网络安全技术实践教程 — 教案10

一、教学目标

二、教学重难点

• 重点：踩点的四个目的、三类踩点信息内容、whois域名查询、DNS信息收集（nslookup/dig）
• 难点：DNS记录类型（A/MX/NS/CNAME）的理解和区分；主动信息收集与被动信息收集的边界判断
• 突破策略：用"快递地址"类比DNS——A记录=门牌号，MX记录=收发室，NS记录=邮局；用"暗中观察 vs 上门打听"类比被动/主动收集

三、教材内容框架（知识准备）

5.1.1 踩点的概念

踩点指的是预先到某个地方进行考察，为后面正式到这个地方开展工作做准备。在渗透测试中，踩点的主要目的是进行信息的收集。正所谓"知己知彼，百战不殆"，只有详细掌握了目标的信息，才能有针对性地对目标的薄弱点进行渗透。

5.1.2 踩点的目的

教材列举四个目的：

1. 了解安全架构：了解目标组织使用了哪些安全设备及其信息，如防火墙的制造商和版本等，针对薄弱点进行渗透；了解网络安全人员的配备情况
2. 缩小攻击范围：通过踩点确定目标的IP地址范围、域名、开放的端口和运行的服务，排除无关目标，聚焦有价值的信息
3. 建立信息数据库：将搜集到的信息（域名、IP、开放的端口、服务、可能的漏洞等）分类管理，形成完整的攻击信息库
4. 绘制网络拓扑：根据搜集到的网络设备信息（路由器、交换机、防火墙等），画出目标网络拓扑图

5.1.3 踩点的内容 新补

踩点究竟要收集哪些信息？教材将其归纳为三大类：

① 网络信息

• 域名及子域名、IP地址范围、网段划分
• 开放的端口及运行的TCP/UDP服务
• DNS服务器、邮件服务器等关键节点
• 远程访问点（VPN、SSH等）

② 系统信息

• 操作系统类型及版本（Windows/Linux/网络设备）
• 用户账户及组名、系统标识
• 路由表、ARP表等网络配置
• Web服务器、数据库等中间件信息

③ 组织信息

• 员工详细信息（姓名、职务、邮箱、电话）
• 组织架构及物理地址
• 网站源代码注释、文档元数据中泄露的信息
• 合作伙伴、供应商等关联方信息

💡 这三类信息由外到内、由浅入深，构成完整的"目标画像"。网络信息告诉你"门在哪里"，系统信息告诉你"门锁是什么型号"，组织信息告诉你"谁有钥匙"。

5.1.4 踩点的方法

教材介绍以下常用命令行工具：

四、教学过程

第一阶段：导入新课（8分钟）

1. 任务情境呈现（3min）

工程师小林接到任务：为完成系统漏洞扫描，需要先收集与目标网络系统相关的信息，也就是"踩点"。他准备运用命令行工具和各种技术手段，尽可能多地收集相关信息。

• 展示教材第五章思维导图：5.1 踩点收集信息 → 5.2 Nmap扫描 → 5.3-5.5 漏洞扫描
• 点明本章逻辑链：踩点（知道目标是谁）→ 扫描（知道目标开什么门）→ 漏洞扫描（找到门锁的缺陷）

2. 悬念提问（5min）

🙋 提问1："如果我现在让你去渗透测试一个网站，你打开电脑第一步做什么？"

📝 参考答案：不是直接上工具扫描，而是先查这个网站的基本信息——它是谁的、IP是什么、服务器在哪、用的是什么技术栈。这就叫踩点/信息收集。

🙋 提问2："为什么不能跳过踩点直接开扫？"

📝 参考答案：不知道目标的信息就盲目扫描，就像蒙着眼睛在迷宫里乱撞。可能扫到不属于目标的系统（法律风险），可能遗漏关键入口，效率极低。踩点越充分，后续行动越精准。

• 展示 Kill Chain 图，标注第一阶段「侦察（Reconnaissance）」

🔄 过渡语："好，我们已经知道踩点是渗透测试的第一步。那么，踩点到底要达成什么目标？带着这个问题，我们进入今天的核心内容。"

