performing-open-source-intelligence-gathering

name	performing-open-source-intelligence-gathering
description	开源情报（OSINT）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学目标、技术栈和凭据泄露情况。
domain	cybersecurity
subdomain	red-teaming
tags	["red-team","adversary-simulation","mitre-attack","exploitation","post-exploitation","osint","reconnaissance"]
version	1.0
author	mahipal
license	Apache-2.0

执行开源情报收集

概述

开源情报（OSINT，Open Source Intelligence）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学潜在目标、技术栈和凭据泄露情况。有效的 OSINT 直接影响初始访问策略并降低操作风险。

目标

• 枚举目标组织的外部攻击面（域名、IP、云资产）
• 识别员工及其角色以用于社会工程学定向
• 发现泄露的凭据、API 密钥和敏感文档
• 映射组织的技术栈和供应商
• 识别物理位置、办公室布局和门禁详情
• 为鱼叉式钓鱼活动开发构建目标画像

核心概念

OSINT 类别

类别	来源	价值
域名情报	DNS 记录、WHOIS、CT 日志、子域名枚举	网络攻击面
人员情报	LinkedIn、社交媒体、会议演讲、出版物	社会工程学目标
凭据情报	泄露数据库、粘贴网站、GitHub 泄露	有效凭据发现
技术情报	招聘信息、Wappalyzer、Shodan、Censys	漏洞识别
物理情报	Google Maps、社交媒体照片、Glassdoor	物理访问规划
文档情报	SEC 文件、公开文档、元数据提取	组织结构

MITRE ATT&CK 映射

• T1595.001 - 主动扫描：扫描 IP 段
• T1595.002 - 主动扫描：漏洞扫描
• T1592 - 收集受害者主机信息
• T1589 - 收集受害者身份信息
• T1590 - 收集受害者网络信息
• T1591 - 收集受害者组织信息
• T1593 - 搜索开放网站/域名
• T1594 - 搜索受害者自有网站
• T1596 - 搜索开放技术数据库

实施步骤

阶段一：域名和网络侦察

1. 对目标域名执行 WHOIS 查询
2. 使用证书透明度日志、DNS 暴力破解和网页抓取枚举子域名
3. 识别 IP 范围和 ASN 归属
4. 使用 Shodan/Censys 扫描暴露的服务
5. 检查云存储桶（S3、Azure Blob、GCS）
6. 映射 CDN 和托管提供商

阶段二：人员和社交情报

1. 通过 LinkedIn、公司网站和会议演讲者列表枚举员工
2. 识别邮件命名规则
3. 发现关键目标的个人社交媒体账户
4. 映射组织架构和汇报关系
5. 识别最近入职的 IT/安全人员
6. 检查会议演讲和技术出版物

阶段三：凭据和数据泄露发现

1. 搜索泄露数据库（Have I Been Pwned、DeHashed）
2. 检查粘贴网站（Pastebin、GitHub Gists）
3. 搜索 GitHub/GitLab 中的泄露密钥和 API 密钥
4. 查找暴露的配置文件和备份
5. 通过 Google Dorking 检查泄露的内部文档

阶段四：技术栈识别

1. 分析招聘信息中提及的技术
2. 使用 Wappalyzer/BuiltWith 进行 Web 技术指纹识别
3. 检查暴露的管理面板和开发环境
4. 识别 VPN 和远程访问技术
5. 映射云服务和 SaaS 应用程序

工具与资源

工具	用途	类型
Amass	子域名枚举和网络映射	开源
Subfinder	被动子域名发现	开源
theHarvester	邮件、子域名和姓名收割	开源
Maltego	可视化链接分析和数据关联	商业
SpiderFoot	自动化 OSINT 收集	开源
Shodan	互联网连接设备搜索	商业
Censys	互联网资产发现	商业
Recon-ng	Web 侦察框架	开源
GitDorker	GitHub 密钥扫描	开源
Photon	OSINT 用网络爬虫	开源

验证标准

• 已完成目标域名和子域名列表
• 已整理包含角色和邮件地址的员工列表
• 已识别技术栈
• 已完成凭据泄露评估
• 已记录攻击面地图
• 已为演练团队编制 OSINT 报告