OWASP Amass 使用手册¶

# 下载最新版本
# 访问 https://github.com/owasp-amass/amass/releases

# Linux AMD64
wget https://github.com/owasp-amass/amass/releases/download/v4.2.0/amass_Linux_amd64.zip
unzip amass_Linux_amd64.zip
sudo mv amass /usr/local/bin/

# macOS ARM64
wget https://github.com/owasp-amass/amass/releases/download/v4.2.0/amass_Darwin_arm64.zip
unzip amass_Darwin_arm64.zip
sudo mv amass /usr/local/bin/

# 从官方仓库安装
sudo apt update
sudo apt install amass

# 或使用snap
sudo snap install amass

# 使用Homebrew
brew install amass

# 拉取镜像
docker pull caffix/amass

# 运行
docker run -v ~/.config/amass:/root/.config/amass caffix/amass enum -d example.com

# 需要Go 1.20+
go install -v github.com/owasp-amass/amass/v4/...@master

# 克隆仓库
git clone https://github.com/owasp-amass/amass.git
cd amass

# 编译
go install ./...

# 验证
amass -version

amass -version
# 输出: amass version v4.x.x

amass -h

# 基本语法
amass intel [选项]

# 根据组织名称查找域名
amass intel -org "Google LLC"

# 查找ASN相关域名
amass intel -asn 15169

# 根据CIDR查找
amass intel -cidr 8.8.8.0/24

# 反向WHOIS查找
amass intel -d google.com -whois

# 显示IP地址
amass intel -org "Example Inc" -addr

# 组合查询
amass intel -org "Example Inc" -whois -addr -o intel_results.txt

# 基本语法
amass enum [选项]

# 基本枚举
amass enum -d example.com

# 被动模式（快速）
amass enum -passive -d example.com -o passive.txt

# 主动模式（深度）
amass enum -active -d example.com -o active.txt

# 暴力破解模式
amass enum -brute -d example.com -w wordlist.txt

# 多域名枚举
amass enum -df domains.txt -o results.txt

# 显示IP和来源
amass enum -d example.com -ip -src -o detailed.txt

# 排除子域名
amass enum -d example.com -exclude test.example.com,dev.example.com

# 使用配置文件
amass enum -d example.com -config ~/.config/amass/config.yaml

# 限制递归深度
amass enum -d example.com -max-depth 2

# 完整参数示例
amass enum -active -brute -d example.com \
  -w wordlist.txt \
  -ip -src \
  -o results.txt \
  -json results.json \
  -dir ./amass_output \
  -v

