零基础入门安全测试行业里有一条几乎没人反驳的经验一个测试项目能走到多深不取决于你掌握了多少漏洞利用技巧而取决于最开始的信息收集做得有多扎实。很多新手在“信息收集”这个环节最容易犯的错不是工具不会用而是不知道自己在为什么收集、边界在哪里。今天这篇保姆级教程不聊那些需要大量前期积累才能上手的复杂工具只聚焦三件最基础、任何一名网络安全学习者都应该先掌握的命令whois、ping、traceroute。它们分别解决三个问题这个域名是谁注册的、目标主机在不在线、数据包经过了哪些网络节点。把这套流程跑通你对“什么是网络拓扑”“什么是授权边界”会有一个比单纯背概念强得多的体感。同时我必须先把规矩立在前面下文所有命令都应该在你自己的资产、公司明确授权的测试范围、或者专业靶场环境中执行。信息收集本身没有善恶但未经授权的信息收集就是违规行为这一点写在最前面比任何技术细节都重要。1. 为什么信息收集是第一步而不是直接扫描漏洞很多零基础学习者有一种冲动学会一个漏洞扫描工具就对着某个网站一顿扫。这种想法在真实项目里是行不通的原因也很直接——你没有目标信息扫描器根本不知道往哪里打。一个完整的授权安全测试流程会先经历“资产定义”阶段。你需要搞清楚目标域名对应哪些 IP、这些 IP 属于哪个运营商或机房、有没有使用 CDN、后端有哪些开放端口、部署了什么 Web 中间件。这些信息才是后续漏洞挖掘和渗透测试的“地图”。没有地图就出发和一进考场不看题目直接写答案没有区别。信息收集通常被分成两类被动信息收集不直接与目标系统发生网络交互而是通过公开渠道、搜索引擎、注册信息库获取数据。最典型的操作就是 whois 查询。主动信息收集会向目标主机发送探测报文目标系统会在日志里留下你的痕迹。ping 和 traceroute 就属于这一类。角色是相互的。攻击者做信息收集是为了找切入点安全工程师做信息收集是为了发现暴露面、确认哪些资产不该出现在公网上。同样一组命令在防守视角下一样是核心技能。这也是为什么我说这三件套真正教你的不是“怎么攻击”而是“怎么看懂一个网络目标的基本轮廓”。本文的写作节奏是按照“查询域名注册信息 → 确认主机存活 → 追踪网络路径 → 把三个结果整合成一张网络认知图”来展开的。学完之后你能独立完成一次最小化的目标基础信息摸排并且能说出每一步操作的合法边界在哪里。2. 三件套定位Whois、Ping、Traceroute 各自解决什么问题很多资料把这三个命令当成独立的“工具清单”来讲这其实是浪费。它们之所以被放在一起是因为它们在信息收集链路里正好构成三段递进关系先查注册信息再验证连通性最后看路由路径。工具对应协议/体系输入主要输出在信息收集中的角色交互类型whoisWHOIS / RDAPTCP 43 / HTTPS 443域名、IP 段注册商、注册时间、DNS 服务器、注册人信息资产确认与归属判断被动为主pingICMP Echo域名或 IP目标是否在线、往返延迟、TTL存活确认与初步网络状态判断主动traceroute / tracertICMP / UDP / TCP逐跳探测域名或 IP每一跳路由节点的 IP 与延迟网络路径分析、中间设备定位主动需要特别指出的是这三个命令在合法授权前提下属于低风险的基础探测手段。whois 查询的是公共注册数据库全世界任何用户都能查ping 只发 ICMP 回显请求不扫描端口也不尝试建立应用连接traceroute 只是沿着路由路径发送 TTL 递增的探测报文。但这不等于你可以随意使用。主动探测类操作一旦进入互联网就会在目标系统和沿途网络设备上产生流量记录。你在公网上 ping 一个 ip 和 traceroute 一个域名目标网关和 IDC 可能没有直观感知但流量日志会留下痕迹。合法的起点是这个目标要么是你的要么对方明确同意你测。对零基础读者来说还有一个认知需要纠正whois 查出来的是“注册人去哪儿联系”、“域名什么时候到期”而不是“这台服务器在哪个经纬度”。IP 归属信息最多精确到城市级、运营商级甚至机房级无法通过这三个命令得到某个人的精确家庭住址。后面第 7 节我会专门展开这个话题。3. 环境准备一个能跑通三件套的终端这三件套对系统没有任何特殊要求。Windows、macOS、Linux 都内置了 ping 和 tracert/traceroute区别只在命令名和参数风格。真正需要额外安装的是 whois 客户端因为很多系统默认不带。3.1 检查命令是否可用打开终端先确认一下你缺什么# Linux / macOS which ping which traceroute which whois# Windows PowerShell Get-Command ping, tracert不同发行版的结果差异很大。Kali Linux 这类安全发行版默认预装了全部三件套Ubuntu/Debian 一般自带 ping但 whois 和 traceroute 可能需要手动安装sudo apt update sudo apt install whois traceroutemacOS 自带 whois 和 pingtraceroute 也默认存在无需额外安装。Windows 原生没有 whois 客户端但 PowerShell 环境可以通过在线接口实现相同效果或者用浏览器打开各大域名注册商官网的 whois 查询页面。3.2 选一个合法练习目标很多初学者会随手拿一个大型网站开始练手这恰恰是最容易出问题的习惯。正确做法是查 whois 时用你自己的域名或者用 example.com 这类保留域名感受输出格式练习 ping 和 traceroute 时可以用 127.0.0.1、你自己的网关、或者你的云服务器如果公司或学校有授权靶场优先在靶场环境里练。一个非常好的零成本练习方式是在你自己的电脑上开一台虚拟机或者用 Docker 起一个容器把它当作“目标”。这样你可以任意执行命令、观察完整输出不会对他人造成任何影响。3.3 什么是“目标”全文我们使用example.com作为教学用域名。