Shodan 网络侦察代理

问题：外网资产比内部台账更新得更快

绝大多数团队的资产管理依赖人工维护的 CMDB 或资产清单。问题在于，真正暴露在外网的资产——忘记下线的测试环境、临时开给第三方的防火墙规则、直接暴露公网的数据库端口——往往不会出现在任何内部文档里。等到外部安全报告或渗透测试指出来，这些资产已经暴露了数周甚至数月。

Shodan 作为全网扫描搜索引擎，其数据库中保存了全球范围内大量设备的开放端口、服务指纹与横幅信息。要从中提取与自身相关的攻击面，需要编写脚本调用 API、清洗返回数据、关联 CVE 库、最后生成可读的资产报告。这个流程本身不难，但重复执行成本高，且难以沉淀为团队内可复用的流程。

工作原理

这个技能把上述流程封装为一个可调用的代理，核心依赖两个数据源：

• Shodan REST API：负责主动查询。Shodan 的 DNS 数据库中收录了大量大概率会运行服务的主机名，技能利用这一数据库帮助定位组织可能暴露的服务，并支持对指定网段或关键字进行搜索。
• Shodan InternetDB：负责补充漏洞上下文。针对发现的开放端口，返回对应的 CVE 关联信息，避免人工再去漏洞库逐个核对。

典型的执行链路如下：

1. 指定目标范围（如域名、网段、组织名或 org 标识）。
2. 调用 API 检索该范围内的主机与开放端口。
3. 对每台主机的服务横幅与端口进行解析。
4. 通过 InternetDB 匹配服务指纹对应的已知 CVE。
5. 汇总生成资产清单，并附带每项资产的风险评分。

适用边界与注意点

• 该技能基于 Shodan 已收录的数据做查询，不会发起主动扫描。这意味着它的结果反映的是 Shodan 爬虫最近一次看到的状态，不是实时快照。
• 风险评分来自端口暴露与 CVE 关联的机械匹配，不等于漏洞的实际可利用性。一个暴露的 80 端口若运行的是非标准服务，评分可能有偏差，需要人工复核。
• Shodan 的搜索结果受其爬取覆盖范围限制，内网设备、隔离网络中的服务不在查询结果内。
• 使用前需要配置有效的 Shodan API Key，查询配额由账号的套餐等级决定，大规模网段查询可能快速消耗配额。