SDK(如支付、地圖、推送服務),這些服務可能引入額外漏洞。通過分析代碼或網(wǎng)絡流量,識別使用的第三方組件及其版本,檢查已知漏洞。
- 關聯(lián)資產(chǎn)發(fā)現(xiàn):APP可能關聯(lián)多個子域名、云存儲或后臺管理系統(tǒng)。利用域名反查、證書透明度日志(CT Log)或移動應用關聯(lián)分析工具,擴展攻擊面。
二、其他資產(chǎn)信息收集
除了傳統(tǒng)的Web和服務器資產(chǎn),現(xiàn)代網(wǎng)絡環(huán)境中還存在多種易被忽略的資產(chǎn),它們同樣可能成為攻擊入口:
- 物聯(lián)網(wǎng)設備:智能家居、攝像頭、路由器等設備常因默認密碼或固件漏洞暴露。通過Shodan、Censys等搜索引擎,使用特定指紋或端口進行掃描識別。
- 云服務與存儲:公開的S3存儲桶、Azure容器或數(shù)據(jù)庫實例可能因配置錯誤導致數(shù)據(jù)泄露。利用自動化工具(如CloudBrute)或手動查詢云服務元數(shù)據(jù)接口進行發(fā)現(xiàn)。
- 源代碼倉庫:GitHub、GitLab等平臺上的公開代碼庫可能包含敏感信息(如API密鑰、數(shù)據(jù)庫憑證)。通過關鍵詞搜索或監(jiān)控企業(yè)賬號,挖掘泄露數(shù)據(jù)。
- 員工與社交信息:從LinkedIn、企業(yè)官網(wǎng)或社交媒體收集員工姓名、職位及聯(lián)系方式,用于釣魚攻擊或密碼爆破。會議資料、技術文檔也可能暴露內(nèi)部架構(gòu)。
- 子公司與合作伙伴:大型企業(yè)往往通過收購或合作擴展業(yè)務,這些關聯(lián)實體可能安全防護較弱,成為橫向滲透的跳板。通過企業(yè)架構(gòu)調(diào)查或工商信息查詢發(fā)現(xiàn)關聯(lián)方。
三、九崴信息案例解析
在課程中,九崴信息被作為一個典型案例進行深入分析。九崴信息是一家提供數(shù)據(jù)服務的企業(yè),其資產(chǎn)暴露問題凸顯了信息收集的重要性:
- 資產(chǎn)暴露面:通過子域名爆破和端口掃描,發(fā)現(xiàn)九崴信息存在多個未在公開渠道宣傳的測試服務器和后臺管理系統(tǒng),部分系統(tǒng)使用弱口令或默認配置。
- 移動應用風險:其官方APP在早期版本中未對網(wǎng)絡請求進行充分加密,導致用戶數(shù)據(jù)在傳輸過程中可被竊取。APP反編譯后發(fā)現(xiàn)了調(diào)試接口,可能被濫用。
- 第三方依賴漏洞:九崴信息使用的某個開源框架存在已知遠程代碼執(zhí)行漏洞,但未及時更新補丁,使得攻擊者可利用此漏洞控制服務器。
- 信息關聯(lián)利用:通過收集到的員工郵箱和社交信息,攻擊者成功實施了魚叉式釣魚攻擊,獲取了內(nèi)部網(wǎng)絡訪問權(quán)限,進而橫向移動至核心數(shù)據(jù)庫。
此案例強調(diào)了全面信息收集的必要性——從APP到云資產(chǎn),從技術漏洞到人為因素,每個環(huán)節(jié)都可能成為突破口。
四、與建議
信息收集是持續(xù)且迭代的過程,安全人員應養(yǎng)成系統(tǒng)性思維:
- 工具結(jié)合手動:自動化工具(如Nmap、theHarvester)可提高效率,但手動驗證和深度分析不可或缺。
- 保持更新:新技術和新資產(chǎn)不斷涌現(xiàn),需及時學習并調(diào)整收集策略。
- 合法合規(guī):所有信息收集活動必須在授權(quán)范圍內(nèi)進行,避免法律風險。
- 防御視角:企業(yè)應定期自查資產(chǎn)暴露情況,加強APP安全測試和員工安全意識培訓,減少攻擊面。
通過掌握APP及其他資產(chǎn)的信息收集技巧,并借鑒九崴信息等案例的教訓,安全從業(yè)者能更有效地識別風險,筑牢網(wǎng)絡防線。