这个域名由 IANA 保留专门用于文档示例查询它不会给任何人带来困扰。真实项目里你需要把它替换成授权范围内的资产域名。4. Whois查询域名注册信息whois 的作用是“查户口”。它本质上是一个基于文本查询协议的服务当你输入一个域名客户端会向对应的 WHOIS 服务器发起查询请求服务器返回该域名的注册记录。4.1 命令行基础用法whois example.com以 Linux/macOS 的终端为例输出是一大段键值对文本。不同类型的域名.com、.cn、.org返回的字段略有差异但核心字段基本一致。下面是典型的输出结构为了让你看得更清楚我做了精简Domain Name: EXAMPLE.COM Registry Domain ID: ... Registrar WHOIS Server: whois.iana.org Registrar URL: https://www.iana.org/domains/example Creation Date: 1995-08-14T04:00:00Z Registry Expiry Date: 2026-08-13T23:59:59Z Registrar: IANA Registrant Organization: Internet Assigned Numbers Authority Registrant Country: US Name Server: A.IANA-SERVERS.NET Name Server: B.IANA-SERVERS.NET4.2 需要重点看的字段Domain Name确认你要查的域名防止输错域名导致查错对象。Registrar注册商。它告诉你这个域名是在哪家注册商名下保管的。如果是真实目标这条信息会为后续社工信息收集提供线索。Creation Date / Registry Expiry Date域名创建时间和到期时间。创建时间久、从未变过 DNS 的域名往往意味着这是一家成熟企业刚注册一周的域名则要警惕是不是钓鱼站点或临时挂载的业务。Name Server最重要的字段之一。域名在哪个 DNS 服务器解析未来用 nslookup/dig 进一步做 DNS 信息收集时这里就是起点。Registrant Organization / Country注册主体名称和所在国家/地区。在企业安全评估中这个字段用于确认目标域名的归属主体是否和授权范围一致。4.3 一个很常见的误区很多首次接触 whois 的人会把“注册信息”和“服务器物理位置”混为一谈。域名注册信息告诉你的是这个域名是谁注册的、找谁续费、域名归谁管理——它是所有权和资产管理信息不是基础设施地图。如果你拿到一个 IP 地址也可以通过 whois 查它的地址段归属whois 8.8.8.8输出里会出现一个OrgName或netname字段指明这个 IP 归属于哪家机构、哪个地址段CIDR、分配时间等。这是排查“对方是不是云厂商 IP”“是否属于某家 CDN”的常用方法。4.4 隐私保护与数据局限现实情况是大批域名开启了 WHOIS 隐私保护服务。你查询一个普通企业或个人域名看到的Registrant Org可能是 “Whois Privacy Service”电话邮箱是privacyexample.proxy-service.com这种情况下无法也没有必要继续深挖注册人真实联系方式——绕过隐私保护去挖注册人身份已经越过合法信息收集的边界了。此外不同地域的域名体系差异很大。以 .cn 为例部分字段和政策与 .com 并不完全相同。遇到这类差异不用死记硬背每种后缀的规则记住一个原则查出来的数据是域名管理体系的快照不是目标企业的内部资料。5. Ping确认目标主机是否在线有了域名基础信息下一步通常要确认这个域名解析出来的 IP 到底有没有在对外提供服务或者更简单地问这台主机活着吗这里就轮到 ping 出场。5.1 原理ICMP 回显请求ping 发送的是 ICMPInternet Control Message Protocol报文。它给目标主机发一个 Echo Request类型 8目标主机正常响应时回一个 Echo Reply类型 0。往返时间RTT就是报文从你这里到目标再回来的总耗时。这套机制明确传递了一个信息目标主机的网络协议栈是通的。但请注意它只说明“能通信”不说明“有没有开着 80 端口”“跑没跑 Nginx”。5.2 Linux / Windows 基本参数Linux 和 macOS 的 ping 默认会一直发直到你按 CtrlC。用-c指定发包数量更符合信息收集习惯# 发送 4 个 ICMP 回显请求 ping -c 4 example.com # 指定间隔时间单位秒 ping -c 4 -i 1 example.comWindows 的 ping 语法略有不同ping -n 4 example.com典型输出LinuxPING example.com (93.184.216.34) 56(84) bytes of data. 64 bytes from 93.184.216.34: icmp_seq1 ttl54 time19.7 ms 64 bytes from 93.184.216.34: icmp_seq2 ttl54 time19.3 ms 64 bytes from 93.184.216.34: icmp_seq3 ttl54 time19.5 ms 64 bytes from 93.184.216.34: icmp_seq4 ttl54 time19.4 ms --- example.com ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3001ms rtt min/avg/max/mdev 19.288/19.475/19.700/0.153 ms5.3 TTL 值能说明什么不能说明什么输出里有一个细节很多人会忽略ttl54。