Quake 资产收集全面指南

Quake 资产收集全面指南 1. Quake 工具概述 Quake 是一款面向网络空间安全领域的专业化搜索引擎，通过持续的全球网络空间探测与数据聚合，构建了覆盖海量设备、服务、域名的资产数据库，并提供多维度精准查询与深度分析能力。 核心特性 专注于网络空间技术资产信息 精准定位特定类型设备、开放端口、服务版本及应用框架 支持资产测绘、漏洞挖掘、攻击面分析等场景 数据覆盖范围包括： 全球 IP 地址 域名及子域名 开放端口 服务协议 应用指纹 SSL/TLS 证书 数据更新周期短，及时反映网络空间资产动态变化 提供 Web 操作界面与标准化 API 接口 支持手动交互式查询与自动化脚本调用 2. Quake 核心功能模块 2.1 资产搜索模块 支持关键词组合、字段限定等语法实现精准资产定位 支持多维度条件构建查询： IP 段 域名 端口 服务类型 应用指纹 2.2 资产详情模块 提供全景式资产信息展示： IP 地址 端口状态 服务名称及版本 应用指纹 操作系统推测 地理位置 域名绑定关系 SSL 证书详情 历史数据变更记录 2.3 资产监控模块 支持对关键资产或资产组设置动态监控策略 实时告警通知触发条件： 端口开放/关闭 服务版本更新 应用指纹变化 2.4 资产导出与报表模块 支持导出格式：CSV、JSON 可导入漏洞扫描器（如 Nessus、OpenVAS）、渗透测试平台 提供自定义报表生成功能 展示维度： 端口分布 应用类型占比 地域分布 2.5 API 接口模块 支持自动化资产收集 可通过 API 接口调用搜索、数据导出等核心功能 支持与 Python、Shell 等脚本语言集成 实现批量查询、定时采集与自动化分析 3. Quake 资产收集基本流程 3.1 明确资产收集目标 梳理企业公开网络资产边界 定位 IP 段内的存活设备 排查使用特定漏洞影响版本的服务资产 3.2 Quake 检索语法体系详解 3.2.1 基础信息检索 | 检索语法 | 字段名称 | 支持数据模式 | 解释说明 | 范例 | |---------|---------|------------|---------|------| | ip | IP 地址及网段 | 主机数据、服务数据 | 支持单个IP、CIDR地址段、IPv6 | ip:"1.1.1.1" ip:"1.1.1.1/16" ip:"2804:29b8:500d:4184::e2bd" | | is_ ipv6 | IP 协议版本 | 主机数据、服务数据 | 仅接受 true/false | is_ipv6:"true" （查询IPv6资产） | | port | 端口 | 主机数据、服务数据 | 单个端口或端口范围 | port:"80" port:[80 TO 1024] （80-1024端口） | | ports | 多端口 | 主机数据、服务数据 | 同时开放的多个端口 | ports:"80,8080,443" （同时开放这三个端口） | | transport | 传输层协议 | 主机数据、服务数据 | 仅接受 tcp/udp | transport:"tcp" （查询TCP协议资产） | 3.2.2 网络与归属检索 | 检索语法 | 字段名称 | 支持数据模式 | 解释说明 | 范例 | |---------|---------|------------|---------|------| | asn | 自治域号码 | 主机数据、服务数据 | ASN 编号 | asn:"12345" （某企业ASN段） | | org | 自治域归属组织 | 主机数据、服务数据 | 组织名称 | org:"Tencent" （腾讯自治域资产） | | country_ cn | 国家（中文） | 主机数据、服务数据 | 中文国家名称 | country_cn:"中国" | | province_ cn | 省份（中文） | 主机数据、服务数据 | 中文省份名称 | province_cn:"广东" | | isp | 运营商 | 主机数据、服务数据 | 运营商名称 | isp:"阿里云" （阿里云托管资产） | 3.2.3 应用与服务检索 | 检索语法 | 字段名称 | 支持数据模式 | 解释说明 | 范例 | |---------|---------|------------|---------|------| | service | 服务名称 | 主机数据、服务数据 | 应用协议名称 | service:"http" （HTTP服务资产） | | app | 服务产品 | 主机数据、服务数据 | Quake识别的应用指纹 | app:"Apache Tomcat" （Tomcat服务器） | | app_ version | 产品版本 | 主机数据、服务数据 | 应用版本号 | app_version:"8.5.50" （特定版本Tomcat） | | cert | SSL/TLS 证书 | 主机数据、服务数据 | 证书解析信息 | cert:"example.com" （证书含该域名） | | catalog | 应用类别 | 服务数据 | 高层面应用聚合分类 | catalog:"IoT物联网" （物联网设备） | 3.2.4 语法组合规则 逻辑运算符 ：使用 