攻击性OSINT侦察武器库

要解决的问题

进行外部红队侦察或 Bug Bounty 信息收集时，团队常常面临一个具体困境：知道要做 OSINT，却不知道具体该探测什么。方法论文档告诉你"要检查泄露数据""要枚举用户"，但当你真正坐下来写脚本时，需要的是具体的 Swagger 路径、GraphQL 内省请求体、高危端口列表、密码学正则表达式，或者一个能直接跑的用户名字典。

现实工作中，从零收集这些技术资源极其耗时。Swagger 路径要一个一个从文档里扒，GraphQL 字段要手动猜，高危端口列表要回忆或翻找。当你想自动化侦察流程时，第一步不是写 Python 脚本，而是找一堆列表来初始化数据结构。

技能如何工作

这个武器库本质上是一个结构化的技术参考库，而非方法论指南。它直接提供"该用什么工具、该探测哪些路径"的答案。

核心数据资产包括：

• 28 个 Swagger/OpenAPI 发现路径，覆盖常见 API 暴露面
• 13 个 GraphQL 路径 + 标准内省 POST 请求体
• 35 个高危端口及其典型服务指纹
• 80+ 搜索引擎语法变体（Google、Bing、DuckDuckGo 等）
• 43+ 密钥和凭证正则表达式（AWS Key、GitHub Token、Slack Token 等）
• 厂商产品指纹库（Citrix、F5、Fortinet、Palo Alto、VMware 等）

关键工作流示例：

邮箱推断模式是一个典型的实战场景。给定 (first_name, last_name, domain)，技能自动生成 8 个候选邮箱地址（如 f.last@domain.com、firstlast@domain.com 等常见格式），然后指导你在 Have I Been Pwned、HudsonRock Cavalier、Dehashed 等泄露库中批量查询。所有候选地址在获得佐证前都标记为 TENTATIVE 置信度，这避免了过早确认导致的误判。

身份架构枚举模块覆盖 Entra ID、Okta、ADFS、Google Workspace、Microsoft 365 等主流身份提供商。它不仅列出可探测的端点，还提供在 GraphQL 内省被禁用时的字段建议枚举方法。

9 个只读密钥验证器覆盖 Postman、AWS、GitHub、Slack、Anthropic、OpenAI、npm、Atlassian、DataDog。这些不是暴力破解工具，而是快速验证你找到的疑似密钥是否有效的正则匹配器，所有验证操作均为只读，不会产生新的网络请求。

输出格式：
每个发现必须包含完整证据链：id、module、asset_key、category、severity、confidence、title、description、evidence（URL + UTC 时间戳 + SHA-256 哈希 + 原始内容前 2 KiB）、references、remediation。这种结构化输出确保后续工具可以解析和关联发现。

适用边界与注意点

授权先行：仅限对你拥有或已获书面授权的资产执行操作。对未验证的第三方目标，先做软范围检查确认归属。

置信度三档：

• TENTATIVE（暂定）：基于间接证据的合理推测，例如从泄露库查到的邮箱尚未通过其他渠道验证
• FIRM（确认）：直接观察到，例如通过响应头或页面内容确认的技术栈指纹
• CONFIRMED（验证）：通过独立佐证或直接验证确认，例如用第二个泄露源交叉验证同一个凭证

常见陷阱：

• 不要将凭据、PII 或会话令牌发送到云 LLM。这个武器库是技术参考资料，不是 LLM Prompt 注入目标
• HudsonRock 免费层的子域名遮蔽是已知限制，需要付费版本或其他数据源获取完整数据
• 厂商标签不等于事实真相，Citrix 的指纹可能被误标，需要独立验证
• 旧邮件系统已停用但泄露库仍有凭证，这个看似无害的历史泄露可能通过密码复用危及当前云 SSO，应升级为 CRITICAL

这个武器库的定位是"战术手册"而非"战略指南"。它不教你如何思考侦察策略，而是当你已经知道要做什么时，提供具体的工具路径、字典和验证方法。