端口扫描与子域发现拿到一台主机、或一个域名想先摸清它对外暴露了什么本篇教你用 TraceEagle 走两条路端口扫描——主动探一台主机开了哪些端口、跑什么服务子域发现——只读公开数据、不碰目标就能挖出一个域名底下的子域。两者一被动铺面、一主动核点配合起来盘点对外暴露面。一、什么时候用满足下面任一条就适合想摸清一台设备 / 服务器对外的服务面开了哪些端口、大致跑什么、Banner 是什么。拿到一个域名想只凭公开数据就盘点它对外暴露的子域不惊动目标。做资产盘点、梳理对外暴露面先被动挖子域铺开资产面再对挑出的主机主动核端口。两个功能开箱即用不需要额外驱动或特权。二、前置条件已安装并启动 TraceEagle首次启动同意系统权限即可。端口扫描知道要探的主机名或 IP。子域发现知道要盘点的域名如example.com。子域发现全程只查询公开数据集不向目标发送任何请求无需与目标建立任何连接。三、场景 A端口扫描——探一台主机开了哪些端口、跑什么服务打开端口扫描在目标框里填一个主机名或 IP。选扫描范围三选一常用端口默认一批精选的高频端口最快出结果。全部端口1–65535最全耗时也最长。自定义按需填如80,443,8000-8100。决定是否抓取 Banner开启推荐连上开放端口取服务欢迎信息据此校正服务识别。关闭仍按端口给出服务名只是不再抓欢迎信息、也不据此校正。点开始。扫描过程实时显示进度与「已发现 N 个开放」不用干等。怎么读结果每个开放端口给三列——端口号探到开放的 TCP 端口。服务名先按端口猜再结合抓到的 Banner 修正。把 SSH、redis、mysql 之类跑在非标准端口上也能认出来。Banner抓到的服务欢迎信息HTTP 端口则给出状态行与Server头。开放端口列表可按端口号排序一列看下来对外服务面一目了然。四、场景 B子域发现——被动摸清一个域名的子域打开子域发现在框里填一个域名如example.com。点开始。工具会并行查询多个公开情报源边查边把子域列出来。想快速定位直接在结果里实时过滤要整份带走点一键复制全部。怎么读结果来源分两类展示各带命中计数——证书透明度日志从公开的 CT 日志里挖出用过的子域。被动 DNS从公开的被动 DNS 数据集里聚合子域。结果自动去重、排序后列出。某个来源临时不可用或被限流也不会拖垮整体其余来源照常出结果、各自标注命中数——所以看到某一类命中数为 0 不代表出错换个角度已经把能挖的都挖出来了。五、主动 vs 被动两者怎么配合端口扫描子域发现对象一台主机 / IP一个域名方式主动探测目标端口被动查公开情报是否与目标交互是直接连它的端口否只读公开数据拿到什么开放端口 服务 Banner对外暴露的子域清单推荐顺序先用子域发现只读公开数据铺开一个域名的资产面再对挑出的主机用端口扫描核实开了哪些服务——被动铺面、主动核点一套下来对外暴露面就清楚了。六、技巧与排错现象多半是怎么办扫描很慢、迟迟不完选了「全部端口1–65535」资产梳理先用「常用端口」快速铺开确有需要再对单台主机跑全端口开放端口的服务名像是猜错的关掉了 Banner 抓取只靠端口号猜开启抓取 Banner用真实欢迎信息校正——非标准端口上的服务也能认出来某类情报源命中数为 0该来源临时不可用或被限流属正常其余来源照常出结果换个时间再跑那一类通常会恢复子域列表太长、找不到想要的结果条目多用实时过滤按关键字收窄或一键复制全部导出后再处理想核实某个子域到底开了什么子域只是清单不含端口信息把该子域 / 其 IP 填进端口扫描主动核实开放端口与服务下一步挑出目标主机后想看它的画像、归属、地理位置等见 主机详细信息。想直接对某个服务发请求、验证接口见 请求构造与重放。摸清端口后想抓它的流量看明文从 代理抓包 或 网卡抓包 入手。想确认某条链路通不通、延迟如何见 网络诊断、连接表。