TTLTime To Live的初始值由操作系统决定常见经验值如下操作系统默认 TTLLinux64Windows128老旧类 Unix / 部分网络设备255当你收到的 TTL 是 54意味着数据包出发时的 TTL 64 经过 10 跳到达目标64 减去 10 得到 54。单看一个点的 TTL 只能帮你粗略判断目标系统大概率是什么操作系统但它不可作为精确指纹。因为中间路由器会修改 TTL所以经过的跳数不同最终到达目标的 TTL 不同现代操作系统允许用户自行设置 TTL 初始值很多网络设备、CDN 节点、云负载均衡会重写 TTL。所以在信息收集阶段TTL 的价值更多在于“辅助判断目标前面是不是有 CDN / 代理”而不是“确切知道目标是什么系统”。如果你想更准确地识别操作系统指纹需要结合 TCP/IP 栈特性做更复杂的分析那是后续要学的内容。5.4 丢包不等于宕机还有一种常见情况你 ping 一个域名发出去的包全部超时但浏览器却可以正常打开它的网站。原因通常是目标防火墙禁 ping只允许 Web 流量通过目标处于 CDN 后面CDN 节点配置了不响应 ICMP某些云安全组默认不开放 ICMP 入方向规则。因此ping 不通只能说明“目标没有响应 ICMP 报文”不能直接判定目标离线。正确理解是要结合多端口连通性测试来判断主机是否在线。这也是为什么信息收集从来不是一个命令单打独斗。另外提醒一句不要用ping -f洪水模式对任何非授权目标进行大流量测试那已经属于破坏性行为而不是信息收集。6. Traceroute追踪数据包的网络路径ping 能确认“目标活着”但它不告诉你数据包到底经过了哪些路由器。traceroute 解决的问题是从你本机到目标之间流量经过了哪些节点每一跳耗时多久。6.1 原理TTL 逐跳递增这个工具的设计思路非常优雅。IP 包每经过一个路由器TTL 就减 1当 TTL 减到 0路由器会丢弃这个包并回送一个 ICMP Time Exceeded 报文给源地址。traceroute 的做法是第一次发送 TTL1 的探测包第一跳路由器收到后 TTL 变 0丢弃并回送超时报文第二次发送 TTL2 的探测包经过第一跳后 TTL1到第二跳路由器时 TTL 用尽第二跳回送超时报文依次递增 TTL最终探测包到达目标主机。这样本地终端就能根据收到的回送报文逐跳还原出完整的网络路径。6.2 命令使用与输出解读Linux / macOS 使用traceroute默认探针协议是 UDPtraceroute example.com如果你想用 ICMP 作为探针很多防火墙会放行 ICMP加-I参数traceroute -I example.comWindows 内置命令是tracert默认就使用 ICMPtracert example.com以下是一次典型的 Linux traceroute 输出示意traceroute to example.com (93.184.216.34), 30 hops max, 60 byte packets 1 gateway.home (192.168.1.1) 2.215 ms 2.100 ms 2.315 ms 2 10.10.0.1 (10.10.0.1) 5.108 ms 5.412 ms 5.385 ms 3 203.0.113.1 (203.0.113.1) 12.318 ms 12.556 ms 12.401 ms 4 198.51.100.9 (198.51.100.9) 19.811 ms 19.903 ms 19.531 ms 5 * * * 6 * * * 7 93.184.216.34 (93.184.216.34) 22.410 ms 22.223 ms 22.613 ms输出里每行代表一跳多个时间对应同一跳的多次探测。判断时重点看第 1 跳通常是你的网关。从 192.168.1.1 这类私网地址出现说明流量是从局域网出口出发的。中间路由的 IP 可能是私网也可能是公网取决于你的运营商网络架构。能看到公网 IP 的跳数越多路径信息越完整。耗时的骤增往往代表跨运营商或跨地区链路节点比如从华东的运营商进入华北骨干网延迟通常会明显上升。6.3 “星号路”是什么意思输出里出现一整行* * *非常常见它说明这一跳设备没有返回超时报文。真实原因通常有三个该路由器/防火墙配置了不回应 TTL 耗尽报文中间设备对 traceroute 使用的探针类型做了丢弃策略路径发生了变化后续探测走了不同链路。星号不等于断网也不等于目标不可达。只要最终目标那一跳能返回结果路径整体就是通的。有些厂商会故意把中间设备埋掉导致 traceroute 后半段全程星号这时候建议切换探针类型UDP、ICMP、TCP多试几次。TCP 探针适合目标防火墙严格、UDP/ICMP 都被丢弃的场景。Linux 下可以使用-T指定 TCP SYN 探测traceroute -T -p 443 example.com这条命令会让目标节点回 SYN-ACK从而确认该跳可达。它是一种更接近真实业务流量形态的路径验证方式适用场景也更广。7. 三件套联动从域名信息到网络拓扑认知单看 whois、ping、traceroute每一个都是小工具把它们串起来就能获得对一个目标的基础认知。这也是本篇文章最核心的部分。7.1 一次完整的授权信息收集流程演练假设你负责测试一个公司授权给安全团队的网站域名是example.com。你的第一步不该是打开浏览器访问它而是按下面这个顺序执行第一阶段查域名归属whois example.com你得到关键词信息注册商、创建时间、DNS 服务器、注册机构名。如果 DNS 服务器是云厂商的如 cloud 域名常见说明域名可能使用了云解析如果注册信息显示是某个 IDC那么域名主体往往指向具体企业。第二阶段解析并确认目标 IP这一步通常会用到nslookup或dig它们不在今天三件套范围内但 ping 也能带出 IPping -c 1 example.com注意看输出第一行括号里的 IP。如果同一个域名解析出多个 IP说明目标很大概率用了负载均衡或 CDN。