在渗透测试的完整生命周期中，信息收集是决定后续攻击面广度与深度的基石。高效、全面的信息收集能够帮助测试人员快速定位潜在风险点，减少盲目测试的时间成本。本文将聚焦于现代Web应用渗透测试中三种关键的信息收集技术：Swagger接口收集、JS接口提取以及robots.txt利用，旨在为安全技术人员提供一套系统化、可落地的实战方法论。

Swagger接口收集技术

Swagger（现多指OpenAPI规范）作为当前主流的API文档生成工具，在提升开发效率的同时，也无意中为攻击者提供了一份详尽的“攻击地图”。许多开发团队在部署时未做严格访问控制，导致Swagger文档直接暴露于公网。

1. 常见路径与端点探测

攻击者首先需对目标进行Swagger文档的主动探测。除了默认的 /swagger-ui.html 或 /swagger-ui/index.html，还需结合常见框架的命名习惯进行字典枚举：

• Spring Boot:/v2/api-docs, /v3/api-docs, /actuator/env
• Django:/api/docs/, /swagger.json
• Laravel:/api/documentation
• 通用路径:/swagger.json, /openapi.json, /api/swagger.json

2. 文档解析与敏感信息提取

获取到Swagger JSON/YAML文件后，应重点分析以下字段：

• Paths & Operations:遍历所有API端点，识别未授权访问接口、文件上传接口及包含敏感操作（如删除、修改权限）的端点。
• Parameters & Schemas:检查参数定义，寻找可能存在注入点的字段（如未过滤的id、query参数）；分析数据模型，推断数据库表结构及字段类型。
• Security Definitions:关注认证方式（API Key, OAuth2, Bearer Token等），尝试寻找默认密钥、硬编码凭证或弱加密算法。
• Descriptions & Comments:开发者常在备注中遗留测试账号、内部IP、调试接口或业务逻辑漏洞线索。

3. 自动化利用策略

手动分析效率低下，建议结合自动化工具：

• 解析工具:使用 swagger-parser 或自定义脚本将Swagger文档转换为Burp Suite的Site Map或SQLMap的命令行参数。
• 漏洞扫描:将提取的接口导入 Postman 或 Burp Suite，配合 AuthMatrix 或 Autorize 插件进行批量越权测试。
• 指纹识别:通过Swagger UI的版本号，关联已知漏洞（如旧版Swagger UI的XSS漏洞 CVE-2016-1000033）。

JS接口提取方法

现代前端框架（React, Vue, Angular）的普及使得大量业务逻辑与API调用下沉至客户端。JavaScript文件成为了继Swagger之后的第二大接口情报源。

1. 静态提取技术

• 正则匹配:编写针对性正则表达式提取API路径。常见模式包括：
  • 相对路径:/api/[a-zA-Z0-9_/-]+
  • 完整URL:https?://[^\s"'<>]+/api/[^\s"'<>]+
  • 模板字符串:`/api/${module}/action`
• AST语法树分析:使用 babel-parser 或 acorn 构建AST，精准定位函数调用、变量赋值及字符串拼接，有效解决正则匹配中的误报与漏报问题。
• Source Map还原:若生产环境未禁用Source Map，可通过 .map 文件还原原始源码，获取完整的变量命名、注释及逻辑结构，极大提升分析效率。

2. 动态提取技术

静态分析难以覆盖运行时生成的接口，需结合动态执行：

• 浏览器Hook:使用 Frida 或 Tampermonkey 脚本Hook XMLHttpRequest 和 fetch 对象，实时捕获所有发出的HTTP请求及参数。
• 代理抓包:配置 Burp Suite 或 Mitmproxy，结合 JS Link Finder 等插件，在用户交互过程中自动收集新发现的接口。
• Headless Browser:使用 Puppeteer 或 Selenium 模拟用户行为，触发懒加载接口及条件渲染的API调用。

3. 深度分析要点

• 硬编码凭证:搜索 apiKey, token, password, secret 等关键词，注意Base64编码或简单混淆的字符串。
• 业务逻辑暴露:关注前端校验逻辑，若关键校验仅在JS端执行，后端未做二次验证，则存在绕过风险。
• 隐藏参数:对比JS代码中的请求参数与抓包实际发送的参数，寻找被注释、条件隐藏或动态生成的敏感字段。

robots.txt利用技巧

robots.txt 本意是指导搜索引擎爬虫的抓取行为，但在渗透测试中，它常被忽视为一份“敏感目录清单”。

1. 敏感路径识别

开发者常将不希望被搜索引擎索引的后台、测试或临时目录写入 Disallow 规则，这恰恰是攻击者的黄金线索：

• 后台管理:/admin/, /manager/, /console/, /backend/
• 测试环境:/test/, /staging/, /dev/, /debug/
• 备份文件:/backup/, /db/, /sql/, /config/
• API文档:/api-docs/, /swagger/, /graphql/

2. 组合利用策略

• 目录爆破辅助:将 txt 中的 Disallow 路径作为种子字典，结合 dirsearch 或 ffuf 进行递归爆破，往往能发现未公开但可访问的子目录或文件。
• 版本控制泄露:重点关注 .git, .svn, .hg 等版本控制目录是否在 Disallow 中，若在，立即尝试访问 .git/config 或 .svn/entries 获取源码。
• 配置信息泄露:结合 Disallow 路径，尝试访问 config, .env, application.yml 等配置文件，可能直接获取数据库连接串或密钥。

3. 注意事项与规避

• 动态生成:部分站点通过后端动态生成 txt，需在不同时间、不同User-Agent下多次请求，对比内容差异。
• 虚假诱饵:安全设备可能故意在 txt 中设置蜜罐路径，访问前需结合响应状态码、内容长度及WAF行为综合判断。
• 合规边界:仅将 txt 作为信息收集的线索，实际测试需严格遵循授权范围，避免对非授权路径进行主动探测。

总结

Swagger接口、JS文件与robots.txt构成了现代Web应用信息收集的“三驾马车”。Swagger提供结构化API全景，JS文件暴露运行时业务逻辑，robots.txt则暗示敏感目录分布。在实际渗透测试中，应将三者有机结合：先通过robots.txt定位后台与测试环境，再利用Swagger获取API规范，最后通过JS提取补充动态接口与硬编码凭证，形成从宏观到微观、从静态到动态的立体化信息收集体系，为后续的漏洞挖掘与利用奠定坚实基础。