资产测绘到底是什么：从数据流看它的边界

证书透明度日志能拿到历史上签发过的全部域名，比爆破更全，而且不触碰目标，也不产生告警

理解它的关键是画出三条线：入口、信任边界、危险点。

先说结论

漏洞的本质是「不可信数据到达了危险点」，防御的本质是「在中间加一道能正确判断的关卡」。

• 入口：数据从哪来，谁都能改吗
• 边界：跨边界时有没有做类型与格式判断
• 危险点：拼接、解析、执行、反序列化
• 前置条件：需要什么权限、什么配置
• 影响面：能读到什么、能改到什么

数据流：从入口到危险点

favicon 的哈希与 TLS 证书里的 CN，是两个比较稳定的资产指纹维度，两个都能稳定复现。

信任边界在哪

全端口扫描一台机器会产生上千条连接，很容易被流量设备标记出来。

边界两侧的数据可信度不同，所有校验都应该发生在边界上，而不是散落在业务代码里。

这个问题的几个关键事实

决定它「是理论还是现实」的几条：

• 同一个 ASN 下的 IP 段往往包含台账里没有的测试环境与临时扩容机器，多数没进变更流程
• 全端口扫描一台机器会产生上千条连接，很容易被流量设备标记出来
• 影子资产多半来自业务团队自行采购的 SaaS、对象存储与临时演示环境

影响面怎么判

评估危害时先问：需要什么身份、需要开什么配置、能不能碰到内网。三个问题的答案决定了它是「低危」还是「要连夜修」。

为什么总是修不干净

只枚举子域名，不看 IP 段与证书里的历史记录

把 CDN 节点当成自有资产，扫了半天是别人的

根因通常是「同一个入口有多个解析器」，修了一个，另一个还通。

再补充几点

这几条不改变结论，但会改变你评估风险时的顺序。

• 测绘结果要能回答「这台机器归谁」，否则清单再长也没法推动整改，每季度和变更系统对一次
• 清单建完就不更新，半年后一半资产已经下线

理解数据流，比背 payload 有用得多。