此时再对 IP 做一次 whoiswhois 93.184.216.34这样你就能知道这个 IP 是目标自有机房还是云厂商 CDN 节点。如果 IP 归属和域名主体不一致后续测试往往要先绕过 CDN 寻找真实源站这属于信息收集的重要目标。第三阶段探测连通性与路径ping -c 4 example.com traceroute example.comping 的结果用来评估目标对 ICMP 的响应策略和基础延迟traceroute 用来观察路径上是否有特殊的防火墙设备、是否存在境外节点中转。把三个阶段的信息放到一张表里阶段核心输出判断结论whois 域名注册商、注册时间、DNS目标资产归属是否使用第三方托管whois IP地址段归属、机构名IP 是自有机房还是 CDN / 云厂商pingTTL、延迟、丢包目标是否在线、是否有防火墙策略traceroute逐跳节点 IP、延迟路径结构、是否经过特殊网络设备这张表就是你后续做端口扫描、漏洞评估之前最重要的“先验知识”。7.2 关于“物理位置”的正确理解标题里提到“定位目标物理位置”我必须在这里给出准确而且稳妥的技术解释通过 whois 和 IP 归属查询你得到的只是“网络位置”不是“物理位置”。whois 查询的注册地址是域名注册时的联系地址通常不更新也无法验证当前真实性IP 归属库能查到的是 IP 地址段分配时登记的运营商和地区只能判断“这个 IP 属于某地的某家运营商/机房”要精确定位到某个人或某个房间级别的物理位置需要运营商、司法机关和网络基础设施提供方的配合这与公开信息收集完全不是一个层面。所以不要相信影视作品里那种“一个 IP 定位到坐标”的桥段。在合法安全测试中我们把 IP 定位当作资产归属的大致判断依据就够了。过度解读 IP 定位既没有技术依据也容易把学习者带偏。7.3 信息整合后的下一步三件套跑完后你已经能回答三个问题目标域名是谁的、目标 IP 在哪、目标网络路径怎么走。下一步通常是端口扫描与指纹识别——确认目标系统开放了哪些端口、运行了什么服务。这属于更高一级的主动信息收集技术本文不展开但你可以把它作为后续学习方向。8. 常见问题与排查思路零基础刚开始实操大概率会碰到下面这些问题。表格里给出的是最常见的场景和解决思路问题现象可能原因排查方式解决方案输入 whois 提示命令不存在系统中未安装 whois 客户端which whois检查 PATHUbuntu/Debian 执行sudo apt install whoiswhois 显示大量隐私保护字段域名开启了 WHOIS 隐私保护查看 Registrar/Org 字段是否为代理类型这是正常现象属于域名管理策略不要尝试绕过ping 目标超时但浏览器能打开网站目标防火墙或 CDN 禁 ping换其他端口连通性测试如 nc 或 telnet 443用nc -zv 目标IP 443验证服务存活ping 的 TTL 与预期不符中间路由改写 TTL或路径跳数变化结合 traceroute 查看路径把 TTL 当作辅助信号不作精确指纹traceroute 某几跳全是* * *中间设备不响应 ICMP或路径变化尝试-IICMP、-TTCP参数关注最终目标跳是否可达不过度解读星号traceroute 最后几跳超时但网站正常目标主机设置了丢弃 TTL 耗尽报文用traceroute -T -p 443探测确认业务端口可达即可出口网络禁 ICMPping 全超时本地网络或运营商限制 ICMP检查本地网关地址 ping 是否通使用 TCP 类探测替代第一条建议依然是最重要的遇到问题先看命令的输出原文。终端已经告诉你很多信息了不要只凭“不通”“没反应”就去盲改参数。9. 安全边界与最佳实践写到这里技术层面已经覆盖了最基本的信息收集三件套。但这类文章如果不包含使用边界的提醒就是不完整的。下面几条是我认为每一个安全测试学习者都应该建立的习惯。9.1 练习环境的选择最理想的零基础练习环境是你自己的域名和服务器域名你可以用 1 元低价款注册一个服务器可以买按量计费的云主机全部放自己的资产专业靶场国内外都有合法的漏洞靶场和在线实训平台很多平台提供授权范围内的虚拟目标本地 VM / 容器在 VMware 或 VirtualBox 里搭建自己的实验网络用 docker 起容器当目标路径上还能加几个中间网关模拟 traceroute。永远不要因为“想试试”就对一个陌生公网 IP 进行端口扫描或路径追踪。一次告警可能就会让测试者面临严重风险。规则只有一句话没有授权任何主动信息收集都不能做。9.2 主动探测的操作纪律在实际项目中即使是授权测试也要讲纪律最小探测先 ping 一两个包确认存活不要改用大包、洪泛方式做连通性测试限定范围只对授权书里列明的域名和 IP 网段操作不要顺着 traceroute 路径去扫沿途路由器保留证据把 whois、ping、traceroute 的输出保存下来作为测试过程记录。验收报告里这些原始数据非常有用设置超时写脚本批量探测时一定要限制超时时间避免大量并发探测对目标造成压力。9.3 五天的节奏建议如果你愿意把这篇文章的内容拆成 5 天练习计划可以按下面的节奏走第 1 天理解 whois 输出字段分别查询你的域名和 example.com第 2 天掌握 ping 的常用参数观察不同目标的延迟与 TTL第 3 天掌握 traceroute / tracert用 -I 和 -T 切换探针多试几次第 4 天搭建一个本地虚拟机实验网把三个工具在虚拟目标上跑通第 5 天尝试把三件套的结果整合成一张完整的资产信息表形成习惯。这套节奏不追求快只追求每一步都有实际输出。要知道信息收集能力不是背出来的是敲命令敲出来的。如果你能顺利跑完这五天接下来就可以接触 DNS 解析进阶dig、nslookup、端口扫描、指纹识别、证书透明度日志查询等内容。但无论学多深请始终记住今天立下的那条规矩技术本身是中性工具决定它性质的是使用者的授权和意图。 