第二阶段：踩点的概念与目的（18分钟）

2.1 踩点的概念（5min）

教材原文讲解：

踩点指的是预先到某个地方进行考察，为后面正式到这个地方开展工作做准备。

• 生活类比：你想去某商场买手机，出发前先打开APP查各品牌柜台位置、查实时折扣、查停车场入口——这些就是"踩点"。到了商场直奔专柜、比价、下单——这才是"正式行动"。
• 渗透测试中：踩点 = 信息收集阶段，目标是摸清目标的"数字家底"
• 补充拓展：引出"被动踩点"与"主动踩点"的概念区别（先有个印象，后面详讲）

🙋 互动提问："生活中还有哪些场景可以用'踩点'这个概念来解释？"

📝 参考答案：旅游前查攻略（踩点）→ 实地游玩（行动）；面试前查公司背景（踩点）→ 去面试（行动）；小偷作案前蹲点观察（踩点）→ 实施盗窃（行动，当然是违法的）。

2.2 踩点的四个目的（13min）

🔄 过渡语："既然踩点是'出发前的准备工作'，那么做这些准备具体要达到什么目的呢？教材上给出了四个——我们来一一拆解。"

目的1：了解安全架构（4min）

• 教材图5-1展示：目标组织的安全架构示意图
• 要了解的关键信息：用了什么防火墙？什么品牌、什么版本？部署了IDS/IPS/WAF吗？安全团队有多少人？
• 实例：2021年某红队演练中，攻击方通过踩点发现目标使用的是某品牌旧版防火墙，查阅该版本已知漏洞CVE，成功绕过边界防线。

🙋 提问："如果你踩点发现目标雇了10个人的安全团队，和发现目标根本没有安全团队，你的后续策略会有什么不同？"

📝 参考答案：有专业安全团队 → 需要更隐蔽的被动信息收集，避开IDS/IPS，行动要更谨慎、更慢；没有安全团队 → 可能管理松散，信息暴露面更大，但也不能掉以轻心——可能是外包了安全服务。

目的2：缩小攻击范围（3min）

• 核心逻辑：从"大海捞针"到"精准打击"
• 实例：一个大学拥有整个B类地址段（65536个IP），但踩点后发现只有1台对外Web服务器、2台DNS服务器、1个VPN入口 → 攻击面从65536缩小到4个目标

🙋 提问："为什么要缩小范围？IP多扫几个不行吗？"

📝 参考答案：① 大规模扫描容易被IDS发现，打草惊蛇；② 浪费时间，大部分IP可能是打印机、空地址；③ 可能误扫到目标以外的系统，引发不必要的法律问题。

目的3：建立信息数据库（3min）

• 将零散信息条目化、系统化管理

域名: cqupt.edu.cn
├── IP地址: 202.202.43.125
├── 开放端口: 80(HTTP), 443(HTTPS), 22(SSH)
│   └── Web服务器: Nginx 1.18.0
├── DNS服务器: dns1.cqupt.edu.cn, dns2.cqupt.edu.cn
├── 邮件服务器: mail.cqupt.edu.cn (MX记录)
├── 子域名: www / lib / jw / vpn / oa ...
└── 注册信息: 2005年注册, 注册商: 阿里云

• 类比：侦探办案的线索墙——每一条线索单独看意义不大，串起来就能还原出完整画像

目的4：绘制网络拓扑（3min）

• 根据收集到的设备信息和IP关系，还原目标网络结构
• 找到关键节点：网络边界在哪？DMZ区有什么？核心交换是谁？
• 网络拓扑 = 攻击路线图：知道出口路由器在哪 → 知道DMZ里放了Web服务器 → 知道内网核心交换机IP → 画出攻击路径
• 举例：你发现目标出口IP是203.x.x.1，内部Web服务器的网关是192.168.1.1，反向推断出NAT映射关系，找到边界突破点

🔄 过渡语："四个目的讲完了——了解架构、缩小范围、建库、绘图。那么问题来了：具体要收集哪些信息才能支撑这四个目的呢？这就是下一节要讲的——踩点的内容。"

第三阶段：踩点的内容 — 三类信息（12分钟）新补

🔄 过渡语："目的是'为什么踩点'，内容是'踩点什么'。就像你去菜市场买菜，要知道自己要买肉、菜、调料，才不至于瞎逛。踩点也一样——信息收集有章法，教材把它归纳为三大类。"

