开源工具推荐｜StarMap 星图：一款把资产测绘、持续监控和可视化整合到一起的安全平台
FreeSec安全实验室
2026年10月15日 11:36
重庆
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
做过渗透测试、攻防演练或者企业安全建设的朋友，应该都遇到过这样的问题：
已经收集了一批域名，却不知道还有多少子域名和关联资产。
FOFA、Hunter、Quake 等平台各查各的，结果分散在不同文件里。
IP、端口、URL、Web 指纹等数据需要手动整理，重复资产不少。
扫描任务结束后，还要自己汇总结果、制作报告。
项目交付之后，想持续关注资产是否新增、服务是否下线、证书是否即将过期，又得重新搭建监控流程
如果能把资产收集、端口扫描、Web 探测、资产管理、持续监控和报告输出整合起来，会不会方便很多？
今天给大家介绍一个开源项目：StarMap（星图资产测绘平台）。
微信公众号末尾获取工具
StarMap 面向红队、安全工程师及企业安全团队，主打本地化资产测绘、信息收集、暴露面管理和资产持续监测。根据项目 README，它可以从公司名称、域名、IP 或 ICP 备案信息等入口创建任务，并串联多种资产收集与探测流程，最终生成 XLSX 和 Word 格式报告。
一、StarMap 到底是什么？
简单来说，StarMap 想解决的不是“再提供一个端口扫描器”，而是将原本分散的资产收集和管理工作整合成一套流程。
1. 资产收集
从公司名称、域名、IP、ICP 备案信息等入口开始，结合备案查询、子域名收集和空间测绘数据，补充资产线索。
2. 端口扫描与 Web 探测
通过集成的扫描和探测能力，获取端口、服务、HTTP 状态、页面标题及相关技术信息。
3. 统一资产管理
将域名、IP、URL、应用及其他企业关联信息集中管理，支持标签、备注、星标和来源追踪。
4. 持续监控
对资产可用性、DNS、TCP 服务及 TLS 证书等进行监测，并根据配置向钉钉、飞书或 Webhook 发送通知。
5. 报告输出与可视化
支持 XLSX、Word 报告输出，并通过企业星图和全局银河视图展示资产之间的关系。
与只负责某一项检测任务的工具相比，StarMap 更强调将资产发现、数据治理、后续监控和报告交付衔接起来。
二、项目有哪些值得关注的功能？
1. 多源资产收集
StarMap 支持从不同入口创建资产收集任务，并整合多种数据来源。
项目 README 中列出的能力包括：
FOFA、Hunter、Quake 等空间测绘平台查询；
ICP 备案信息查询；
ENScan 企业关联资产采集；
Subfinder 子域名收集；
DNS 字典枚举；
资产去重、合并及来源追踪。
这意味着，在授权范围内开展企业外部攻击面梳理时，可以尝试以企业或域名为起点，逐步补充关联资产，而不是每次都从不同工具分别开始。
需要注意的是，外部数据源能返回多少结果，取决于对应平台的权限、API 配额、查询条件及数据覆盖范围。多源聚合也不代表能够发现目标的全部资产。
2. 端口扫描与服务识别
项目集成了 Gogo 和原生 TCP 扫描能力，并结合 HTTPx 进行 Web 存活探测。
根据 README，相关功能包括：
IP 和网段扫描；
常见端口服务映射；
高危端口评级；
Web 标题、技术栈和 Server 信息提取；
最近存活时间等信息记录。
对于需要定期梳理企业公网暴露面的安全团队，这类能力可以帮助发现未纳入台账的服务，并为后续人工核查提供线索。
但需要明确：端口开放不等于存在漏洞，高危端口标记也不等于漏洞验证结果。发现异常服务后，仍需结合资产归属、业务用途和授权范围进一步确认。
3. Web 爬虫与敏感信息识别
StarMap 集成 Katana 等能力，用于 Web 内容发现和相关信息提取。
项目介绍中列出的功能包括：
Web 页面爬取；
API 端点提取；
字典及自定义规则；
敏感信息识别；
CDN 相关指纹识别。
对于企业内部安全检查，可以将这类结果作为 API 盘点、暴露面梳理和敏感信息排查的辅助依据。
爬虫深度、并发和字典配置需要结合目标环境调整。对于生产系统，不建议一开始就开启高并发或大规模字典探测，以免增加业务负载。
4. 统一资产库与持续监控
资产发现只是第一步，真正有价值的是后续管理。
StarMap 支持将域名、IP、URL、APP、小程序、公众号及其他企业关联信息纳入统一资产库，并通过标签、备注、星标等方式整理。
此外，项目还提供持续监控相关能力，包括：