长河君 · 2026/10/20 8:12:06 · 阅读 1.2k 零基础安全测试入门：whois、ping、traceroute信息收集三件套
零基础入门安全测试行业里有一条几乎没人反驳的经验一个测试项目能走到多深不取决于你掌握了多少漏洞利用技巧而取决于最开始的信息收集做得有多扎实。很多新手在“信息收集”这个环节最容易犯的错不是工具不会用而是不知道自己在为什么收集、边界在哪里。今天这篇保姆级教程不聊那些需要大量前期积累才能上手的复杂工具只聚焦三件最基础、任何一名网络安全学习者都应该先掌握的命令whois、ping、traceroute。它们分别解决三个问题这个域名是谁注册的、目标主机在不在线、数据包经过了哪些网络节点。把这套流程跑通你对“什么是网络拓扑”“什么是授权边界”会有一个比单纯背概念强得多的体感。同时我必须先把规矩立在前面下文所有命令都应该在你自己的资产、公司明确授权的测试范围、或者专业靶场环境中执行。信息收集本身没有善恶但未经授权的信息收集就是违规行为这一点写在最前面比任何技术细节都重要。1. 为什么信息收集是第一步而不是直接扫描漏洞很多零基础学习者有一种冲动学会一个漏洞扫描工具就对着某个网站一顿扫。这种想法在真实项目里是行不通的原因也很直接——你没有目标信息扫描器根本不知道往哪里打。一个完整的授权安全测试流程会先经历“资产定义”阶段。你需要搞清楚目标域名对应哪些 IP、这些 IP 属于哪个运营商或机房、有没有使用 CDN、后端有哪些开放端口、部署了什么 Web 中间件。这些信息才是后续漏洞挖掘和渗透测试的“地图”。没有地图就出发和一进考场不看题目直接写答案没有区别。信息收集通常被分成两类被动信息收集不直接与目标系统发生网络交互而是通过公开渠道、搜索引擎、注册信息库获取数据。最典型的操作就是 whois 查询。主动信息收集会向目标主机发送探测报文目标系统会在日志里留下你的痕迹。ping 和 traceroute 就属于这一类。角色是相互的。攻击者做信息收集是为了找切入点安全工程师做信息收集是为了发现暴露面、确认哪些资产不该出现在公网上。同样一组命令在防守视角下一样是核心技能。这也是为什么我说这三件套真正教你的不是“怎么攻击”而是“怎么看懂一个网络目标的基本轮廓”。本文的写作节奏是按照“查询域名注册信息 → 确认主机存活 → 追踪网络路径 → 把三个结果整合成一张网络认知图”来展开的。学完之后你能独立完成一次最小化的目标基础信息摸排并且能说出每一步操作的合法边界在哪里。2. 三件套定位Whois、Ping、Traceroute 各自解决什么问题很多资料把这三个命令当成独立的“工具清单”来讲这其实是浪费。它们之所以被放在一起是因为它们在信息收集链路里正好构成三段递进关系先查注册信息再验证连通性最后看路由路径。工具对应协议/体系输入主要输出在信息收集中的角色交互类型whoisWHOIS / RDAPTCP 43 / HTTPS 443域名、IP 段注册商、注册时间、DNS 服务器、注册人信息资产确认与归属判断被动为主pingICMP Echo域名或 IP目标是否在线、往返延迟、TTL存活确认与初步网络状态判断主动traceroute / tracertICMP / UDP / TCP逐跳探测域名或 IP每一跳路由节点的 IP 与延迟网络路径分析、中间设备定位主动需要特别指出的是这三个命令在合法授权前提下属于低风险的基础探测手段。whois 查询的是公共注册数据库全世界任何用户都能查ping 只发 ICMP 回显请求不扫描端口也不尝试建立应用连接traceroute 只是沿着路由路径发送 TTL 递增的探测报文。但这不等于你可以随意使用。主动探测类操作一旦进入互联网就会在目标系统和沿途网络设备上产生流量记录。你在公网上 ping 一个 ip 和 traceroute 一个域名目标网关和 IDC 可能没有直观感知但流量日志会留下痕迹。合法的起点是这个目标要么是你的要么对方明确同意你测。对零基础读者来说还有一个认知需要纠正whois 查出来的是“注册人去哪儿联系”、“域名什么时候到期”而不是“这台服务器在哪个经纬度”。IP 归属信息最多精确到城市级、运营商级甚至机房级无法通过这三个命令得到某个人的精确家庭住址。后面第 7 节我会专门展开这个话题。3. 环境准备一个能跑通三件套的终端这三件套对系统没有任何特殊要求。Windows、macOS、Linux 都内置了 ping 和 tracert/traceroute区别只在命令名和参数风格。真正需要额外安装的是 whois 客户端因为很多系统默认不带。3.1 检查命令是否可用打开终端先确认一下你缺什么# Linux / macOS which ping which traceroute which whois# Windows PowerShell Get-Command ping, tracert不同发行版的结果差异很大。Kali Linux 这类安全发行版默认预装了全部三件套Ubuntu/Debian 一般自带 ping但 whois 和 traceroute 可能需要手动安装sudo apt update sudo apt install whois traceroutemacOS 自带 whois 和 pingtraceroute 也默认存在无需额外安装。Windows 原生没有 whois 客户端但 PowerShell 环境可以通过在线接口实现相同效果或者用浏览器打开各大域名注册商官网的 whois 查询页面。3.2 选一个合法练习目标很多初学者会随手拿一个大型网站开始练手这恰恰是最容易出问题的习惯。正确做法是查 whois 时用你自己的域名或者用 example.com 这类保留域名感受输出格式练习 ping 和 traceroute 时可以用 127.0.0.1、你自己的网关、或者你的云服务器如果公司或学校有授权靶场优先在靶场环境里练。一个非常好的零成本练习方式是在你自己的电脑上开一台虚拟机或者用 Docker 起一个容器把它当作“目标”。这样你可以任意执行命令、观察完整输出不会对他人造成任何影响。