3.1 网络信息（4min）

是什么：围绕目标网络基础设施的一切数据。

🎯 举例：你踩点发现目标有 vpn.xxx.com 子域名指向 211.x.x.100，开放了8443端口（非标准HTTPS端口），运行的是某品牌SSL VPN。去查这个VPN的历史漏洞——很可能就是一个突破口。

🙋 提问："子域名信息为什么重要？主域名保护好了不就够了吗？"

📝 参考答案：很多组织主站安全加固做得好，但子站往往疏于管理。比如主站用了WAF，但 test.xxx.com 可能是一个没人维护的老旧测试系统，成了攻击的软肋。

3.2 系统信息（4min）

是什么：目标主机、服务器上运行的操作系统和软件环境数据。

🎯 举例：通过HTTP响应头 Server: Apache/2.4.49 发现目标用了Apache 2.4.49版本，这个版本有一个著名的路径穿越漏洞（CVE-2021-41773），攻击者可以直接读取服务器任意文件。

🙋 提问："如果我从外网访问，怎么知道内网服务器的操作系统和软件版本？"

📝 参考答案：方法很多——① HTTP响应头里的Server字段；② 网站报错页面可能暴露框架信息（如"PHP Fatal error"）；③ 404页面风格暗示Web服务器类型；④ favicon.ico的hash匹配可以识别CMS；⑤ 端口扫描后根据开放的服务特征推断OS（下节课Nmap会讲到）。

3.3 组织信息（4min）

是什么：与目标组织相关的人员、制度、合作伙伴等"人的因素"数据。

🎯 举例：某攻防演练中，红队通过LinkedIn找到目标公司网管的全名，再用Google搜索发现他在某技术论坛提问"XX品牌防火墙怎么配置端口映射"，暴露了防火墙品牌和型号，直接帮助锁定了攻击面。

🙋 提问："员工信息跟网络安全有什么关系？"

📝 参考答案：人是安全系统中最薄弱的环节。知道网管姓名→可以做针对性钓鱼邮件；知道IT团队小→安全运维可能不到位；GitHub上泄露的代码可能包含硬编码的数据库密码。所以安全不仅是技术问题，也是"人的问题"。

🔄 小结过渡语："好，我们梳理一下——踩点要收三类信息：网络信息（门在哪里）、系统信息（锁是什么型号）、组织信息（谁有钥匙）。知道了要收集什么，接下来就是——怎么收集？"

🙋 承上启下提问："有人能猜一猜，踩点的方法可以怎么分类？"

📝 参考答案：有的方法是悄悄查公开资料（被动），有的是主动去探目标系统（主动）。前者隐蔽但不深入，后者深入但可能被察觉。这就引出主动/被动信息收集的概念——

拓展补充：被动 vs 主动信息收集（2min）

第四阶段：踩点方法——命令行工具实操（35分钟）

🔄 过渡语："理论讲完了，接下来动手。教材推荐了五个命令行工具，我们从whois开始——它是所有踩点工作最常用的起点。"

4.1 whois 域名注册信息查询（10min）

教材知识点：whois是一个标准的互联网协议，可用于收集网络注册信息、注册域名、IP地址等信息。

# 查询域名注册信息
whois baidu.com

# 关键输出信息解读：
# Domain Name: BAIDU.COM
# Registrar: MarkMonitor Inc.        ← 注册商
# Creation Date: 1999-10-11          ← 注册时间
# Expiry Date: 2028-10-11            ← 到期时间
# Name Server: NS1.BAIDU.COM         ← DNS服务器

教师演示：

1. 打开Kali Linux终端
2. 执行 whois cqupt.edu.cn（以重庆邮电大学为例，贴近学生生活）
3. 逐行解读输出：注册商、注册时间、到期时间、DNS服务器、注册人/联系邮箱

🙋 提问："whois查到的联系邮箱能用来做什么？"

📝 参考答案：可以反查这个邮箱注册了哪些其他域名（关联域名挖掘），也可以用这个邮箱做钓鱼邮件的发件人伪造（社工攻击）。所以现在很多域名开启了WHOIS隐私保护。

拓展内容：

• 在线whois工具（站长之家 whois.chinaz.com）→ 没有Kali环境也能查，手机都能用
• WHOIS隐私保护：域名注册商提供的付费/免费服务，隐藏注册人真实信息
• ICP备案查询（beian.miit.gov.cn）→ 国内特有的信息收集渠道，可查到网站主办单位
• 实战价值：新注册域名 + 隐私保护 = 钓鱼网站特征之一，安全研判时重点关注