# 基本语法
amass viz [选项]

# 生成D3.js可视化
amass viz -d example.com -d3 -o graph.html

# 生成Graphviz DOT文件
amass viz -d example.com -dot | dot -Tpng -o graph.png

# 导出Maltego格式
amass viz -d example.com -maltego -o maltego.csv

# 导出GEXF（用于Gephi）
amass viz -d example.com -gexf -o network.gexf

# 指定数据库目录
amass viz -d example.com -d3 -dir ./amass_data -o viz.html

# 基本语法
amass track [选项]

# 跟踪变化
amass track -d example.com

# 对比历史数据
amass track -d example.com -since "2024-01-01"

# 保存变化记录
amass track -d example.com -o changes.txt

# 持续监控（配合cron）
*/6 * * * amass track -d example.com -o /var/log/amass/changes_$(date +\%Y\%m\%d).txt

# 基本语法
amass db [选项]

# 列出所有枚举
amass db -list

# 查看域名数据
amass db -d example.com -names

# 显示详细信息
amass db -d example.com -show

# 导入数据
amass db -import amass_results.json

# 按时间过滤
amass db -d example.com -since "2024-01-01" -names

# 指定数据库目录
amass db -dir /path/to/db -d example.com -names

# 最简单的使用
amass enum -d example.com

# 被动模式（快速，无DNS查询）
amass enum -passive -d example.com

# 主动模式（深度扫描）
amass enum -active -d example.com

# 暴力破解模式
amass enum -brute -d example.com

# 被动 + 保存结果
amass enum -passive -d example.com -o passive_results.txt

# 主动 + IP信息
amass enum -active -d example.com -ip -o active_with_ip.txt

# 暴力 + 自定义字典
amass enum -brute -d example.com -w /opt/SecLists/Discovery/DNS/subdomains-top1million-5000.txt

# 多域名 + JSON输出
amass enum -df domains.txt -json results.json

# 完整扫描
amass enum -active -brute -d example.com -w wordlist.txt -ip -src -o full_scan.txt

# 启用递归（自动发现子域名的子域名）
amass enum -d example.com -r

# 限制递归深度
amass enum -d example.com -r -max-depth 2

# 设置递归触发阈值
amass enum -d example.com -r -min-for-recursive 5

# 启用变体生成
amass enum -d example.com -alts

# 变体包括：
# - 字符替换（o -> 0）
# - 连字符变化
# - 常见前缀后缀

# 只显示特定网络范围内的结果
amass enum -d example.com -nf 192.168.0.0/16

# 排除特定IP范围
amass enum -d example.com -nf -10.0.0.0/8

# 排除特定子域名
amass enum -d example.com -bl test.example.com,dev.example.com

# 使用黑名单文件
cat > blacklist.txt << EOF
test.example.com
dev.example.com
staging.example.com
EOF

amass enum -d example.com -blf blacklist.txt

# 使用特定DNS服务器
amass enum -d example.com -r 8.8.8.8,1.1.1.1,9.9.9.9

# 使用解析器列表文件
cat > resolvers.txt << EOF
8.8.8.8
1.1.1.1
9.9.9.9
208.67.222.222
EOF

amass enum -d example.com -rf resolvers.txt

# Linux/macOS
~/.config/amass/config.yaml

# Windows
%USERPROFILE%\AppData\Local\amass\config.yaml

# 生成默认配置
amass enum -config /dev/null -show

# ~/.config/amass/config.yaml

# 解析器配置
resolvers:
  - 8.8.8.8
  - 1.1.1.1
  - 9.9.9.9

# 数据源配置
datasources:
  # AlienVault OTX
  - name: AlienVault
    key: your_api_key_here

  # BinaryEdge
  - name: BinaryEdge
    key: your_api_key_here

  # C99
  - name: C99
    key: your_api_key_here

  # Censys
  - name: Censys
    credentials:
      apikey: your_api_id
      secret: your_api_secret

  # Chaos
  - name: Chaos
    key: your_api_key_here

  # CIRCL
  - name: CIRCL
    credentials:
      username: your_username
      password: your_password

  # Facebook
  - name: FacebookCT
    key: your_app_id
    secret: your_app_secret

  # GitHub
  - name: GitHub
    key: your_personal_access_token

  # Hunter
  - name: Hunter
    key: your_api_key_here

  # IPinfo
  - name: IPinfo
    key: your_api_key_here

  # NetworksDB
  - name: NetworksDB
    key: your_api_key_here

  # PassiveTotal
  - name: PassiveTotal
    credentials:
      username: your_username
      apikey: your_api_key

  # SecurityTrails
  - name: SecurityTrails
    key: your_api_key_here

  # Shodan
  - name: Shodan
    key: your_api_key_here

  # Spyse
  - name: Spyse
    key: your_api_key_here

  # Twitter
  - name: Twitter
    credentials:
      apikey: your_api_key
      secret: your_api_secret
      bearer_token: your_bearer_token

  # URLScan
  - name: URLScan
    key: your_api_key_here

  # VirusTotal
  - name: VirusTotal
    key: your_api_key_here

  # WhoisXML API
  - name: WhoisXMLAPI
    key: your_api_key_here

  # ZETAlytics
  - name: ZETAlytics
    key: your_api_key_here

# 暴力破解配置
bruteforce:
  enabled: true
  recursive: true
  minimum_for_recursive: 3
  wordlists:
    - /path/to/wordlist1.txt
    - /path/to/wordlist2.txt

# 数据库配置
database: /path/to/amass_db

# 输出目录
output_directory: /path/to/output

# 最大DNS查询数
max_dns_queries: 20000

# 超时设置
timeout: 30

# 使用配置文件
amass enum -d example.com -config ~/.config/amass/config.yaml

#!/bin/bash
# Bug Bounty 快速侦察脚本

TARGET=$1
OUTPUT_DIR="amass_${TARGET}_$(date +%Y%m%d)"

mkdir -p $OUTPUT_DIR
cd $OUTPUT_DIR

echo "[*] Starting Bug Bounty reconnaissance for $TARGET"

# 1. 被动枚举（快速）
echo "[+] Phase 1: Passive enumeration"
amass enum -passive -d $TARGET -o passive.txt -json passive.json

# 2. 主动枚举
echo "[+] Phase 2: Active enumeration"
amass enum -active -d $TARGET -o active.txt -json active.json

# 3. 暴力破解
echo "[+] Phase 3: Brute force"
amass enum -brute -d $TARGET \
  -w /opt/SecLists/Discovery/DNS/subdomains-top1million-20000.txt \
  -o brute.txt

