performing-open-source-intelligence-gathering

# 执行开源情报收集

## 概述

开源情报（OSINT，Open Source Intelligence）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学潜在目标、技术栈和凭据泄露情况。有效的 OSINT 直接影响初始访问策略并降低操作风险。

## 目标

- 枚举目标组织的外部攻击面（域名、IP、云资产）
- 识别员工及其角色以用于社会工程学定向
- 发现泄露的凭据、API 密钥和敏感文档
- 映射组织的技术栈和供应商
- 识别物理位置、办公室布局和门禁详情
- 为鱼叉式钓鱼活动开发构建目标画像

## 核心概念

### OSINT 类别

| 类别 | 来源 | 价值 |
|----------|---------|-------|
| 域名情报 | DNS 记录、WHOIS、CT 日志、子域名枚举 | 网络攻击面 |
| 人员情报 | LinkedIn、社交媒体、会议演讲、出版物 | 社会工程学目标 |
| 凭据情报 | 泄露数据库、粘贴网站、GitHub 泄露 | 有效凭据发现 |
| 技术情报 | 招聘信息、Wappalyzer、Shodan、Censys | 漏洞识别 |
| 物理情报 | Google Maps、社交媒体照片、Glassdoor | 物理访问规划 |
| 文档情报 | SEC 文件、公开文档、元数据提取 | 组织结构 |

### MITRE ATT&CK 映射

- **T1595.001** - 主动扫描：扫描 IP 段
- **T1595.002** - 主动扫描：漏洞扫描
- **T1592** - 收集受害者主机信息
- **T1589** - 收集受害者身份信息
- **T1590** - 收集受害者网络信息
- **T1591** - 收集受害者组织信息
- **T1593** - 搜索开放网站/域名
- **T1594** - 搜索受害者自有网站
- **T1596** - 搜索开放技术数据库

## 实施步骤

### 阶段一：域名和网络侦察
1. 对目标域名执行 WHOIS 查询
2. 使用证书透明度日志、DNS 暴力破解和网页抓取枚举子域名
3. 识别 IP 范围和 ASN 归属
4. 使用 Shodan/Censys 扫描暴露的服务
5. 检查云存储桶（S3、Azure Blob、GCS）
6. 映射 CDN 和托管提供商

### 阶段二：人员和社交情报
1. 通过 LinkedIn、公司网站和会议演讲者列表枚举员工
2. 识别邮件命名规则
3. 发现关键目标的个人社交媒体账户
4. 映射组织架构和汇报关系
5. 识别最近入职的 IT/安全人员
6. 检查会议演讲和技术出版物

### 阶段三：凭据和数据泄露发现
1. 搜索泄露数据库（Have I Been Pwned、DeHashed）
2. 检查粘贴网站（Pastebin、GitHub Gists）
3. 搜索 GitHub/GitLab 中的泄露密钥和 API 密钥
4. 查找暴露的配置文件和备份
5. 通过 Google Dorking 检查泄露的内部文档

### 阶段四：技术栈识别
1. 分析招聘信息中提及的技术
2. 使用 Wappalyzer/BuiltWith 进行 Web 技术指纹识别
3. 检查暴露的管理面板和开发环境
4. 识别 VPN 和远程访问技术
5. 映射云服务和 SaaS 应用程序

## 工具与资源

| 工具 | 用途 | 类型 |
|------|---------|------|
| Amass | 子域名枚举和网络映射 | 开源 |
| Subfinder | 被动子域名发现 | 开源 |
| theHarvester | 邮件、子域名和姓名收割 | 开源 |
| Maltego | 可视化链接分析和数据关联 | 商业 |
| SpiderFoot | 自动化 OSINT 收集 | 开源 |
| Shodan | 互联网连接设备搜索 | 商业 |
| Censys | 互联网资产发现 | 商业 |
| Recon-ng | Web 侦察框架 | 开源 |
| GitDorker | GitHub 密钥扫描 | 开源 |
| Photon | OSINT 用网络爬虫 | 开源 |

## 验证标准

- [ ] 已完成目标域名和子域名列表
- [ ] 已整理包含角色和邮件地址的员工列表
- [ ] 已识别技术栈
- [ ] 已完成凭据泄露评估
- [ ] 已记录攻击面地图
- [ ] 已为演练团队编制 OSINT 报告