4.2 DNS信息收集 — nslookup / dig（10min）

🔄 过渡语："whois让我们知道了域名的'户口信息'。接下来，怎么把域名翻译成IP地址？这就靠DNS了。而DNS记录里藏着比whois更多的'料'。"

教材知识点：DNS记录包含A记录、MX记录、NS记录、CNAME记录等，通过这些记录可以获取目标的IP地址、邮件服务器、域名服务器等信息。

# Windows (nslookup)
nslookup baidu.com
nslookup -type=mx baidu.com
nslookup -type=ns baidu.com

# Linux (dig) — 信息更详细
dig baidu.com
dig baidu.com MX
dig baidu.com NS

🙋 提问1："为什么baidu.com的A记录会返回多个IP？"

📝 参考答案：这是负载均衡——大型网站不会只用一台服务器，会配置多个IP，DNS轮流返回不同的IP给不同用户，分散流量压力。踩点时发现了多个IP，说明目标规模大、基础设施强。

🙋 提问2："MX记录和A记录有什么区别？查邮件服务器为什么重要？"

📝 参考答案：A记录把域名映射到IP（你去谁家），MX记录指定谁来收邮件（你的信件寄到哪个邮局）。找到邮件服务器后，可以测试它是否开放了SMTP中继，或者判断邮件系统品牌（Exchange? Postfix?），为后续攻击做准备。

记忆技巧（快递系统类比）：

• A记录 = 门牌号（百度家在 110.242.68.66）
• MX记录 = 收发室（你家快递统一送到菜鸟驿站）
• NS记录 = 邮局地址（负责这片区域的邮局）
• CNAME记录 = 代收点（你留的是代收点地址，实际转发到你家）

拓展内容（仅介绍，不实操）：

• DNS区域传送漏洞（AXFR）：如果DNS服务器配置不当，攻击者可以直接获取目标所有DNS记录（相当于拿到整个小区的住户名单）
• 子域名枚举工具：subfinder、Amass、OneForAll——自动化爆破子域名
• 反向DNS查询：nslookup 220.181.38.148 → 通过IP反查域名

4.3 ping 连通性探测（7min）

🔄 过渡语："DNS帮我们把域名变成了IP。有了IP地址，第一件事是什么？——看看它'在不在家'！"

教材知识点：ping命令通过发送ICMP回显请求数据包来测试与目标主机的连通性。

# Windows
ping 192.168.1.1              # 默认发4个包
ping -n 10 baidu.com          # 发送10个包
ping -t baidu.com             # 持续ping，Ctrl+C停止

# Linux
ping -c 4 192.168.1.1         # 指定发送4个包
ping -i 0.5 baidu.com         # 每0.5秒发一个包（需root）

教师演示：

1. ping 127.0.0.1 → 测试本机TCP/IP协议栈是否正常（"自己ping自己"）
2. ping 网关地址 → 测试本地网络连通性
3. ping baidu.com → 测试互联网连通性、观察DNS解析过程
4. ping 192.168.99.99 → ping一个不存在的IP，观察"请求超时"

TTL值判断操作系统（拓展技巧）：

🙋 提问："我ping baidu.com返回TTL=52，它是Linux还是Windows？"

📝 参考答案：TTL=52，最接近的初始值是64。52 = 64 - 12，说明数据包经过了大约12跳到达百度。百度服务器是Linux系统。TTL≈128→Windows；≈64→Linux/Unix。

4.4 tracert 路由追踪（8min）

🔄 过渡语："ping告诉我们目标'是否能通'。但数据包从我们这儿到目标，走了哪些路、经过了哪些节点？——tracert来告诉你。"

教材知识点：tracert（Linux下为traceroute）用于追踪数据包从源到目标经过的路由节点。

# Windows
tracert baidu.com
tracert -d baidu.com          # 不解析主机名，速度更快

# Linux
traceroute baidu.com
traceroute -n baidu.com       # 不解析主机名

教师演示：

1. tracert baidu.com → 观察经过多少跳到达目标
2. 解读每一行输出：

 1    <1 ms    <1 ms    <1 ms  192.168.1.1        ← 本地网关
 2     3 ms     2 ms     3 ms  10.0.0.1           ← ISP第一跳
 3     5 ms     4 ms     5 ms  221.7.xx.xx        ← ISP骨干
 ...
12    35 ms    36 ms    35 ms  110.242.68.66      ← 目标