# 4. 合并去重
echo "[+] Phase 4: Merging results"
cat passive.txt active.txt brute.txt | sort -u > all_subdomains.txt

# 5. 提取活跃子域名（需要httpx）
echo "[+] Phase 5: Finding live subdomains"
cat all_subdomains.txt | httpx -silent -o live_subdomains.txt

# 6. 生成可视化
echo "[+] Phase 6: Generating visualization"
amass viz -d $TARGET -d3 -o network_graph.html

echo "[+] Reconnaissance complete!"
echo "[+] Total subdomains: $(wc -l < all_subdomains.txt)"
echo "[+] Live subdomains: $(wc -l < live_subdomains.txt)"

#!/bin/bash
# 企业资产发现脚本

ORG_NAME="Example Inc"
OUTPUT_DIR="intel_$(date +%Y%m%d)"

mkdir -p $OUTPUT_DIR

echo "[*] Enterprise Asset Discovery for: $ORG_NAME"

# 1. 情报收集 - 发现根域名
echo "[+] Step 1: Discovering root domains"
amass intel -org "$ORG_NAME" -whois -o $OUTPUT_DIR/domains.txt

# 2. 对每个域名进行深度枚举
echo "[+] Step 2: Deep enumeration of each domain"
while read domain; do
    echo "[*] Enumerating: $domain"
    amass enum -active -brute -d $domain \
      -o $OUTPUT_DIR/${domain}_results.txt \
      -json $OUTPUT_DIR/${domain}_results.json
done < $OUTPUT_DIR/domains.txt

# 3. 合并所有结果
cat $OUTPUT_DIR/*_results.txt | sort -u > $OUTPUT_DIR/all_assets.txt

# 4. ASN枚举
echo "[+] Step 3: ASN enumeration"
amass intel -org "$ORG_NAME" -asn -o $OUTPUT_DIR/asn_info.txt

# 5. IP范围收集
echo "[+] Step 4: IP range collection"
amass intel -org "$ORG_NAME" -cidr -o $OUTPUT_DIR/ip_ranges.txt

# 6. 生成报告
echo "[+] Step 5: Generating report"
cat > $OUTPUT_DIR/report.md << EOF
# Asset Discovery Report: $ORG_NAME

**Date:** $(date)

## Summary
- Root domains found: $(wc -l < $OUTPUT_DIR/domains.txt)
- Total subdomains: $(wc -l < $OUTPUT_DIR/all_assets.txt)

## Root Domains
$(cat $OUTPUT_DIR/domains.txt)

## ASN Information
$(cat $OUTPUT_DIR/asn_info.txt)

## IP Ranges
$(cat $OUTPUT_DIR/ip_ranges.txt)
EOF

echo "[+] Asset discovery complete! Report: $OUTPUT_DIR/report.md"

#!/bin/bash
# 域名变化监控脚本

DOMAIN=$1
ALERT_EMAIL="admin@example.com"

# 执行新枚举
amass enum -d $DOMAIN -o /tmp/current_scan.txt

# 检查变化
CHANGES=$(amass track -d $DOMAIN)

if [ ! -z "$CHANGES" ]; then
    echo "New subdomains discovered:"
    echo "$CHANGES"

    # 发送告警邮件
    echo "$CHANGES" | mail -s "New subdomains found for $DOMAIN" $ALERT_EMAIL
fi

#!/bin/bash
# 深度网络映射

TARGET=$1

echo "[*] Deep network mapping for $TARGET"

# 1. 完整枚举
amass enum -active -brute -alts -d $TARGET \
  -w /opt/SecLists/Discovery/DNS/dns-Jhaddix.txt \
  -ip -src \
  -json full_enum.json \
  -o full_enum.txt

# 2. ASN发现
echo "[+] Discovering ASNs"
cat full_enum.txt | while read subdomain; do
    ip=$(dig +short $subdomain | head -1)
    if [ ! -z "$ip" ]; then
        whois $ip | grep -i "origin" | awk '{print $NF}'
    fi
done | sort -u > asns.txt

# 3. 对每个ASN进行枚举
cat asns.txt | while read asn; do
    echo "[*] Enumerating ASN: $asn"
    amass intel -asn $asn -o asn_${asn}_domains.txt
done

# 4. 生成网络拓扑图
amass viz -d $TARGET -d3 -o network_topology.html

echo "[+] Network mapping complete!"