AND（同时满足）、OR（满足任一）、NOT（排除条件）组合字段 例： app:"Apache Tomcat" AND port:8080 AND country_cn:"中国" 范围匹配 ：使用 [ TO ] 表示范围 例： port:[1024 TO 65535] （查询高位端口资产） 精确匹配 ：使用双引号 " " 实现精确匹配 例： app:"Apache Tomcat 8.5.50" （避免匹配其他版本） 其他查询方式 基础关键词查询 ：直接输入关键词，如 nginx 、 192.168.1.0/24 字段限定查询 ：通过 字段名:关键词 格式精准限定查询维度 常用基础字段 ： ip: ：按 IP 地址或 IP 段查询 port: ：按端口查询 service: ：按服务名称查询 app: ：按应用指纹查询 domain: ：按域名查询 country: ：按国家查询 city: ：按城市查询 3.3 执行搜索与结果筛选 在 Quake Web 界面搜索框中输入构建好的检索语法 点击"搜索"按钮执行查询 搜索结果以列表形式展示资产核心信息（IP、端口、服务、应用等） 通过页面左侧筛选面板进一步缩小结果范围： 服务类型 应用类别 地理位置 数据更新时间 3.4 资产信息聚合与导出 使用"导出"功能将数据保存为 CSV 或 JSON 格式 导出的资产数据可用于： 漏洞扫描器导入 渗透测试靶标清单建立 企业资产台账更新 使用"报表"功能生成可视化统计图表： 端口分布 应用类型占比 地域分布 4. 协议深度识别与字段应用 4.1 HTTP/HTTPS 协议 | 字段 | 字段含义 | 搜索语法示例 | 应用场景 | |------|---------|------------|---------| | status_ code | HTTP 状态码 | status_code:200 | 筛选正常访问的 Web 资产 | | title | 网页标题 | title:"后台管理系统" | 定位管理后台入口 | | server | Web 服务器标识 | server:"Nginx 1.16.1" | 查找特定版本服务器（可能存在漏洞） | | favicon | 图标 MD5 值 | favicon:"0488faca4c19046xxxc3ee83cf9d6" | 通过图标特征定位相同 Web 系统 | | body | 网页内容 | body:"统计平台" | 搜索含特定关键词的页面 | 4.2 数据库协议 MongoDB ： service.mongodb.authentication:false （搜索未开启认证的 MongoDB 数据库） Elasticsearch ： service.elastic.indices.health:"red" AND app_version:"7.10.0" （定位异常状态且特定版本的 ES 集群） 4.3 工业控制协议 Modbus ： service.modbus.DeviceIdentification:"Schneider Electric" （搜索施耐德电气的 Modbus 设备） S7 ： service.s7.Name_of_the_PLC:"E40" （定位特定型号的西门子 S7 PLC 设备） 5. Quake 资产收集实战案例 5.1 后台管理系统定位 目标 ：搜索含"用户数据统计平台"关键词的 Web 后台资产 检索策略 ：组合 title 与 body 字段扩大覆盖范围 检索语法 ： title:"xx统计平台" OR body:"xx计平台" 结果分析 ：搜索到 40 条结果（含 22 个独立 IP） 可登录后台：zx.xxx.com、x.xxx.com 特定端口后台：9900/9901/9907 等非标准端口后台 关联系统拓展：通过 favicon 值发现同图标关联资产 5.2 未授权数据库资产挖掘 目标 ：查找中国地区未开启认证的 MongoDB 数据库资产 检索语法 ： service:"mongodb" AND service.mongodb.authentication:false AND country_cn:"中国" 利用价值 ：未授权的 MongoDB 数据库可能直接泄露敏感业务数据，需优先纳入漏洞修复清单 5.3 特定厂商设备测绘 目标 ：收集深信服科技的网络设备资产 检索语法 ： vendor:"Sangfor深信服科技股份有限公司" OR catalog:"网络安全设备" AND org:"Sangfor" 结果类型 ：防火墙、VPN 设备、WAF 为主 6. 使用规范与安全注意事项 遵守数据使用规范 ： 仅供合法的网络安全测试、资产巡检等活动使用 严禁用于未授权的攻击、信息窃取等非法行为 使用前需获得目标资产所有者的书面授权 注意查询频率限制 ： Quake 对免费用户和付费用户的 API 调用频率、搜索次数均有限制 避免短时间内发起大量查询请求 7. 总结 Quake 作为网络空间安全领域的专业化搜索引擎，为资产收集提供了高效、精准的技术支撑。通过掌握其核心功能模块、检索语法体系及实战技巧，安全人员能够快速构建目标网络的资产全景画像，为后续安全评估、漏洞防护与攻防对抗提供关键依据。 重要提示 ：在技术应用过程中，需始终坚守合法合规底线，规范数据使用与管理流程，确保资产收集工作在安全、合规的框架内开展。