web渗透之其他信息收集篇

web渗透之其他信息收集篇

在前期渗透的时候，我们需要做很多信息收集资产获取。除了web网站，服务器指纹识别外，我们还可以通过以下的资产进行信息收集工作：

APP

在移动开发中常见的两种两种安装包apk, ios，以及老早以前塞班jar，Winphone等，老的一些开发我就不做过多的介绍，主要了解一下apk和ios怎么进行资产收集，常见的有两种方式第一种外部获取通过抓包工具获取apk,ios请求的数据如fd/burp，第二种内部提取资源如我们常用的APK资源提取器，安卓修改大师，Xposed，AppInfoScanner，反编译等等通过这些方式获取移动app中的资产，接口等信息。

 

小程序，公众号

小程序分着很多公司，如腾讯的微信和qq，阿里的支付宝，以及抖音，华为的，每家公司都有自己的小程序，我们根据不同的需求来进行选择测试，如微信小程序，我们一般可以使用外部的抓包方式获取信息，可以对小程序实时监控信息，并获取推送等相关操作，当然也可以使用dump获取小程序信息。

 

个人店铺，公司，企业信息等

个人店铺，公司，企业信息我们该获取什么呢？既然是信息打点，我们就要不放过每一个细节，在ctf ,src ,以及护网行动中我们可以通过收集收获住址，快递，电话，邮箱，微信，qq等发送指定的链接，或者木马程序给攻击目标，当攻击目标点击我们发送的信息，就可以获取电脑的控制权限，然后进一步对内网，域，手机进行下一步的监控工作。