#!/bin/bash
# 批量域名扫描

DOMAIN_LIST=$1
OUTPUT_BASE="batch_scan_$(date +%Y%m%d)"

mkdir -p $OUTPUT_BASE

# 被动模式批量扫描（快速）
echo "[*] Passive scan of all domains"
amass enum -passive -df $DOMAIN_LIST -o $OUTPUT_BASE/passive_all.txt

# 对每个域名进行深度扫描
cat $DOMAIN_LIST | while read domain; do
    echo "[*] Deep scan: $domain"

    amass enum -active -brute -d $domain \
      -w /opt/SecLists/Discovery/DNS/subdomains-top1million-5000.txt \
      -o $OUTPUT_BASE/${domain}_results.txt \
      -json $OUTPUT_BASE/${domain}_results.json &

    # 限制并发数
    if [[ $(jobs -r -p | wc -l) -ge 5 ]]; then
        wait -n
    fi
done

wait

# 统计结果
echo "[+] Scan complete!"
for file in $OUTPUT_BASE/*_results.txt; do
    domain=$(basename $file _results.txt)
    count=$(wc -l < $file)
    echo "  $domain: $count subdomains"
done

# 编辑配置文件
vim ~/.config/amass/config.yaml

# 或使用环境变量
export AMASS_CONFIG=~/.config/amass/config.yaml

datasources:
  # VirusTotal - 必备
  - name: VirusTotal
    key: YOUR_VT_API_KEY

  # GitHub - 强烈推荐
  - name: GitHub
    key: YOUR_GITHUB_TOKEN

  # AlienVault - 推荐
  - name: AlienVault
    key: YOUR_OTX_KEY

  # URLScan - 推荐
  - name: URLScan
    key: YOUR_URLSCAN_KEY

  # SecurityTrails - 最有价值
  - name: SecurityTrails
    key: YOUR_ST_KEY

  # Censys - 推荐
  - name: Censys
    credentials:
      apikey: YOUR_CENSYS_ID
      secret: YOUR_CENSYS_SECRET

  # Shodan - 推荐
  - name: Shodan
    key: YOUR_SHODAN_KEY

# 默认位置
~/.config/amass/amass.sqlite

# 查看数据库
amass db -list

# 列出所有枚举
amass db -list

# 查看特定域名数据
amass db -d example.com -names

# 显示详细信息
amass db -d example.com -show

# 按时间过滤
amass db -d example.com -since "2024-01-01" -names

# 导出数据
amass db -d example.com -names -o exported_domains.txt

# 清理旧数据（小心！）
rm ~/.config/amass/amass.sqlite

# 导出JSON
amass enum -d example.com -json export.json

# 导入数据
amass db -import export.json

# 导出可视化数据
amass viz -d example.com -gexf -o network.gexf

# 生成HTML可视化
amass viz -d example.com -d3 -o graph.html

# 在浏览器中打开
open graph.html  # macOS
xdg-open graph.html  # Linux

# 生成DOT文件
amass viz -d example.com -dot | dot -Tpng -o network.png

# 生成SVG
amass viz -d example.com -dot | dot -Tsvg -o network.svg

# 生成PDF
amass viz -d example.com -dot | dot -Tpdf -o network.pdf

# 导出Maltego CSV
amass viz -d example.com -maltego -o maltego_import.csv

# 在Maltego中导入
# Transform Hub -> Import -> CSV

# 导出GEXF格式
amass viz -d example.com -gexf -o network.gexf

# 在Gephi中打开
# File -> Open -> network.gexf

# 增加DNS查询限制（更快但可能被限速）
amass enum -d example.com -max-dns-queries 50000

# 减少查询（更慢但更稳定）
amass enum -d example.com -max-dns-queries 5000

# 设置DNS超时
amass enum -d example.com -timeout 10

# 被动模式（最快）
amass enum -passive -d example.com

# 限制递归深度
amass enum -d example.com -max-depth 1

# 禁用某些数据源
amass enum -d example.com -nolocaldb -noalts

# 分割域名列表
split -l 10 domains.txt chunk_

# 并行执行
for chunk in chunk_*; do
    amass enum -df $chunk -o ${chunk}_results.txt &
done
wait

# 合并结果
cat chunk_*_results.txt | sort -u > final_results.txt

# 基本文本输出
amass enum -d example.com -o results.txt

# 带IP地址
amass enum -d example.com -ip -o results_with_ip.txt

# 带数据源
amass enum -d example.com -src -o results_with_source.txt

# 详细输出
amass enum -d example.com -ip -src -v -o detailed_results.txt

# JSON输出
amass enum -d example.com -json results.json

# JSON结构
{
  "name": "subdomain.example.com",
  "domain": "example.com",
  "addresses": [
    {
      "ip": "192.0.2.1",
      "cidr": "192.0.2.0/24",
      "asn": 15169,
      "desc": "GOOGLE"
    }
  ],
  "tag": "dns",
  "sources": ["Crtsh", "VirusTotal"]
}

