因为工作中缘故一直全是网络环境搜索引擎中重度客户，包含Shodan/ZoomEye/Censys/Fof

a等服务平台都是有过应用工作经验，乃至自身精英团队也试着开发设计过相近服务平台。自觉

得還是十分掌握的，在前面看了黑哥写的2~3篇文章内容后及海外学者的一些文章内容后干了一

些尝试，顺便也共享下很多年应用搜索引擎的一些检索招数，期待大伙儿能喜爱，自然这一也

是以便顺从下ZoomEye官方网发表文章送vip会员的主题活动:)不用说空话了，踏入主题：

 

 

1、CobaltStrike
 

这一方式最开始是在黑哥在medium上公布几篇文章内容详细介绍运用ZoomEye鉴别在野Coba

ltStrike网络服务器的文章内容[1][2]详细介绍的,由于文章内容是英语写的公布在medium上中国

立即浏览不上，因此 这儿再度简易介绍一下。在这以前大家必须提一下Fox-it的工作中，是她

们最开始刚开始根据网络环境测绘工程技术性去鉴别跟踪在野CobaltStrike的工作中并在她们

的blog上公布了相匹配的科研成果[3]，CobaltStrike出示的Web服务是根据NanoHTTPD开源

框架开发设计的，而那时候Fox-it工程师发觉NanoHTTPD回到banner里存有一个出现异常的

空格符bug，随后根据这一出现异常的空格符去鉴别。接着CobaltStrike官方网在公布的3.1

3版本号了对这一“bug”干了升级解决。

 

 

 

实际上大家不用这一运用这一说白了的出现异常的空格符bug，依据观查CobaltStrike的WE

B服务项目回到http头存有较为显著的特点，从而来鉴别跟踪CobaltStrike。根据curl立即要

求CobaltStrike的WEB服务器端口首页內容回到http头比较简单而且特点化，立即获取2个重

要字符串数组HTTP/1.1404NotFoundContent-Type:text/plainDate:及Content-Length:0(注：

这儿必须表明下ZoomEye在配对解决是忽略回车键自动换行的，不获取Date的一部分是由

于这个这个时间转变的)，这儿大家根据+开展“且”计算（注：这儿顺便表明下ZoomEye适

用的或运算：空格符为or运算符表明逻辑性或计算，+为and运算符表明逻辑性且计算，

-为not运算符表明逻辑性“非”计算）

 

 

 

积极扫描检测及网络环境搜索引擎能够帮助大家跟踪鉴别各种各样网络攻击印痕，也十分

认可黑哥明确提出来的“动态性测绘工程”的见解，根据动态性测绘工程关系各种各样数据

信息能够更为健全网络攻击肖像，例如上文里详细介绍的好多个架构全是在历史上好几个

APT机构应用过的架构。现阶段从火眼等好几个企业的文章内容看来，有大量的安全关心

到积极扫描仪及网络环境搜索引擎在APT跟踪行业的运用。