OSINT 域名智能扫描器

问题：静态资产清单为何漏掉真实攻击面

很多团队的资产台账依赖 DNS 区域文件或云服务提供商的托管记录。一旦某个子域名在测试或迁移后被遗忘，只要记录没有及时删除，它仍然是真实可解析的。更隐蔽的是历史 DNS 记录：曾经指向内部堡垒机、管理后台或第三方服务的设计资源，很可能因为解析记录过期而无人知晓，但仍可通过缓存或归档被攻击者发现。

此外，证书透明度日志会让已下线但证书尚未过期的域名重新暴露在搜索引擎和威胁情报平台的视野中。手工查询多个平台既慢又容易遗漏，需要一种能将外部被动数据聚合成统一视图的流程。

工作机制：从多源数据聚合到攻击面映射

该技能围绕域名情报收集设计了一条可重复的流水线，核心步骤包括：

• 子域枚举：通过 Amass 汇总开源情报、DNS 暴力破解与第三方数据集，同时抓取 crt.sh 的证书透明度日志，找出证书中出现过的所有 Subject Alternative Name。
• DNS 历史回溯：利用 SecurityTrails 的历史 A、CNAME 和 NS 记录，恢复已被删除但仍在缓存中存活的解析条目。
• 暴露面画像：调用 Shodan API 根据解析出的 IP 检索开放端口、banner 和设备指纹，帮助判断哪些服务具备直接利用价值。
• 注册信息核验：通过 WHOIS 和 RDAP 查询注册商、创建时间、过期时间以及可能的注册人邮箱，辅助判断域名是否归属同一组织。

所有数据在输出前会被合并去重，最终形成一份包含子域名、解析历史、开放端口和注册信息的清单，供后续资产入库或威胁建模使用。

适用边界与验证要点

该技能专注于外部被动数据收集，不会执行任何主动扫描或漏洞验证。它不能替代 Nmap、Nessus 等网络扫描工具，也无法发现需要交互才能确认的业务逻辑漏洞。

对于首次运行，建议在一个非生产域名或测试域上验证数据源覆盖范围和结果准确性。某些数据源（如 crt.sh）对拼写相近的域名会产生较多噪声，需要人工确认是否属于同一业务线。此外，部分服务对高频查询有速率限制，大规模批量执行时应控制并发并遵守各平台的合理使用条款。