# 提取所有子域名
cat results.json | jq -r '.name' | sort -u

# 提取IP地址
cat results.json | jq -r '.addresses[].ip' | sort -u

# 按数据源分类
cat results.json | jq -r '.sources[]' | sort | uniq -c

# 提取ASN
cat results.json | jq -r '.addresses[].asn' | sort -u

# 生成CSV
cat results.json | jq -r '[.name, .addresses[0].ip, .tag] | @csv'

# 15分钟快速侦察
amass enum -passive -d target.com -o quick_recon.txt
cat quick_recon.txt | httpx -silent -o live_targets.txt
cat live_targets.txt | nuclei -t cves/ -o vulnerabilities.txt

# 企业完整资产发现（耗时较长）
# 1. 发现根域名
amass intel -org "Target Corp" -whois -o root_domains.txt

# 2. 深度枚举
cat root_domains.txt | while read domain; do
    amass enum -active -brute -alts -d $domain \
      -config ~/.config/amass/config.yaml \
      -o ${domain}_assets.txt
done

# 3. 网络映射
cat *_assets.txt | sort -u | while read sub; do
    amass viz -d $sub -d3
done

# 发现攻击者基础设施
# 已知IOC: attacker-domain.com

# 1. 枚举攻击域名
amass enum -active -d attacker-domain.com -o attacker_infra.txt

# 2. 发现关联ASN
cat attacker_infra.txt | while read domain; do
    ip=$(dig +short $domain | head -1)
    whois $ip | grep -i origin
done | sort -u

# 3. 扩展发现
amass intel -asn <ASN_NUMBER> -o related_domains.txt

# Amass深度 + Subfinder速度
subfinder -d target.com -silent -o subfinder.txt
amass enum -passive -d target.com -o amass.txt
cat subfinder.txt amass.txt | sort -u > all_subs.txt

# 发现 -> 验证活跃
amass enum -d target.com -o subs.txt
cat subs.txt | httpx -silent -title -tech-detect -o live_subs.txt

# 侦察 -> 漏洞扫描
amass enum -d target.com -o targets.txt
cat targets.txt | httpx -silent | nuclei -t cves/

# 域名发现 -> 端口扫描
amass enum -d target.com -ip -o subs_with_ip.txt
cat subs_with_ip.txt | awk '{print $2}' | sort -u | nmap -iL - -p-

#!/bin/bash
# 完整Bug Bounty工作流

TARGET=$1

# 1. 子域名发现
amass enum -passive -d $TARGET -o subs.txt
subfinder -d $TARGET -silent >> subs.txt
cat subs.txt | sort -u > unique_subs.txt

# 2. 活跃性检测
cat unique_subs.txt | httpx -silent -title -tech-detect -o live.txt

# 3. 端口扫描
cat live.txt | awk '{print $1}' | nmap -iL - -p- -oA nmap_scan

# 4. 漏洞扫描
cat live.txt | nuclei -t cves/ -o vulns.txt

# 5. 截图
cat live.txt | aquatone -out screenshots/

echo "[+] Workflow complete!"

# 使用被动模式
amass enum -passive -d example.com

# 增加DNS查询限制
amass enum -d example.com -max-dns-queries 50000

# 禁用递归和变体
amass enum -d example.com -norecursive -noalts

# 限制并发
amass enum -d example.com -max-dns-queries 5000

# 分批处理
# 不要一次扫描太多域名

# 使用被动模式减少API调用
amass enum -passive -d example.com

# 禁用特定数据源
# 在config.yaml中注释掉已用尽的API

# 使用主动模式验证
amass enum -active -d example.com

# 配置多个DNS解析器
amass enum -d example.com -rf resolvers.txt

# 使用配置文件启用所有数据源
amass enum -d example.com -config config.yaml

# 删除损坏的数据库
rm ~/.config/amass/amass.sqlite

# 重新初始化
amass enum -d example.com

# Bug Bounty完整扫描
amass enum \
  -active \
  -brute \
  -d target.com \
  -w /opt/SecLists/Discovery/DNS/subdomains-top1million-20000.txt \
  -config ~/.config/amass/config.yaml \
  -ip \
  -src \
  -o results.txt \
  -json results.json \
  -dir ./amass_output \
  -v