Osint Recon

OSINT Recon (публичные источники, request-driven)

python ~/.claude/tools/osint_client.py <команда> [аргументы] [--json]

Философия: никаких демонов, поллеров и докера. Спросил → сходил в публичный API → напечатал. Всё, что требует постоянного опроса (живые карты самолётов/судов/спутников), не входит в скилл принципиально — см. «Чего здесь нет».

Когда использовать

• Пришёл незнакомый домен/IP (контрагент, партнёр, подрядчик, подозрительная ссылка) — надо быстро понять, что это.
• Due diligence перед сделкой/интеграцией: кто регистратор, когда истекает домен, где хостится, что торчит наружу.
• Проверка своего/клиентского периметра «глазами снаружи»: субдомены в CT-логах, открытые порты, гигиена HTTP-заголовков.
• Санкционный скрининг компании или физлица перед платежом/договором.
• Быстрый ответ «есть ли известные CVE» по продукту или по конкретному CVE-ID.

Ключи не обязательны — все команды работают без них.

Команды

Глобальные флаги: --json (машинный вывод) и --timeout N (деф. 15 с). Работают и до, и после сабкоманды.

Примеры

# Сводка по домену — начинай отсюда
python ~/.claude/tools/osint_client.py recon example.com

# Чей IP и где стоит
python ~/.claude/tools/osint_client.py ip YOUR_PUBLIC_IP

# Что торчит наружу у хоста + известные CVE
python ~/.claude/tools/osint_client.py ports YOUR_PUBLIC_IP

# Живые субдомены (карта поверхности атаки)
python ~/.claude/tools/osint_client.py subdomains github.com --limit 100

# Гигиена заголовков с оценкой A-F
python ~/.claude/tools/osint_client.py headers https://example.com

# Санкционный скрининг контрагента
python ~/.claude/tools/osint_client.py sanctions "Название Компании"

# Свежие CVE по продукту / конкретный CVE
python ~/.claude/tools/osint_client.py cve "openssl" --limit 5
python ~/.claude/tools/osint_client.py cve CVE-2024-3094

# Машинный вывод для дальнейшей обработки
python ~/.claude/tools/osint_client.py recon example.com --json

Опциональные ключи

Читаются из ~/.claude/.credentials.master.env. Без них всё работает, просто скромнее:

Значения не выдумывать: нет переменной — работаем на фолбэке и говорим об этом в выводе.

Гочи

• crt.sh регулярно отдаёт 502/404 под нагрузкой. Клиент пробует две формы запроса и автоматически падает на CertSpotter — в выводе видно, какой источник сработал. Числа certs и subdomains от разных источников будут отличаться: это нормально, у CertSpotter (без ключа) более узкое окно.
• Основной источник BGP — RIPEstat, а не api.bgpview.io. У BGPView бывает, что домен не резолвится из целых сетей и стран, а выглядит это как «команда молча ничего не нашла». RIPEstat стабильнее; менять источник не нужно, даже если у тебя BGPView открывается.
• OpenSanctions с 2025 отдаёт 401 без ключа. Фолбэк OFAC качает sdn.csv + alt.csv (6 МБ) в `/.claude/cache/osint/`, TTL 7 дней. Первый вызов — минуту, дальше мгновенно.
• NVD без ключа: ~5 запросов / 30 с. cve по ключевому слову делает 2 запроса (счётчик + последняя страница, чтобы отдать НОВЫЕ, а не CVE из 1999-го). Подряд не долбить — иначе 429. Страница NVD ограничена 100 записями: --limit больше 100 срезается до 100 (в stderr будет сказано). Нужно больше — сужай запрос, а не задирай лимит.
• sanctions печатает ПОЛНОЕ число совпадений, а показывает --limit (деф. 10). Если в выводе [WARN] showing 10 of 88 — это не «88 однофамильцев неважно», это значит, что 78 записей ты не видел. Перед выводом «чисто/не чисто» подними лимит. В --json это поля total_matches / shown / truncated.
• IDN-домены (.рф, .中国) переводятся в punycode перед запросом в CT/RDAP/HTTP, и в stderr печатается во что именно (пример.рф -> xn--e1afmkfd.xn--p1ai). Имена в выводе тоже будут в punycode — это форма, в которой они реально лежат в сертификатах.
• ip-api.com — 45 запросов/минуту с одного IP и только по HTTP на бесплатном тарифе. При лимите клиент переключается на ipinfo.io.
• Данные публичные и могут быть неполными/устаревшими. Shodan — снимок периодического скана, не живая проверка (порт мог закрыться час назад). CT-логи историчны: имя в сертификате ≠ имя работает сейчас; поэтому в subdomains есть отметка resolved/dead. RDAP есть не у всех зон — у .ru, .su, .рф и ряда ccTLD публичного RDAP-сервера нет, команда честно об этом скажет.
• ip и ports принимают и хостнейм — он будет отрезолвлен, и в stderr напечатается, во что именно.
• SSRF-guard: приватные, loopback, link-local, reserved и cloud-metadata адреса блокируются — включая случай, когда публичное имя резолвится в 127.0.0.1. Отказ — понятный текст, exit-код 3.
• Коды выхода: 0 — ок, 2 — ошибка источника/ввода, 3 — блокировка SSRF-гардом, 4 — rate-limit, 130 — прервано.
• requests и dnspython используются как быстрый путь, если установлены; если нет — всё работает на stdlib, ставить ничего не обязательно (pip install requests dnspython только ускорит).

Этика и границы

Инструмент — для проверки инфраструктуры и контрагентов: домены, IP, сети, компании, санкционные списки, CVE. Это данные, которые организации публикуют о себе сами (DNS, RDAP, CT-логи, BGP-анонсы, HTTP-заголовки) плюс официальные государственные списки.

НЕ для слежки за частными лицами. Не использовать для составления досье на человека, отслеживания перемещений, поиска домашнего адреса, преследования. sanctions — комплаенс-скрининг перед платежом/договором, а не способ «пробить» человека.

Совпадение по имени в санкционном списке не является подтверждением личности — это повод запросить документы (ДР, паспорт, регистрационный номер), а не основание для решения. Юридическую значимость имеет только первоисточник.

Ничего активного: тут нет сканера портов, брутфорса и эксплуатации. Все данные берутся из чужих публичных API — мы не касаемся исследуемого хоста, кроме одного обычного HTTP-запроса в headers (как открыть сайт в браузере).

Чего здесь нет

Живые карты самолётов, судов и спутников — не в этом скилле. Они требуют постоянного опроса (поллер каждые N секунд, фоновый демон, хранилище треков), что противоречит философии osint-recon: спросил → сходил → напечатал. Вопросы вида «что летает над», «покажи живую карту», «военные борта рядом» — это отдельный фоновый сервис поверх открытых фидов ADS-B/AIS/спутниковых TLE; готового скилла под него в паке нет, поднимается своим демоном под ресурс-гардом.

Также вне скилла: активное сканирование, парсинг соцсетей, поиск утечек паролей, работа с даркнетом.

Разграничение со смежными скиллами