3. 出现 * * * 请求超时 → 该节点不响应ICMP（防火墙过滤）

🙋 提问："如果tracert中间某跳全是***，是不是网络断了？"

📝 参考答案：不一定！如果最终还是到达了目标，说明只是中间那个节点配置了不响应ICMP，但数据包正常转发了。这其实也是一种信息——那个节点可能是防火墙或安全设备。

实战价值（拓展）：

• 发现边界设备：经过的第一跳公网IP → ISP路由器；*号节点 → 可能是安全设备
• 判断CDN：如果tracert到目标IP只经过几跳且IP集中在某个网段 → 可能是CDN节点
• 结合whois反查：对tracert路径上每个IP做whois查询 → 了解数据包经过了哪些ISP和地区

🔄 阶段小结："五个工具讲完了——whois查域名户口、nslookup/dig查DNS、ping测连通性、tracert看路由。它们分工明确，但实战中往往组合使用。比如：whois发现目标IP段→ping测试哪些IP在线→nslookup反查IP对应域名→tracert看网络路径。踩点不是一个工具就能搞定的，是组合拳。"

第五阶段：学生实操练习（12分钟）

🔄 过渡语："看老师敲命令很简单，自己敲一遍才知道坑在哪儿。下面12分钟，大家动手——"

任务：完成目标信息收集

给定目标：cqupt.edu.cn（重庆邮电大学官网）

每组独立完成以下任务，将结果记录到实验报告中：

操作规范提醒：

• ⚠️ 只对授权目标 cqupt.edu.cn 操作，不扩展到其他域名
• ⚠️ 仅使用本节教的被动收集工具，不要自行尝试扫描

教师巡视要点：

• 检查nslookup参数是否正确（很多学生漏掉 -type=）
• 提醒DNS缓存问题：如果查不到，先用 ipconfig /flushdns 清缓存
• 对先完成的同学追加挑战：用在线whois查 github.com，观察和国内域名的信息差异

第六阶段：总结与预告（5分钟）

本节要点回顾：

1. 踩点的概念：渗透测试的第一步，为后续攻击提供情报支撑
2. 四个目的：了解安全架构 → 缩小攻击范围 → 建立信息数据库 → 绘制网络拓扑
3. 三类踩点内容 新补：网络信息（门在哪）→ 系统信息（锁的型号）→ 组织信息（谁有钥匙）
4. 主动 vs 被动收集 新补：本节工具偏被动（不直接交互），下节课Nmap进入主动扫描
5. 五个工具：whois（域名户口）→ nslookup/dig（DNS）→ ping（连通性）→ tracert（路由）

下节预告：

任务5.2 使用Nmap识别主机、端口及操作系统——从「暗中观察」升级到「主动敲门」，看看目标主机到底开的是什么端口、运行的是什么服务。

课后作业：

• 对本校官网完成一次完整踩点信息收集，按"网络信息—系统信息—组织信息"三类整理成清单
• ⚠️ 仅限使用whois/nslookup/ping/tracert等被动工具，不允许扫描！

五、板书设计

六、教学反思预设

1. 学生可能问：whois查不到信息怎么办？
   → 介绍在线whois工具（chinaz.com）、ICP备案查询（beian.miit.gov.cn）、以及使用多个whois服务器交叉验证
2. 学生可能问：ping不通是不是目标就不在线？
   → 讲解防火墙禁ICMP的情况 → 自然引出Nmap的多协议探测优势（下节课内容，制造期待）
3. 学生可能问：踩点信息这么多，怎么管理？
   → 推荐使用Markdown或表格做信息清单，高阶可用OneNote/Notion；渗透测试中常用专用工具如Maltego做信息关联分析
4. 时间弹性策略：
   如果实操超时：tracert部分可口头讲解+演示，学生课后自行练习
   如果进度快：补充Google Hacking技巧（site:/intitle:/inurl:），展示搜索引擎在踩点中的高级用法
5. 抬头率关注点：
   实操演示时学生注意力最集中（看到命令行输出很新鲜）；DNS记录类型讲解较抽象，用"快递系统"类比后穿插提问化解；5.1.3踩点的内容部分多用生活化举例（菜市场买菜/旅游攻略），降低认知负担