killvxk 执行开源情报收集
概述
开源情报（OSINT，Open Source Intelligence）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学潜在目标、技术栈和凭据泄露情况。有效的 OSINT 直接影响初始访问策略并降低操作风险。
目标
- 枚举目标组织的外部攻击面（域名、IP、云资产）
- 识别员工及其角色以用于社会工程学定向
- 发现泄露的凭据、API 密钥和敏感文档
- 映射组织的技术栈和供应商
- 识别物理位置、办公室布局和门禁详情
- 为鱼叉式钓鱼活动开发构建目标画像
核心概念
OSINT 类别
| 类别 | 来源 | 价值 |
|---|---|---|
| 域名情报 | DNS 记录、WHOIS、CT 日志、子域名枚举 | 网络攻击面 |
| 人员情报 | LinkedIn、社交媒体、会议演讲、出版物 | 社会工程学目标 |
| 凭据情报 | 泄露数据库、粘贴网站、GitHub 泄露 | 有效凭据发现 |
| 技术情报 | 招聘信息、Wappalyzer、Shodan、Censys | 漏洞识别 |
| 物理情报 | Google Maps、社交媒体照片、Glassdoor | 物理访问规划 |
| 文档情报 | SEC 文件、公开文档、元数据提取 | 组织结构 |
MITRE ATT&CK 映射
- T1595.001 - 主动扫描：扫描 IP 段
- T1595.002 - 主动扫描：漏洞扫描
- T1592 - 收集受害者主机信息
- T1589 - 收集受害者身份信息
- T1590 - 收集受害者网络信息
- T1591 - 收集受害者组织信息
- T1593 - 搜索开放网站/域名
- T1594 - 搜索受害者自有网站
- T1596 - 搜索开放技术数据库
实施步骤
阶段一：域名和网络侦察
- 对目标域名执行 WHOIS 查询
- 使用证书透明度日志、DNS 暴力破解和网页抓取枚举子域名
- 识别 IP 范围和 ASN 归属
- 使用 Shodan/Censys 扫描暴露的服务
- 检查云存储桶（S3、Azure Blob、GCS）
- 映射 CDN 和托管提供商
阶段二：人员和社交情报
- 通过 LinkedIn、公司网站和会议演讲者列表枚举员工
- 识别邮件命名规则
- 发现关键目标的个人社交媒体账户
- 映射组织架构和汇报关系
- 识别最近入职的 IT/安全人员
- 检查会议演讲和技术出版物
阶段三：凭据和数据泄露发现
- 搜索泄露数据库（Have I Been Pwned、DeHashed）
- 检查粘贴网站（Pastebin、GitHub Gists）
- 搜索 GitHub/GitLab 中的泄露密钥和 API 密钥
- 查找暴露的配置文件和备份
- 通过 Google Dorking 检查泄露的内部文档
阶段四：技术栈识别
- 分析招聘信息中提及的技术
- 使用 Wappalyzer/BuiltWith 进行 Web 技术指纹识别
- 检查暴露的管理面板和开发环境
- 识别 VPN 和远程访问技术
- 映射云服务和 SaaS 应用程序
工具与资源
| 工具 | 用途 | 类型 |
|---|---|---|
| Amass | 子域名枚举和网络映射 | 开源 |
| Subfinder | 被动子域名发现 | 开源 |
| theHarvester | 邮件、子域名和姓名收割 | 开源 |
| Maltego | 可视化链接分析和数据关联 | 商业 |
| SpiderFoot | 自动化 OSINT 收集 | 开源 |
| Shodan | 互联网连接设备搜索 | 商业 |
| Censys | 互联网资产发现 | 商业 |
| Recon-ng | Web 侦察框架 | 开源 |
| GitDorker | GitHub 密钥扫描 | 开源 |
| Photon | OSINT 用网络爬虫 | 开源 |
验证标准
- 已完成目标域名和子域名列表
- 已整理包含角色和邮件地址的员工列表
- 已识别技术栈
- 已完成凭据泄露评估
- 已记录攻击面地图
- 已为演练团队编制 OSINT 报告