3.3 什么是“目标”全文我们使用example.com作为教学用域名。这个域名由 IANA 保留专门用于文档示例查询它不会给任何人带来困扰。真实项目里你需要把它替换成授权范围内的资产域名。4. Whois查询域名注册信息whois 的作用是“查户口”。它本质上是一个基于文本查询协议的服务当你输入一个域名客户端会向对应的 WHOIS 服务器发起查询请求服务器返回该域名的注册记录。4.1 命令行基础用法whois example.com以 Linux/macOS 的终端为例输出是一大段键值对文本。不同类型的域名.com、.cn、.org返回的字段略有差异但核心字段基本一致。下面是典型的输出结构为了让你看得更清楚我做了精简Domain Name: EXAMPLE.COM Registry Domain ID: ... Registrar WHOIS Server: whois.iana.org Registrar URL: https://www.iana.org/domains/example Creation Date: 1995-08-14T04:00:00Z Registry Expiry Date: 2026-08-13T23:59:59Z Registrar: IANA Registrant Organization: Internet Assigned Numbers Authority Registrant Country: US Name Server: A.IANA-SERVERS.NET Name Server: B.IANA-SERVERS.NET4.2 需要重点看的字段Domain Name确认你要查的域名防止输错域名导致查错对象。Registrar注册商。它告诉你这个域名是在哪家注册商名下保管的。如果是真实目标这条信息会为后续社工信息收集提供线索。Creation Date / Registry Expiry Date域名创建时间和到期时间。创建时间久、从未变过 DNS 的域名往往意味着这是一家成熟企业刚注册一周的域名则要警惕是不是钓鱼站点或临时挂载的业务。Name Server最重要的字段之一。域名在哪个 DNS 服务器解析未来用 nslookup/dig 进一步做 DNS 信息收集时这里就是起点。Registrant Organization / Country注册主体名称和所在国家/地区。在企业安全评估中这个字段用于确认目标域名的归属主体是否和授权范围一致。4.3 一个很常见的误区很多首次接触 whois 的人会把“注册信息”和“服务器物理位置”混为一谈。域名注册信息告诉你的是这个域名是谁注册的、找谁续费、域名归谁管理——它是所有权和资产管理信息不是基础设施地图。如果你拿到一个 IP 地址也可以通过 whois 查它的地址段归属whois 8.8.8.8输出里会出现一个OrgName或netname字段指明这个 IP 归属于哪家机构、哪个地址段CIDR、分配时间等。这是排查“对方是不是云厂商 IP”“是否属于某家 CDN”的常用方法。4.4 隐私保护与数据局限现实情况是大批域名开启了 WHOIS 隐私保护服务。你查询一个普通企业或个人域名看到的Registrant Org可能是 “Whois Privacy Service”电话邮箱是privacyexample.proxy-service.com这种情况下无法也没有必要继续深挖注册人真实联系方式——绕过隐私保护去挖注册人身份已经越过合法信息收集的边界了。此外不同地域的域名体系差异很大。以 .cn 为例部分字段和政策与 .com 并不完全相同。遇到这类差异不用死记硬背每种后缀的规则记住一个原则查出来的数据是域名管理体系的快照不是目标企业的内部资料。5. Ping确认目标主机是否在线有了域名基础信息下一步通常要确认这个域名解析出来的 IP 到底有没有在对外提供服务或者更简单地问这台主机活着吗这里就轮到 ping 出场。5.1 原理ICMP 回显请求ping 发送的是 ICMPInternet Control Message Protocol报文。它给目标主机发一个 Echo Request类型 8目标主机正常响应时回一个 Echo Reply类型 0。往返时间RTT就是报文从你这里到目标再回来的总耗时。这套机制明确传递了一个信息目标主机的网络协议栈是通的。但请注意它只说明“能通信”不说明“有没有开着 80 端口”“跑没跑 Nginx”。5.2 Linux / Windows 基本参数Linux 和 macOS 的 ping 默认会一直发直到你按 CtrlC。用-c指定发包数量更符合信息收集习惯# 发送 4 个 ICMP 回显请求 ping -c 4 example.com # 指定间隔时间单位秒 ping -c 4 -i 1 example.comWindows 的 ping 语法略有不同ping -n 4 example.com典型输出LinuxPING example.com (93.184.216.34) 56(84) bytes of data. 64 bytes from 93.184.216.34: icmp_seq1 ttl54 time19.7 ms 64 bytes from 93.184.216.34: icmp_seq2 ttl54 time19.3 ms 64 bytes from 93.184.216.34: icmp_seq3 ttl54 time19.5 ms 64 bytes from 93.184.216.34: icmp_seq4 ttl54 time19.4 ms --- example.com ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3001ms rtt min/avg/max/mdev 19.288/19.475/19.700/0.153 ms5.3 TTL 值能说明什么不能说明什么输出里有一个细节很多人会忽略ttl54。