HTTP、TCP、ICMP、DNS 等探测；
TLS 证书状态检查；
服务宕机和恢复监测；
页面变化等规则；
钉钉、飞书和 Webhook 通知。
这使它不仅可以用于一次性资产测绘，也可以尝试用于日常资产台账维护和暴露面变化跟踪。
5. 企业星图与 AI 辅助分析
这是 StarMap 比较有辨识度的部分。
项目提供企业数字星图和企业银河视图：将企业作为中心节点，把域名、IP、应用、证书等资产及其关联关系进行可视化呈现。
对于需要向团队或管理人员展示资产分布的场景，这种形式比单纯的 Excel 表格更直观。
项目还介绍了 AI 辅助分析能力，可以接入 OpenAI、Anthropic 等模型，对任务和资产信息进行对话式研判。
实际可用范围取决于项目版本、配置和模型服务情况。使用 AI 功能前，还应注意客户资产、内部域名和扫描结果等数据的保密要求。
三、如何安装 StarMap？
项目 README 描述了单二进制运行方式，支持 Windows、Linux 和 macOS 等平台。
假设下载的文件名为 starmap，Linux 环境可以执行：
chmod +x ./starmap
./starmap
Windows 环境则运行对应的 starmap.exe文件；具体文件名以下载内容为准。
首次启动后，根据项目 README，程序会在运行文件同级目录生成配置、数据和报告等目录，并在终端打印管理员账号信息。
在本机浏览器打开：
http://localhost:8080
如果程序正常启动，就可以尝试进入 Web 管理界面。
首次登录后，应立即修改初始管理员密码，不要将默认凭据用于长期运行环境。
如果页面无法打开，建议先检查：
- 程序是否正常启动，终端是否出现报错；
- 8080 端口是否被其他程序占用；
- 防火墙是否阻止了本地访问；
- 配置文件中的服务端口是否发生变化。
以上启动方式来自项目 README，实际部署时仍应以下载版本的说明为准。
四、首次使用：先完成基础配置
程序启动后，不建议立即对大量目标执行完整测绘。更稳妥的方式是先检查配置，再使用自有或明确授权的测试目标进行验证。
项目主要配置文件为：
configs/config.yaml
项目 README 介绍了 Web 页面系统设置和 YAML 配置两种维护方式。
主要配置项如下：
| 配置区域 | 主要用途 |
|---|---|
server |
服务端口、并发任务上限 |
icp/ aiqicha/ enscan |
备案与企业数据源 |
fofa/ hunter/ quake |
空间测绘平台 API |
subfinder/ brute |
子域名枚举及字典 |
gogo/ httpx |
端口扫描与存活探测 |
crawler |
爬虫深度、并发、代理和识别规则 |
monitor |
监控类型、证书检查和通知渠道 |
agent |
AI 模型与自动化分析配置 |
scheduler |
不同任务类型的并发控制 |
这里有一个实用建议：如果暂时没有 FOFA、Hunter、Quake 或其他数据源的 API 凭证，不要随意填写占位字符串。先确认哪些功能能够在当前配置下正常使用，再逐步接入其他数据源。
对于外部 API Key，建议妥善保管，避免把包含真实凭据的配置文件上传到公开仓库或直接贴进工单。
五、实战流程：如何完成一次资产测绘？
下面以自有或已获得书面授权的测试域名为例，介绍建议的使用顺序。
场景一：从已知域名开始梳理资产
例如，你负责维护某个测试域名，希望整理它关联的子域名、Web 服务和端口信息。
操作思路如下：
- 进入任务管理页面。
- 选择新建任务。
- 输入已授权的域名。
- 根据实际需求选择子域名收集、空间测绘补充、端口扫描和 Web 探测等选项。
- 检查任务范围和扫描参数。
- 提交任务并观察执行进度。
- 完成后查看资产结果，确认资产来源及有效性。
需要注意，项目提供多种任务流，但不同选项的具体表现取决于数据源配置和当前版本。建议先使用少量测试资产验证流程，再扩大任务范围。
场景二：核查 IP 或网段的端口暴露情况
如果已经有明确的授权 IP 或网段，可以使用端口扫描模块开展检查。
项目 README 给出的页面路径为：
端口扫描
└── 新建任务
├── 填写 IP / CIDR
└── 选择端口预设
执行前建议确认：
- IP 或网段是否在授权清单内；
- 扫描端口范围是否符合测试约定；
- 并发和超时参数是否适合当前网络；
- 是否可能影响生产服务；
