ZoomEye使用全攻略：从入门到精通的实战手册

一、ZoomEye核心功能与定位

ZoomEye作为全球知名的网络安全搜索引擎，通过主动探测技术持续扫描互联网暴露的资产信息，构建了覆盖IP、域名、端口、服务组件等多维度的数据库。其核心价值在于帮助安全研究者快速定位目标资产，识别潜在漏洞风险，尤其适用于渗透测试前的信息收集阶段。

与Shodan等同类工具相比，ZoomEye的优势体现在：

1. 数据维度丰富：除基础端口服务外，还包含Web组件指纹（如CMS、框架版本）、中间件类型、证书信息等
2. 中国区资产覆盖率高：对国内企业网络、物联网设备的探测能力突出
3. 查询语法灵活：支持多条件组合查询与正则表达式匹配
4. API接口完善：提供编程化调用能力，适合自动化安全工具集成

二、基础查询操作指南

1. 基础搜索语法

ZoomEye采用类似搜索引擎的查询语法，支持以下核心操作符：

• 空格分隔：表示逻辑与（AND），如apache tomcat查询同时包含两个关键词的资产
• 引号包裹：精确匹配短语，如"Microsoft IIS/10.0"匹配特定版本服务
• 端口限定：使用:port格式，如:443查询开放443端口的资产
• 国家/地区过滤：使用country:"CN"限定中国地区资产

实战案例：
查询中国地区运行Nginx 1.18.0且开放80端口的Web服务器：

nginx:1.18.0 port:80 country:"CN"

2. 高级筛选技巧

• 组件指纹查询：通过app:前缀指定技术栈，如app:"ThinkPHP 5.0.x"
• 操作系统过滤：使用os:前缀，如os:"Windows Server 2016"
• ICP备案查询：通过icp:前缀匹配企业备案信息，如icp:"腾讯"
• 时间范围限定：使用after:/before:指定探测时间，如after:"2023-01-01"

组合查询示例：
查找2023年后探测到的运行Redis未授权访问漏洞（默认6379端口）的资产：

app:"Redis" port:6379 after:"2023-01-01"

三、数据导出与API调用

1. 网页端数据导出

ZoomEye支持将搜索结果导出为CSV/JSON格式，操作路径为：
搜索结果页 → 导出按钮 → 选择格式 → 确认导出
注意事项：

• 免费用户每日限导出100条记录
• 付费会员可解锁批量导出与历史数据查询功能
• 导出的JSON数据包含资产详细指纹信息

2. API调用实战

通过API可实现自动化数据采集，核心接口包括：

• 搜索接口：/api/v1/search
• 详情接口：/api/v1/host/{ip}
• 批量查询接口：/api/v1/search/batch

Python调用示例：

import requests
import json
API_KEY = "your_api_key"
headers = {"API-KEY": API_KEY}
params = {
    "query": "app:\"Jenkins\" port:8080",
    "page": 1,
    "size": 20
}
response = requests.get(
    "https://api.zoomeye.org/api/v1/search",
    headers=headers,
    params=params
)
data = json.loads(response.text)
print(f"找到 {data['total']} 条结果")
for item in data['matches']:
    print(f"IP: {item['ip']}, 端口: {item['portinfo']['port']}")

API使用建议：

• 合理设置page和size参数避免单次请求数据量过大
• 使用try-except处理请求频率限制（免费用户每分钟5次）
• 敏感操作建议使用代理IP防止账号被封禁

四、进阶应用场景

1. 物联网设备发现

通过组合查询可精准定位特定物联网设备：

app:"Hikvision DVR" port:8000 country:"CN"

此查询可发现中国地区暴露的海康威视摄像头管理端口，为后续漏洞利用提供目标。

2. 云服务资产梳理

针对AWS/阿里云等云服务，可通过以下方式识别：

• 证书信息：cert:"*.aliyuncs.com"
• 特定Header：header:"X-Powered-By: Express"
• CNAME记录：结合DNS查询工具验证资产归属

3. 漏洞验证辅助

在发现CVE漏洞时，可通过ZoomEye快速评估影响范围：

app:"Confluence Server" version:"<6.13.0" country:"US"

此查询可定位美国地区存在CVE-2021-26084漏洞的Confluence实例。

五、使用注意事项

1. 合规性要求：仅对授权目标进行探测，避免触犯《网络安全法》
2. 数据时效性：ZoomEye数据存在1-7天的延迟，重要任务建议结合Nmap等工具现场验证
3. 反爬机制：频繁请求可能触发IP封禁，建议：
   • 控制请求频率（每秒不超过2次）
   • 使用代理池轮换IP
   • 付费会员可申请提高请求限额
4. 数据解读：注意区分真实服务与蜜罐系统，可通过响应包特征辅助判断

六、优化建议

1. 构建查询模板库：针对常见目标（如Web应用、数据库、网络设备）建立标准化查询模板
2. 结合其他工具：将ZoomEye与FOFA、Censys等工具结果交叉验证，提高数据准确性
3. 定期更新指纹库：关注ZoomEye官方发布的组件指纹更新日志，及时调整查询策略
4. 自动化监控：通过API对接企业SIEM系统，实现资产变更实时告警

通过系统掌握ZoomEye的查询语法与高级功能，安全研究者可显著提升信息收集效率，为后续渗透测试、漏洞挖掘等安全工作奠定坚实基础。建议从基础查询入手，逐步尝试组合条件与API调用，最终形成个性化的资产发现工作流。