TTLTime To Live的初始值由操作系统决定常见经验值如下操作系统默认 TTLLinux64Windows128老旧类 Unix / 部分网络设备255当你收到的 TTL 是 54意味着数据包出发时的 TTL 64 经过 10 跳到达目标64 减去 10 得到 54。单看一个点的 TTL 只能帮你粗略判断目标系统大概率是什么操作系统但它不可作为精确指纹。因为中间路由器会修改 TTL所以经过的跳数不同最终到达目标的 TTL 不同现代操作系统允许用户自行设置 TTL 初始值很多网络设备、CDN 节点、云负载均衡会重写 TTL。所以在信息收集阶段TTL 的价值更多在于“辅助判断目标前面是不是有 CDN / 代理”而不是“确切知道目标是什么系统”。如果你想更准确地识别操作系统指纹需要结合 TCP/IP 栈特性做更复杂的分析那是后续要学的内容。5.4 丢包不等于宕机还有一种常见情况你 ping 一个域名发出去的包全部超时但浏览器却可以正常打开它的网站。原因通常是目标防火墙禁 ping只允许 Web 流量通过目标处于 CDN 后面CDN 节点配置了不响应 ICMP某些云安全组默认不开放 ICMP 入方向规则。因此ping 不通只能说明“目标没有响应 ICMP 报文”不能直接判定目标离线。正确理解是要结合多端口连通性测试来判断主机是否在线。这也是为什么信息收集从来不是一个命令单打独斗。另外提醒一句不要用ping -f洪水模式对任何非授权目标进行大流量测试那已经属于破坏性行为而不是信息收集。6. Traceroute追踪数据包的网络路径ping 能确认“目标活着”但它不告诉你数据包到底经过了哪些路由器。traceroute 解决的问题是从你本机到目标之间流量经过了哪些节点每一跳耗时多久。6.1 原理TTL 逐跳递增这个工具的设计思路非常优雅。IP 包每经过一个路由器TTL 就减 1当 TTL 减到 0路由器会丢弃这个包并回送一个 ICMP Time Exceeded 报文给源地址。traceroute 的做法是第一次发送 TTL1 的探测包第一跳路由器收到后 TTL 变 0丢弃并回送超时报文第二次发送 TTL2 的探测包经过第一跳后 TTL1到第二跳路由器时 TTL 用尽第二跳回送超时报文依次递增 TTL最终探测包到达目标主机。这样本地终端就能根据收到的回送报文逐跳还原出完整的网络路径。6.2 命令使用与输出解读Linux / macOS 使用traceroute默认探针协议是 UDPtraceroute example.com如果你想用 ICMP 作为探针很多防火墙会放行 ICMP加-I参数traceroute -I example.comWindows 内置命令是tracert默认就使用 ICMPtracert example.com以下是一次典型的 Linux traceroute 输出示意traceroute to example.com (93.184.216.34), 30 hops max, 60 byte packets 1 gateway.home (192.168.1.1) 2.215 ms 2.100 ms 2.315 ms 2 10.10.0.1 (10.10.0.1) 5.108 ms 5.412 ms 5.385 ms 3 203.0.113.1 (203.0.113.1) 12.318 ms 12.556 ms 12.401 ms 4 198.51.100.9 (198.51.100.9) 19.811 ms 19.903 ms 19.531 ms 5 * * * 6 * * * 7 93.184.216.34 (93.184.216.34) 22.410 ms 22.223 ms 22.613 ms输出里每行代表一跳多个时间对应同一跳的多次探测。判断时重点看第 1 跳通常是你的网关。从 192.168.1.1 这类私网地址出现说明流量是从局域网出口出发的。中间路由的 IP 可能是私网也可能是公网取决于你的运营商网络架构。能看到公网 IP 的跳数越多路径信息越完整。耗时的骤增往往代表跨运营商或跨地区链路节点比如从华东的运营商进入华北骨干网延迟通常会明显上升。6.3 “星号路”是什么意思输出里出现一整行* * *非常常见它说明这一跳设备没有返回超时报文。真实原因通常有三个该路由器/防火墙配置了不回应 TTL 耗尽报文中间设备对 traceroute 使用的探针类型做了丢弃策略路径发生了变化后续探测走了不同链路。星号不等于断网也不等于目标不可达。只要最终目标那一跳能返回结果路径整体就是通的。有些厂商会故意把中间设备埋掉导致 traceroute 后半段全程星号这时候建议切换探针类型UDP、ICMP、TCP多试几次。TCP 探针适合目标防火墙严格、UDP/ICMP 都被丢弃的场景。Linux 下可以使用-T指定 TCP SYN 探测traceroute -T -p 443 example.com这条命令会让目标节点回 SYN-ACK从而确认该跳可达。它是一种更接近真实业务流量形态的路径验证方式适用场景也更广。7. 三件套联动从域名信息到网络拓扑认知单看 whois、ping、traceroute每一个都是小工具把它们串起来就能获得对一个目标的基础认知。这也是本篇文章最核心的部分。7.1 一次完整的授权信息收集流程演练假设你负责测试一个公司授权给安全团队的网站域名是example.com。你的第一步不该是打开浏览器访问它而是按下面这个顺序执行第一阶段查域名归属whois example.com你得到关键词信息注册商、创建时间、DNS 服务器、注册机构名。如果 DNS 服务器是云厂商的如 cloud 域名常见说明域名可能使用了云解析如果注册信息显示是某个 IDC那么域名主体往往指向具体企业。第二阶段解析并确认目标 IP这一步通常会用到nslookup或dig它们不在今天三件套范围内但 ping 也能带出 IPping -c 1 example.com注意看输出第一行括号里的 IP。