文档
IP及域名信息相关搜索
| 语法 | 说明 | 注 |
|---|---|---|
ip="8.8.8.8" | 搜索指定IPv4地址相关资产 | |
ip="2600:3c00::f03c:91ff:fefc:574a" | 搜索指定IPv6地址相关资产 | |
cidr="52.2.254.36/24" | 搜索IP的C段资产 | cidr="52.2.254.36/16" 为IP的B段资产，cidr="52.2.254.36/8" 为IP的A段资产 |
org="ISW" 或者 organization="ISW" | 搜索相关组织(Organization)的资产 | 用来定位大学、结构、大型互联网公司对应IP资产 |
isp="Comcast" | 搜索相关网络服务提供商的资产 | 可结合org数据相互补充 |
asn=42893 | 搜索对应ASN（Autonomous system number）自治系统编号相关IP资产 | |
port=80 | 搜索相关端口资产 | 目前不支持同时开放多端口目标搜索 |
hostname="google.com" | 搜索相关IP"主机名"的资产 | |
banner="FTP" | 搜索协议报文相关的数据 | 用于搜索非HTTP协议报文数据 |
http.header="http" | 搜索HTTP响应头相关的数据 | 用于搜索HTTP响应头的数据 |
http.header_hash="27f9973fe57298c3b63919259877a84d" | 通过HTTP响应头计算的hash值进行搜索 | |
http.header.server="Nginx" | 搜索HTTP响应头中server数据 | 用于搜索HTTP响应头中Server的数据 |
http.header.version="1.2" | 搜索HTTP响应头中的服务版本号 | |
http.header.status_code="200" | 搜索HTTP响应头中的状态码 | 搜索HTTP响应状态码为200的资产或其他状态码，如302、404等 |
http.body="document" | HTML正文进行查询搜索 | |
http.body_hash="84a18166fde3ee7e7c974b8d1e7e21b4" | HTML正文计算的hash值搜索 |
指纹相关搜索
| 语法 | 说明 | 注 |
|---|---|---|
app="Cisco ASA SSL VPN" | 搜索思科ASA-SSL-VPN的设备 | 更多的app规则请参考"导航"，在搜索框输入"思科"等关键词会有相关app提示 |
service="ssh" | 搜索对应服务协议的资产 | 常见服务协议包括：http、ftp、ssh、telnet等等（其他服务可参考搜索结果域名侧栏聚合展示） |
device="router" | 搜索路由器相关的设备类型 | 常见类型包括router(路由器)、switch(交换机)、storage-misc(存储设备)等等（其他类型可参考搜索结果域名侧栏聚合展示） |
os="RouterOS" | 搜索相关操作系统 | 常见系统包括Linux、Windows、RouterOS、IOS、JUNOS等等（其他系统可参考搜索结果域名侧栏聚合展示） |
title="Cisco" | 搜索html内容里标题中存在"Cisco"的数据 | |
industry="政府" | 搜索行业类型相关的资产 | 常见的行业类型包括科技、能源、金融制造业等等（其他类型可结合org数据相互补充） |
product="Cisco" | 搜索组件信息包含Cisco的资产 | 支持主流资产组件搜索 |
protocol="TCP" | 搜索传输协议为TCP的资产 | 常见的传输协议有TCP、UDP、TCP6、SCTP |
is_honeypot="True" | 筛选是否包含蜜罐资产 |
证书搜索
| 语法 | 说明 | 注 |
|---|---|---|
ssl="google" | 搜索ssl证书存在"google"字符串的资产 | 常常用来提过产品名及公司名搜索对应目标 |
ssl.cert.fingerprint="F3C98F223D82CC41CF83D94671CCC6C69873FABF" | 搜索证书相关指纹资产 | |
ssl.chain_count=3 | 搜索ssl链计数资产 | |
ssl.cert.alg="SHA256-RSA" | 搜索证书支持的签名算法 | |
ssl.cert.issuer.cn="pbx.wildix.com" | 搜索用户证书签发者通用域名名称 | |
ssl.cert.pubkey.rsa.bits=2048 | 搜索rsa_bits证书公钥位数 | |
ssl.cert.pubkey.ecdsa.bits=256 | 搜索ecdsa_bits证书公钥位数 | |
ssl.cert.pubkey.type="RSA" | 搜索证书的公钥类型 | |
ssl.cert.serial="18460192207935675900910674501" | 搜索证书序列号 | |
ssl.cipher.bits="128" | 搜索加密套件位数 | |
ssl.cipher.name="TLS_AES_128_GCM_SHA256" | 搜索加密套件名称 | |
ssl.cipher.version="TLSv1.3" | 搜索加密套件版本 | |
ssl.version="TLSv1.3" | 搜索证书的ssl版本 | |
ssl.cert.subject.cn="example.com" | 搜索用户证书持有者通用域名名称 | |
ssl.jarm="29d29d15d29d29d00029d29d29d29dea0f89a2e5fb09e4d8e099befed92cfa" | 搜索相关jarm内容的资产 | |
ssl.ja3s=45094d08156d110d8ee97b204143db14 | 查找与特定JA3S指纹相关的资产 |
Iconhash
| 语法 | 说明 | 注 |
|---|---|---|
iconhash.md5="f3418a443e7d841097c714d69ec4bcb8" | 通过 md5 方式对目标数据进行解析，根据图标搜索相关内容的资产 | 搜索包含"google"图标的相关资产 |
iconhash.mmh3="1941681276" | 通过 mmh3 方式对目标数据进行解析，根据图标搜索相关内容的资产 | 搜索包含"amazon"图标的相关资产 |