攻击性OSINT情报侦察

解决的具体问题

在外部侦察阶段，团队常面临「方法论清晰但落地困难」的困境：知道需要收集子域名、邮箱、泄露数据，却缺少可直接执行的探测路径、词表、正则表达式和工具URL。自动化脚本需要具体的种子列表和评分规则，而非抽象原则。本技能填补这一鸿沟，将「如何思考」的方法论转化为「用什么工具」的实操手册。

核心能力与工作方式

授权与置信度框架

• 授权前置：仅对操作员拥有或已获书面授权的资产执行侦察，对未验证第三方目标需先进行软范围检查
• 三级置信度：TENTATIVE（间接证据，如片段匹配、单源资产）→ FIRM（直接观察，如子域名解析、HEAD确认）→ CONFIRMED（独立验证，如PMAK实时验证、多源一致）
• 标准化输出：每个发现项包含id、module、asset_key、category、severity、confidence、evidence（URL+UTC时间戳+SHA-256+≤2KiB原始数据）和remediation

预构建侦察资源

• API发现词表：28条Swagger/OpenAPI路径（如/v2/api-docs、/swagger.json）和13条GraphQL路径（如/graphql、/playground），附带严重性标注（无认证可达→HIGH LEAKYAPISPEC）
• 邮箱模式推断：给定(first_name, last_name, domain)生成8个候选地址（如first.last@、f.last@），用于泄露数据预命中和钓鱼列表策划
• 多源邮箱收集栈：并行查询IntelX电话簿API、Hunter.io、crt.sh（X.509 SAN扩展）、DuckDuckGo/Bing SERP、Wayback CDX，最后去重
• 泄露数据查询：通过HudsonRock Cavalier公开API查询信息窃取日志，返回total、employees、stealer_families等字段，免费层支持约1次/秒的速率限制

专项调查模块

• 人员与账号调查：Sherlock/Maigret跨社交平台用户名搜索，Holehe邮箱注册检查，PhoneInfoga电话号码情报
• 企业信息穿透：中国GSXT（国家企业信用信息公示系统）→ USCC（18位统一社会信用代码）→ ICP备案的域名-实体关联链，俄罗斯Rusprofile/Kontur.Focus注册表，美国SEC EDGAR/英国Companies House
• 社交媒体覆盖：Instagram（Picuki）、X/Twitter（snscrape）、Facebook（Graph Search/Meta Content Library）、Bluesky（Firesky）、Mastodon（FediSearch）等平台的专用工具

适用边界与注意点

• 禁止场景：主动利用、后渗透、防御检测；未授权目标侦察
• 凭证保护：禁止将凭证、PII或会话令牌粘贴到云端LLM；验证凭证仅用于只读活跃性检查
• 破坏性探测：仅在DEEP或--aggressive模式下执行，常规侦察需保持非破坏性
• 源卫生：所有工件需记录URL、UTC时间戳、SHA-256、工具版本和run_id，截图和日志正文限制在2KiB以内
• 归因原则：禁止单源归因，不假设供应商标签是绝对真理，多源交叉验证后再标记CONFIRMED