如果同一个域名解析出多个 IP说明目标很大概率用了负载均衡或 CDN。此时再对 IP 做一次 whoiswhois 93.184.216.34这样你就能知道这个 IP 是目标自有机房还是云厂商 CDN 节点。如果 IP 归属和域名主体不一致后续测试往往要先绕过 CDN 寻找真实源站这属于信息收集的重要目标。第三阶段探测连通性与路径ping -c 4 example.com traceroute example.comping 的结果用来评估目标对 ICMP 的响应策略和基础延迟traceroute 用来观察路径上是否有特殊的防火墙设备、是否存在境外节点中转。把三个阶段的信息放到一张表里阶段核心输出判断结论whois 域名注册商、注册时间、DNS目标资产归属是否使用第三方托管whois IP地址段归属、机构名IP 是自有机房还是 CDN / 云厂商pingTTL、延迟、丢包目标是否在线、是否有防火墙策略traceroute逐跳节点 IP、延迟路径结构、是否经过特殊网络设备这张表就是你后续做端口扫描、漏洞评估之前最重要的“先验知识”。7.2 关于“物理位置”的正确理解标题里提到“定位目标物理位置”我必须在这里给出准确而且稳妥的技术解释通过 whois 和 IP 归属查询你得到的只是“网络位置”不是“物理位置”。whois 查询的注册地址是域名注册时的联系地址通常不更新也无法验证当前真实性IP 归属库能查到的是 IP 地址段分配时登记的运营商和地区只能判断“这个 IP 属于某地的某家运营商/机房”要精确定位到某个人或某个房间级别的物理位置需要运营商、司法机关和网络基础设施提供方的配合这与公开信息收集完全不是一个层面。所以不要相信影视作品里那种“一个 IP 定位到坐标”的桥段。在合法安全测试中我们把 IP 定位当作资产归属的大致判断依据就够了。过度解读 IP 定位既没有技术依据也容易把学习者带偏。7.3 信息整合后的下一步三件套跑完后你已经能回答三个问题目标域名是谁的、目标 IP 在哪、目标网络路径怎么走。下一步通常是端口扫描与指纹识别——确认目标系统开放了哪些端口、运行了什么服务。这属于更高一级的主动信息收集技术本文不展开但你可以把它作为后续学习方向。8. 常见问题与排查思路零基础刚开始实操大概率会碰到下面这些问题。表格里给出的是最常见的场景和解决思路问题现象可能原因排查方式解决方案输入 whois 提示命令不存在系统中未安装 whois 客户端which whois检查 PATHUbuntu/Debian 执行sudo apt install whoiswhois 显示大量隐私保护字段域名开启了 WHOIS 隐私保护查看 Registrar/Org 字段是否为代理类型这是正常现象属于域名管理策略不要尝试绕过ping 目标超时但浏览器能打开网站目标防火墙或 CDN 禁 ping换其他端口连通性测试如 nc 或 telnet 443用nc -zv 目标IP 443验证服务存活ping 的 TTL 与预期不符中间路由改写 TTL或路径跳数变化结合 traceroute 查看路径把 TTL 当作辅助信号不作精确指纹traceroute 某几跳全是* * *中间设备不响应 ICMP或路径变化尝试-IICMP、-TTCP参数关注最终目标跳是否可达不过度解读星号traceroute 最后几跳超时但网站正常目标主机设置了丢弃 TTL 耗尽报文用traceroute -T -p 443探测确认业务端口可达即可出口网络禁 ICMPping 全超时本地网络或运营商限制 ICMP检查本地网关地址 ping 是否通使用 TCP 类探测替代第一条建议依然是最重要的遇到问题先看命令的输出原文。终端已经告诉你很多信息了不要只凭“不通”“没反应”就去盲改参数。9. 安全边界与最佳实践写到这里技术层面已经覆盖了最基本的信息收集三件套。但这类文章如果不包含使用边界的提醒就是不完整的。下面几条是我认为每一个安全测试学习者都应该建立的习惯。9.1 练习环境的选择最理想的零基础练习环境是你自己的域名和服务器域名你可以用 1 元低价款注册一个服务器可以买按量计费的云主机全部放自己的资产专业靶场国内外都有合法的漏洞靶场和在线实训平台很多平台提供授权范围内的虚拟目标本地 VM / 容器在 VMware 或 VirtualBox 里搭建自己的实验网络用 docker 起容器当目标路径上还能加几个中间网关模拟 traceroute。永远不要因为“想试试”就对一个陌生公网 IP 进行端口扫描或路径追踪。一次告警可能就会让测试者面临严重风险。规则只有一句话没有授权任何主动信息收集都不能做。9.2 主动探测的操作纪律在实际项目中即使是授权测试也要讲纪律最小探测先 ping 一两个包确认存活不要改用大包、洪泛方式做连通性测试限定范围只对授权书里列明的域名和 IP 网段操作不要顺着 traceroute 路径去扫沿途路由器保留证据把 whois、ping、traceroute 的输出保存下来作为测试过程记录。验收报告里这些原始数据非常有用设置超时写脚本批量探测时一定要限制超时时间避免大量并发探测对目标造成压力。9.3 五天的节奏建议如果你愿意把这篇文章的内容拆成 5 天练习计划可以按下面的节奏走第 1 天理解 whois 输出字段分别查询你的域名和 example.com第 2 天掌握 ping 的常用参数观察不同目标的延迟与 TTL第 3 天掌握 traceroute / tracert用 -I 和 -T 切换探针多试几次第 4 天搭建一个本地虚拟机实验网把三个工具在虚拟目标上跑通第 5 天尝试把三件套的结果整合成一张完整的资产信息表形成习惯。这套节奏不追求快只追求每一步都有实际输出。要知道信息收集能力不是背出来的是敲命令敲出来的。如果你能顺利跑完这五天接下来就可以接触 DNS 解析进阶dig、nslookup、端口扫描、指纹识别、证书透明度日志查询等内容。但无论学多深请始终记住今天立下的那条规矩技术本身是中性工具决定它性质的是使用者的授权和意图。