Information Gathering

1. แนวคิด — จะเก็บอะไรบ้าง

เป้าหมายของ recon คือวาดแผนที่ของเป้าหมายก่อนยิงจริง: เทคโนโลยี (ภาษา, framework, web server, CMS, WAF/CDN), โครงสร้าง (path, ไฟล์, endpoint, พารามิเตอร์, vhost), และ ข้อมูลรั่ว (source code, credential, comment, error) การรู้ stack ช่วยเลือกช่องโหว่ที่เกี่ยวข้อง เช่น เจอ PHP → คิดถึง LFI/type juggling; เจอ Node.js → prototype pollution; เจอ Java → deserialization/SSTI Freemarker; ข้อมูลเวอร์ชันยังชี้ตรงไป CVE ที่รู้จัก

2. เพิ่งเจอเว็บ ทำอะไรก่อน

3. Tech Fingerprinting

fingerprint คือการอนุมาน stack จากร่องรอยเล็กๆ ใน response: Server/X-Powered-By header, ชื่อ session cookie, path เฉพาะของ framework, favicon hash, และลำดับ/รูปแบบ header ทำ passive ก่อน (whatweb/curl) แล้วค่อยยิง active scanner

# whatweb — aggressive level ดึงข้อมูลลึกขึ้น
whatweb -a 3 https://target

# response headers ที่บอกใบ้
curl -sSI https://target | grep -iE 'server|x-powered-by|set-cookie|x-aspnet|x-generator|via|cf-ray'

# favicon hash → เทียบกับฐานข้อมูล (ระบุ framework/แผง admin)
curl -s https://target/favicon.ico | python3 -c 'import sys,mmh3,base64,codecs; d=base64.encodebytes(sys.stdin.buffer.read()); print(mmh3.hash(d))'
# เอา hash ไปค้นใน shodan: http.favicon.hash:<hash>

# nmap service/version บนพอร์ต web
nmap -sV -Pn -p 80,443,8080,8443 --script=http-headers,http-title target

# nikto — ตรวจ misconfig, ไฟล์อันตราย, header ที่หาย
nikto -h https://target -Tuning 123bde

# nuclei — เทมเพลตช่องโหว่/tech detection ทันสมัยกว่า
nuclei -u https://target -t http/technologies/ -t http/misconfiguration/
nuclei -u https://target -tags cve,exposure -severity medium,high,critical

4. Virtual Host / vhost Fuzzing

เว็บเซิร์ฟเวอร์ตัวเดียว (IP เดียว) มักโฮสต์หลายเว็บผ่าน Host header (name-based virtual hosting) บางเว็บไม่มี DNS ชี้มาแต่ยังเข้าถึงได้ถ้าส่ง Host ที่ถูกต้อง — vhost fuzzing คือการเดา Host header เพื่อหาเว็บที่ซ่อน ต่างจาก subdomain enumeration ที่พึ่ง DNS สาธารณะ

# ffuf — fuzz Host header, กรองด้วยขนาด response ของหน้า default
ffuf -u http://TARGET_IP/ -H "Host: FUZZ.target.com" \
  -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
  -mc all -fs <default_size>

# ถ้ารู้ default response size แล้ว ให้ filter ออก (เห็นเฉพาะ vhost จริง)
ffuf -u http://TARGET_IP/ -H "Host: FUZZ.target.com" -w wordlist.txt -ac

# gobuster โหมด vhost
gobuster vhost -u http://target.com -w wordlist.txt --append-domain

5. robots / sitemap / JS endpoint mining

หลาย path หลุดมาให้ฟรีโดยไม่ต้อง brute: robots.txt บอก path ที่เจ้าของ 'ไม่อยากให้ index' (มักคือ admin/backup), sitemap.xml ลิสต์หน้าเยอะ, และ JavaScript ฝั่ง client มักฝัง endpoint API, พารามิเตอร์, และบางทีก็ key

# ของที่ให้มาฟรี
curl -s https://target/robots.txt
curl -s https://target/sitemap.xml | grep -oE '<loc>[^<]+' | sed 's/<loc>//'
curl -s https://target/.well-known/security.txt

# ดึง URL เก่าจาก archive/wayback (passive มาก)
gau target.com | tee urls.txt
waybackurls target.com >> urls.txt

# crawl หา endpoint/JS ด้วย katana
katana -u https://target -jc -d 3 -o katana.txt   # -jc = parse JS

# ขุด endpoint/param จากไฟล์ .js
curl -s https://target/main.js -o main.js
grep -oE '"/[a-zA-Z0-9_/.?=&-]+"' main.js | sort -u   # path ที่ฝังในโค้ด
# หรือใช้ linkfinder
python3 linkfinder.py -i https://target/main.js -o cli

