首页/安全/漏洞与攻击面速查/互联网暴露资产盘点方法
本包目录(294 条)
漏洞基础与评分46 条Web 漏洞原理与防护55 条主机与服务风险面53 条扫描与验证方法50 条补丁与修复管理45 条
暴露面收敛45 条

互联网暴露资产盘点方法

盘点是收敛的起点:从四个来源交叉收集——自建台账、DNS 解析记录、证书透明度日志、云资源清单;四个来源合并去重后才有接近完整的『公网资产列表』。

漏洞与攻击面速查安全更新于 2026-10-12

数据来源与采集

数据来源与采集
1. 内部台账:域名、云账号、IP 段申请记录
2. DNS:zone 文件导出或注册商面板导出全部记录
3. 证书:crt.sh 按主域名查询(见证书透明度条目)
4. 云:各账号资源清单(EIP/LB/网关)
5. 外部兜底:对自有公网段做端口存活核查
产物公网资产清单:域名→IP→端口→服务→责任人
节奏季度全量 + 变更触发增量
核对与 DNS、证书、云清单逐项交叉,差异即待确认项
盘点表要能回答『这个 IP 是什么业务、归谁管』:没有责任人的资产在收敛动作中会被反复遗漏。

易错点

  • 只盘点了已知业务域名:注册过但没人记得的测试域名漏在清单外

数据来源与参考

  • OWASP WSTG(信息收集思路)
  • CIS Controls(资产管理)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