AppInfoScanner Web安全扫描：静态站点与H5页面的信息收集艺术

【免费下载链接】AppInfoScanner 一款适用于以HW行动/红队/渗透测试团队为场景的移动端(Android、iOS、WEB、H5、静态网站)信息收集扫描工具，可以帮助渗透测试工程师、攻击队成员、红队成员快速收集到移动端或者静态WEB站点中关键的资产信息并提供基本的信息输出,如：Title、Domain、CDN、指纹信息、状态信息等。 项目地址: https://gitcode.com/gh_mirrors/ap/AppInfoScanner

AppInfoScanner是一款专为HW行动、红队和渗透测试团队设计的移动端与Web信息收集扫描工具，能够快速识别静态站点与H5页面中的关键资产信息，包括Title、Domain、CDN、指纹信息和状态码等核心数据。无论是渗透测试工程师还是红队成员，都能通过这款工具提升信息收集效率，为后续安全评估奠定基础。

📊 为什么选择AppInfoScanner进行Web信息收集？

在Web安全测试中，高效的信息收集是成功的关键第一步。AppInfoScanner针对静态站点和H5页面的特点，提供了三大核心优势：

1. 多维度资产识别能力

工具能够自动解析页面中的关键元素，包括但不限于：

• 页面标题与元数据
• 域名与子域名分布
• CDN服务商识别
• 服务器指纹与技术栈
• HTTP状态码与响应头信息

2. 深度扫描与智能过滤

通过内置的文件类型过滤机制，AppInfoScanner专注于分析Web应用的核心资源文件。在libs/task/web_task.py中定义了默认扫描的文件类型，包括：

scanner_file_suffix = ["html", "js", "html", "xml"]

这种精准过滤确保扫描结果聚焦于有价值的信息，避免无关资源干扰。

3. 高效并发处理

工具支持自定义并发线程数，通过-t参数可调整扫描速度。默认配置10线程，可根据目标服务器性能灵活优化，平衡扫描效率与隐蔽性。

🚀 快速上手：Web扫描基础操作

安装准备

首先克隆项目仓库并安装依赖：

git clone https://gitcode.com/gh_mirrors/ap/AppInfoScanner
cd AppInfoScanner
pip install -r requirements.txt

依赖包包括requests、click和openpyxl等，确保工具正常运行。

核心命令解析

Web扫描的基础命令格式如下：

python app.py web -i <目标路径> [可选参数]

关键参数说明：

• -i：指定扫描目标（本地目录、文件路径或远程站点URL）
• -r：临时扫描规则（自定义正则表达式）
• -s：启用网络嗅探功能
• -o：指定结果输出目录

实战案例：扫描本地H5项目

python app.py web -i ./h5_project -t 20 -o ./scan_results

该命令将扫描当前目录下的h5_project文件夹，使用20线程并发处理，并将结果保存至scan_results目录。

📈 扫描结果解析与应用

AppInfoScanner提供结构化的扫描结果，通过表格形式直观展示关键信息。以下是典型的Web扫描结果示例：

AppInfoScanner Web扫描结果展示：包含URL、域名、状态码、服务器信息等关键数据

从结果中可以快速识别：

• 活跃的子域名与路径
• 潜在的CDN配置不当问题
• 服务器版本与技术栈暴露
• 异常响应状态码的资源路径

这些信息为渗透测试提供了明确的测试目标，帮助安全人员优先关注高风险区域。

⚙️ 高级配置与优化

自定义扫描规则

通过-r参数可添加临时扫描规则，例如查找包含API密钥的JavaScript文件：

python app.py web -i https://target.com -r "api_key|token"

忽略资源文件

使用-n参数可跳过图片、样式表等资源文件，专注于代码文件分析：

python app.py web -i ./static_site -n

全量内容输出

添加-a参数可输出所有匹配规则的字符串内容，便于深度分析：

python app.py web -i ./admin_panel -a -o ./full_results

🔍 适用场景与最佳实践

AppInfoScanner特别适合以下Web安全场景：

1. 静态网站快速评估

对HTML、JavaScript和CSS文件进行全面扫描，识别硬编码密钥、第三方依赖漏洞和敏感路径。

2. H5应用安全审计

针对移动端H5页面，检测混合应用中的API接口暴露、跨域配置问题和本地存储敏感数据。

3. 红队信息收集

在渗透测试初期，快速梳理目标资产边界，建立域名、子域名和技术栈图谱。

建议结合工具输出结果，进一步使用专业漏洞扫描工具对高风险点进行深度检测，形成完整的安全评估闭环。

📌 总结

AppInfoScanner作为一款专注于移动端与Web的信息收集工具，为安全测试人员提供了高效、精准的扫描能力。通过其强大的Web扫描功能，能够快速掌握静态站点与H5页面的资产分布和潜在风险，是渗透测试工作流程中的得力助手。无论是新手还是资深安全从业者，都能通过这款工具提升信息收集效率，为后续漏洞挖掘和渗透攻击奠定坚实基础。

想要深入了解工具的实现细节，可以查看核心模块源码：

• Web扫描逻辑：libs/task/web_task.py
• 命令行交互：app.py

【免费下载链接】AppInfoScanner 一款适用于以HW行动/红队/渗透测试团队为场景的移动端(Android、iOS、WEB、H5、静态网站)信息收集扫描工具，可以帮助渗透测试工程师、攻击队成员、红队成员快速收集到移动端或者静态WEB站点中关键的资产信息并提供基本的信息输出,如：Title、Domain、CDN、指纹信息、状态信息等。 项目地址: https://gitcode.com/gh_mirrors/ap/AppInfoScanner