进攻性 OSINT — 外部红队武器库

配套技能：osint-methodology（"如何思考"的技能）。本技能是"用什么工具"。配合使用效果最佳。

0. 何时使用 / 何时不使用

使用本技能当：

• 你需要具体的探测路径、字典、正则表达式、载荷、评分规则或工具 URL
• 你正在执行侦察并需要实际技术参考（而非方法论）
• 你正在构建侦察自动化并需要特定列表作为种子

不要使用本技能当：

• 用户要求主动利用、后渗透或超出侦察范围的任何内容
• 用户要求防御/蓝队检测
• 目标的授权未确立——参见 §1

---

1. 授权与法律态势

适用于操作者拥有或有书面授权评估的资产。对未验证的第三方目标采取行动前进行软范围检查。

---

2. 置信度级别

• 暂定 — 基于间接证据的合理推断
• 确定 — 直接观察到（子域解析、HEAD 确认的存储桶存在）
• 已验证 — 通过多源交叉验证

---

3. 子域枚举

被动源

crt.sh, SecurityTrails, VirusTotal, Shodan,
Censys, DNSDumpster, Amass (passive mode),
subfinder, chaos-client

主动探测

# DNS 暴力枚举
subfinder -d target.com -all | httpx -silent

# 证书透明度
curl -s "https://crt.sh/?q=%25.target.com&output=json" | jq -r '.[].name_value' | sort -u

---

4. 资产发现

Google Dorks

site:target.com filetype:pdf
site:target.com inurl:admin
site:target.com ext:sql | ext:env | ext:log
"target.com" site:github.com

云存储枚举

# S3 存储桶
aws s3 ls s3://target-bucket --no-sign-request

# GCS
gsutil ls gs://target-bucket

# Azure Blob
https://target.blob.core.windows.net/container?restype=container&comp=list

---

5. 邮箱与人员

邮箱模式发现

hunter.io, phonebook.cz, snov.io,
LinkedIn (手动), GitHub commits

常见模式

{first}.{last}@domain.com
{f}{last}@domain.com
{first}{l}@domain.com
{first}@domain.com

---

6. 技术指纹

| 类别 | 工具 | |------|------| | Web 技术 | Wappalyzer、httpx、whatweb | | DNS | dig、dnsx、dnsrecon | | 端口 | nmap、masscan、rustscan | | SSL/TLS | sslyze、testssl.sh | | WAF 检测 | wafw00f |

---

7. 泄露与暴露

代码仓库

# GitHub 搜索
"target.com" password OR secret OR api_key
org:target filename:.env

凭据泄露

dehashed.com, leakcheck.io,
haveibeenpwned.com (API)