• robots.txt, sitemap.xml — เผย path ที่ไม่อยากให้ index (มักมี admin/backup/api)
• /.git/, /.svn/, /.hg/ — source code รั่ว (ดึงด้วย git-dumper)
• JavaScript source + .js.map — เผย endpoint, API key, ตรรกะฝั่ง client
• comment ใน HTML, error page (stack trace เผย path เต็ม/เวอร์ชัน/query)
• /.env, config.php.bak, .DS_Store, web.config — ไฟล์ config/backup
• HTTP headers, security.txt, favicon hash (ระบุ framework/องค์กร)
• /.well-known/, /api/swagger.json, /graphql introspection — ลิสต์ endpoint ให้เลย

6. CTF & Pentest Walkthrough

1. 1CTF: เปิดเว็บ → whatweb เห็น 'Werkzeug/Python' → เดา Flask → ลอง SSTI ที่ช่องค้นหา `{{7*7}}` → คืน 49 → RCE ผ่าน Jinja2
2. 2CTF: curl -sI เห็น cookie `laravel_session` + หน้า error โชว์ APP_KEY (debug mode เปิด) → ปลอม session/decrypt cookie ได้
3. 3Pentest: fingerprint เห็น WordPress → `wpscan --url target --enumerate ap,u` → เจอ plugin เวอร์ชันมีช่องโหว่ CVE → exploit ตาม PoC
4. 4Pentest: robots.txt เผย `/backup/` → ffuf ใน /backup/ เจอ `db.sql.bak` → ดาวน์โหลดได้ credential ฐานข้อมูล
5. 5Pentest: katana ขุด JS เจอ endpoint `/api/internal/v2/users` ที่ไม่มีลิงก์ → ทดสอบ IDOR ต่อได้

7. ข้อผิดพลาดที่พบบ่อย & Troubleshooting

8. Quick Reference

• ผ่าน Burp proxy เสมอ → ได้ sitemap + ประวัติ request ฟรี
• fingerprint ก่อน: whatweb -a 3, Wappalyzer, curl -sSI, cookie names, favicon hash
• stack → ช่องโหว่ (PHP→LFI, Node→proto pollution, template→SSTI)
• เก็บของฟรี: robots.txt, sitemap.xml, /.git/, .well-known/, .js.map
• ขุด JS ด้วย katana/gau + linkfinder หา endpoint ซ่อน
• vhost fuzzing: ffuf -H 'Host: FUZZ.target' -ac
• เจอ CDN → หา origin IP (crt.sh, Shodan favicon)
• git-dumper ถ้า /.git/ เปิด → อ่าน history หา credential
• ต่อด้วย Directory Enumeration + Parameter Discovery แล้ววน loop

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติเพิ่งได้ URL เป้าหมายมาตัวเดียว ยังไม่รู้อะไรเกี่ยวกับมันเลย มีแค่ Kali เปล่าๆ ทำตามนี้ทีละขั้นเพื่อสร้างแผนที่ก่อนเริ่มเจาะ

1. 1เปิดเว็บผ่าน Burp Suite proxy ก่อนเสมอ เพื่อให้เก็บ request/response และ sitemap ให้อัตโนมัติ
2. 2รัน whatweb -a 3 https://target ดูว่าเป็นภาษา/framework อะไร
3. 3รัน curl -sSI https://target | grep -iE 'server|x-powered-by|set-cookie|via|cf-ray' เก็บ header ที่บอกใบ้
4. 4เช็คว่ามี CDN ไหม (Cloudflare/Akamai) จาก header — ถ้ามี ลองหา origin IP จริงผ่าน crt.sh หรือ DNS history
5. 5ดึงของฟรี: curl -s https://target/robots.txt และ curl -s https://target/sitemap.xml
6. 6ลองเปิด https://target/.git/ ด้วย curl -s -o /dev/null -w '%{http_code}\n' — ถ้าได้ 200 ให้ git-dumper ดึงมาทั้ง repo
7. 7รัน katana -u https://target -jc -d 3 -o katana.txt เพื่อ crawl หา endpoint และ parse JavaScript
8. 8เปิดไฟล์ katana.txt ไล่ดู endpoint ที่น่าสนใจ (มี /api/, /admin, /internal) แล้วบันทึกไว้ทดสอบต่อ
9. 9รวมทุกอย่างที่เก็บได้ (stack, path, endpoint) แล้วเลือกว่าจะไป Directory Enumeration (หา path เพิ่ม) หรือ Parameter Discovery (หา param ซ่อน) ต่อ