- 是否需要记录扫描时间和操作人。
完成后，应将开放端口与服务信息同已有资产台账进行核对。发现陌生端口时，先确认资产归属及业务用途，再判断是否需要进一步测试。
场景三：检查 Web 资产和 API 端点
对于已确认归属的 Web 资产，可以进一步使用爬虫功能收集页面和 API 端点线索。
建议从较低的爬取深度和并发开始，确认任务稳定后再逐步调整参数。
如果需要开展字典探测或敏感信息识别，应提前确认授权范围，避免访问不属于测试范围的第三方资源。
对于疑似密钥、令牌或密码的命中结果，应先做脱敏处理，再判断是否为真实凭据，不能仅凭正则命中就认定发生了泄露。
场景四：导出报告
项目 README 介绍了 XLSX 和 Word 两种报告格式。
任务完成后，可以进入报告中心查看并下载对应报告，再结合实际情况进行人工复核。
建议交付前重点检查：
重复资产是否已合并；
资产归属是否明确；
端口和服务信息是否仍然有效；
资产来源是否可以追溯；
发现项是否有足够证据支持；
是否包含需要脱敏的内部信息。
自动生成的报告可以减少整理工作，但不应直接替代人工确认和安全结论审核。
六、如何把 StarMap 用于长期资产监控？
对于企业安全团队来说，持续监控往往比单次扫描更有价值。
在完成初步资产梳理后，可以挑选核心业务域名、关键 Web 服务和需要关注的 TLS 证书加入监控范围。
根据项目介绍，相关配置流程为：
资产监测中心
└── 导入监测目标
└── 配置探测类型
└── 设置通知渠道
如果希望通过钉钉、飞书或 Webhook 接收告警，需要按照对应渠道的要求配置通知信息。
建议优先监控少量关键资产，观察误报率、告警频率和数据准确性，再逐步扩大范围。
例如：
- 核心站点不可访问时，及时通知负责人；
- TLS 证书临近到期时，提前安排续期；
- 服务状态变化时，核查是否为计划内变更；
- 页面内容发生异常变化时，结合发布记录进一步确认。
这里需要强调：告警是调查线索，不等于安全事件定论。服务不可用可能由维护、网络故障或配置变更引起；页面变化也可能是正常更新。建议结合业务变更记录和其他监控数据进行判断。
七、数据存储在哪里？部署时需要注意什么？
根据项目 README，StarMap 使用 SQLite 保存统一资产库、任务和日志等数据，并在运行目录下组织配置、数据和报告文件。
常见目录包括：
configs/ # 运行配置、指纹、字典和规则
data/ # SQLite 数据库、资产、任务和日志
reports/ # XLSX / Word 报告
templates/ # Word 报告模板
这种本地化存储方式便于部署和管理，但也意味着使用者需要自行做好数据保护。
建议至少做好以下几项工作：
限制访问范围：不要将管理页面直接暴露到公网，除非已经完成必要的身份验证、访问控制和安全加固。
定期备份：按照实际运行情况备份数据库、配置文件和重要报告。
保护凭据：不要把数据源 API Key、通知令牌和其他敏感信息放入公开仓库。
控制报告权限：报告可能包含内部域名、IP、服务信息和 API 端点，应按敏感业务资料管理。
留意任务负载：根据目标规模调整并发和扫
八、适合哪些人使用？
我认为，StarMap 值得关注的地方是它试图把多个阶段的安全工作衔接起来，而不是单纯追求某一个扫描功能。
比较适合关注以下工作的读者：
渗透测试人员：在授权项目中开展资产发现和攻击面梳理。
安全服务工程师：整理资产信息、追踪资产来源，并辅助生成项目报告。
企业安全团队：建立资产台账，持续关注关键服务和证书变化。
安全工具爱好者：研究多工具编排、资产管理和安全数据可视化的实现思路。
不过，工具是否适合实际项目，仍然需要结合目标规模、数据源授权、部署环境、检测准确性和运维要求进行验证。
资产测绘的价值，不只是收集到多少域名、IP 和端口，更重要的是能否把资产关系梳理清楚、及时发现变化，并将结果转化为可执行的安全管理措施。
StarMap 将多源资产收集、端口扫描、Web 探测、资产管理、持续监控、可视化和报告交付整合到一个平台中，适合有相关需求的安全从业者进一步了解和测试。
如果你正在寻找一套用于授权资产梳理的开源平台，不妨把它加入工具清单。
六、工具获取
公众号回复“20261015”
欢迎在评论区分享你的经验。
关注 FreeSec 安全实验室，持续分享网络安全工具、技术实战与防护思路。
扫码关注
-END-
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论