5.1.1　Webshag

这是一种服务器扫描工具，可以躲避入侵检测系统（Intrusion Detection System，IDS）的检测。许多IDS工具的工作原理是阻止来自特定IP地址的可疑流量。Webshag可以通过代理向服务器发送随机请求，从而规避了IDS的IP地址拦截机制。

因此，IDS将很难保护目标不被探测。Webshag可以查找服务器上的开放端口以及在这些端口上运行的服务。它有一个更激进的模式叫作蜘蛛（Spider），可以列出服务器中的所有目录，让黑客能够更深入地挖掘，找到任何松散保存的敏感文件或备份。它还可以找到网站上发布的电子邮件和外部链接。Webshag的狡猾之处在于它可以扫描HTTP和HTTPS协议。

Webshag可以在GUI或命令行版本中使用，如图5-1所示。

图5-1　运行PSCAN选项以查找开放端口的Webshag屏幕快照

图5-2是使用CLI（Command-Line Interface）的Webshag。可以清楚地看到服务器上的开放端口以及在其上运行的服务。

它还显示网站正在Apache服务器中的WordPress上运行，并显示了抓取的旗标及所有检测到的服务。

图5-2　FOCA显示的Webshag CLI选项

外部侦察涉及从所有可能的来源获取信息。有时，文件可能包含重要的元数据，黑客可以利用这些元数据构建攻击。FOCA（Fingerprinting Organizations with Collected Archives）能够帮助扫描并从文件和Web服务器中提取隐藏的信息。它可以分析文档和图像文件以查找信息，如文档中的作者或图片中的位置。

在提取这些信息之后，FOCA使用DuckDuckGo、Google和Bing等搜索引擎从网络上搜集与隐藏的元数据相关的附加信息。因此，它可以提供文档作者的社交媒体个人资料或照片中某个地方的实际位置。这些信息对黑客来说是无价的，因为可以利用这些信息对目标进行分析，并可能通过电子邮件或社交媒体对其进行网络钓鱼攻击。

图5-3显示了FOCA的运行情况。

图5-3　FOCA枚举实战