滲透測試與安全審計的第一階段永遠是資訊蒐集。掌握 Whois、nslookup、host、Traceroute 四大核心偵察工具，能快速繪製目標網路拓撲、枚舉資產、發現攻擊面。本文提供實戰指令、參數解析、輸出解讀與進階組合技巧。

1. Whois：域名/IP 註冊資訊查詢

# 基本查詢
whois example.com
whois 8.8.8.8

# 指定 Whois 伺服器 (針對特定 TLD/RIR)
whois -h whois.arin.net 8.8.8.8
whois -h whois.verisign-grs.com example.com

關鍵輸出字段： Registrar、Creation/Expiration Date、Name Servers (NS)、Registrant/Admin/Tech Contact (若未隱私保護)、Domain Status (clientTransferProhibited 等)。

進階用法： 批量查詢腳本配合 `jq` 解析 JSON 輸出 (支援的 Whois 伺服器)，建立資產資料庫。

2. nslookup：DNS 互動式除錯與區域傳送嘗試

# 互動模式
nslookup
> server ns1.example.com    # 指定權威 NS
> set type=any              # 查詢所有記錄類型
> ls -d example.com         # 嘗試區域傳送 (AXFR)
> exit

區域傳送 (AXFR) 成功可獲得：

• 該域名下所有主機名與 IP 映射 (A/AAAA/CNAME/MX/TXT/NS/SOA 等)
• 內部網段結構、命名規律、伺服器角色（如 `dc01`、`sql-prod`、`vpn-gw`）
• 子域名枚舉基礎（進一步掃描擴大攻擊面）

防禦： 權威 DNS 必須限制 AXFR 僅允許受信任從屬 NS (ACL)，生產環境一律禁用公開區域傳送。

3. host：精簡版 DNS 查詢工具

# 正向/反向解析
host example.com
host 8.8.8.8

# 區域傳送 (需支援 AXFR)
host -l example.com ns1.example.com

# 指定記錄類型
host -t mx example.com      # 郵件伺服器
host -t txt example.com     # SPF/DKIM/DMARC 記錄
host -t ns example.com      # 授權 NS
host -v example.com         # 詳細輸出 (含 TTL、權威區段)

優點：輸出格式固定，適合腳本解析；`host -l` 直接嘗試區域傳送，無需進入互動模式。

4. Traceroute / tracert：路由路徑追蹤與網路拓撲推測

# Linux/macOS
traceroute -n -w 2 -q 1 8.8.8.8
# -n 直接顯示 IP 不做反解，-w 等待超時秒數，-q 每跳探測封包數

# Windows
tracert -d -h 30 8.8.8.8
# -d 不解析主機名，-h 最大跳數

解讀關鍵指標：

• 跳數 (Hop Count)： 到達目標經過的路由器數量，判斷網路層級距離。
• RTT (Round Trip Time)： 每跳三次探測的往返延遲，識別擁塞節點、非對稱路由、MPLS 隧道隱藏跳點。
• 星號 (* * *)： 該跳路由器不回應 ICMP TTL Exceeded (可能禁用 ICMP、ACL 阻擋、負載均衡多路徑)。
• AS 號/地理位置關聯： 配合 `whois ` 或 `bgp.he.net` 查詢每跳所屬 ASN，繪製跨網路邊界路徑。

實戰組合拳：從域名到內網資產圖譜

1. whois target.com → 獲得註冊郵箱、NS 伺服器、郵件伺服器 (MX)。
2. host -t ns target.com → 確認權威 NS 列表。
3. nslookup → server ns1.target.com → ls -d target.com → 若 AXFR 開啟，直接拿下完整區域資料。
4. AXFR 失敗 → host -l target.com ns1.target.com 再試一次；仍失敗 → 子域名暴力枚舉 (`subfinder`/`amass`/`sublist3r`)、CT 日誌查詢 (`crt.sh`)、DNS 區域漫步 (NSEC/NSEC3 遍歷)。
5. 獲得主機清單 → 逐一 host 解析 IP → 建立 IP 資產池。
6. 對每個 IP 執行 traceroute → 繪製網路拓撲圖，識別 DMZ、內網分段、防火牆/負載均衡器位置。
7. 對存活主機執行埠掃描 (`nmap -sS -T4 -p-`)、服務版本識別 (`nmap -sV`)、腳本掃描 (`nmap --script vuln`)。

工具箱擴充建議

• dnsrecon / dnsenum / fierce：自動化 DNS 枚舉套件。
• masscan / zmap：全網段高速埠掃描 (秒級百萬 IP)。
• shodan.io / censys.io / fofa.so：網路空間搜尋引擎，被動資產發現。
• amass / subfinder / assetfinder：子域名枚舉神器，整合 30+ 數據源。
• eyewitness / aquatone：批量截圖 Web 服務，快速識別登入頁/管理後台/預設頁面。

偵察不是目的，而是為了縮小攻擊面、精準定位高價值目標、設計最小權限利用路徑。專業紅隊/滲透測試人員會將偵察結果建構為結構化資產知識圖譜 (Neo4j/GraphDB)，支援持續性紅隊作戰與藍隊防禦驗證。工具死、思維活，掌握原理才能應對千變萬化的網路環境。