offensive-osint

オフェンシブ OSINT — 外部レッドチーム用ツール集

v3.0 — 2026-05-02、4,168 行のモノリシックなファイルから、簡潔な SKILL.md（約 400 行）と references/ 内の 15 個のモジュール式リファレンスファイルに再構成しました。詳細な内容は必要に応じて読み込まれます。Claude は現在のタスクに関連するリファレンスファイルのみを読み込みます。

0. 使用する場合／使用しない場合

このスキルを使用する場合：

• 具体的なプローブパス、ワードリスト、正規表現、ペイロード、スコアリングルール、またはツールの URL が必要な場合。
• 偵察を実施しており、手法ではなく、実際の技術リファレンスが必要な場合。
• 偵察を自動化するものを構築しており、初期データとして使う具体的なリストが必要な場合。

このスキルを使用しない場合：

• アクティブなエクスプロイト、エクスプロイト後の活動、または偵察の範囲を超えることをユーザーが求めている場合。
• 防御側／ブルーチーム向けの検知をユーザーが求めている場合。
• 対象への許可が確認されていない場合 — §1 を参照してください。

---

1. 許可と法的な対応方針

オペレーターが所有する資産、または評価を行う書面による許可を得ている資産に対して使用してください。未確認の第三者の対象に対して実行する前に、対象範囲を慎重に確認してください。対応方針の全容については、方法論スキルの §1 を参照してください。

---

2. 確信度

• TENTATIVE — 間接的な証拠に基づく妥当な推定（検索結果のスニペットのみとの一致、単一ソースの資産、推定したメールアドレスのパターン）。
• FIRM — 直接確認済み（サブドメインが名前解決できる、HEAD リクエストでバケットの存在を確認、バナーが返された）。
• CONFIRMED — 独立した裏付けによる検証、または直接の検証済み（ライブ PMAK 検証、複数のソースが一致、一覧表示可能なバケットからオブジェクトを取得）。

---

3. 出力形式の規則

検出事項には、id、module、asset_key、category、severity（info/low/medium/high/critical）、confidence、title、description、evidence（url + UTC タイムスタンプ + sha256 + 生データ ≤ 2 KiB）、references、remediation を含めてください。UTC タイムスタンプをすべての箇所で使用してください。

---

4. ソースの管理と引用

すべてのアーティファクトに、URL + UTC タイムスタンプ + SHA-256 + ツールのバージョン + run_id を記録してください。PNG スクリーンショット、JSONL 実行ログ、生の HTTP キャプチャは本文を 2 KiB 以下に制限してください。

---

5. 禁止事項

• クラウド LLM に認証情報／PII／セッショントークンを貼り付けないでください。
• DEEP/--aggressive の範囲外で、破壊的なプローブを実行しないでください。
• 検証済みの認証情報は、読み取り専用の稼働確認以外に使用しないでください。
• 単一のソースだけで属性を特定しないでください。
• ベンダーのラベルが正しい情報だと決めつけないでください。

---

6. 一般的な OSINT（厳選ツールの参考情報）

• OSINT ブックマーク集 — 包括的なブックマーク集です。
• OSINT フレームワーク — ツール／リソースのディレクトリです。
• IntelTechniques ツール — 調査ツール一式です。
• Bellingcat Toolkit — 調査報道向けです。
• CyberSudo OSINT Toolkit — OSINT ウェブサイトの一覧です。
• Google Dorks — Google で効率的に検索できます。
• Distributed Denial of Secrets — 漏えいデータセットです。
• 国別リソース — 国別の OSINT リソースです。

---

このスキルの使い方

このスキルは簡潔な運用インデックスです。具体的なデータ（ワードリスト、正規表現、ドーク、エンドポイントカタログ、重大度の例）の大半は、トピック別に整理された references/ サブフォルダーにあります。

このスキルが呼び出されたときのワークフロー：

1. 原則（§0-5）、スコアリング基準（§20-21）、攻撃パステンプレート（§39）、および以下のリファレンスインデックスを確認するため、まずこの SKILL.md を読みます。
2. タスク固有のデータについては、必要なリファレンスファイルだけを読みます。15 個すべてを読み込まないでください。各リファレンスは単独で利用できます。
3. ~/security-research/bug-bounty-resources/ にあるローカルツールキットには bug-bounty スキルを、計画フレームワークには osint-methodology を使用します。

読み込みの目安：

• 単一クラスの質問（例：「AWS キーの正規表現は？」）→ secret-patterns.md のみを読み込みます。
• 複数クラスにまたがる調査（例：「target.com の外部偵察を行う」）→ まず probes-and-wordlists.md を読み込み、調査が進むにつれて他のファイルを追加します。
• 重大度／トリアージに関する質問 → severity-matrix.md を読み込みます。

---

リファレンスインデックス

ファイル	カバー範囲	トリガーフレーズ
probes-and-wordlists.md	API／Swagger／GraphQL のパス、クラウドバケットのツール群、JS の推測パス、ベンダーおよびクラウドネイティブのフィンガープリント、K8s／CI-CD の露出、ドキュメント／Wiki の漏えい、WHOIS／RDAP、DNS カタログ、Wayback CDX、コピー＆ペーストで使える curl プローブ、メールセキュリティ分析、オリジン／CDN バイパス	Swagger の検出、GraphQL イントロスペクション、サブドメイン乗っ取り、クラウドバケット列挙、S3／GCS／Azure 列挙、Kubernetes の露出、CI CD の露出、ベンダーフィンガープリント、WHOIS RDAP、Wayback CDX、コピー＆ペースト用プローブ、curl ワンライナー
identity-fabric.md	Entra／Okta／ADFS／Google／SAML の具体的なエンドポイント、M365 の詳細（Teams フェデレーション、SharePoint、OneDrive）、GraphQL フィールド候補の列挙、ユーザー列挙パターン	アイデンティティファブリック、SSO の検出、IdP のフィンガープリンティング、Okta 列挙、Entra 列挙、Azure AD 列挙、ADFS 列挙、SAML メタデータ、Microsoft 365 の詳細、Teams フェデレーション、SharePoint 列挙、OneDrive 列挙、GraphQL フィールド候補
secret-patterns.md	重大度と誤検知に関する注記付きの48種類のシークレット正規表現カタログ（AWS、GCP、GitHub PAT、Stripe、Slack、JWT、秘密鍵、Anthropic／OpenAI／HuggingFace、Cloudflare、DigitalOcean、npm、PyPI、Docker Hub、Atlassian、DataDog、Sentry、ngrok）	シークレットスキャン、シークレット漏えい、認証情報の漏えい、JWT トリアージ、AWS キーのトリアージ、Anthropic API キー、OpenAI API キー
secret-validators.md	9種類の読み取り専用シークレット検証ツールと、AWS／GitHub／Slack／Postman／JWT／Anthropic／OpenAI／npm／Atlassian／DataDog の発見後の列挙ワークフロー	シークレットの検証、発見後のワークフロー、AWS キーのトリアージ、JWT トリアージ
dork-corpus.md	9カテゴリにわたる80種類以上の Google／Bing／DDG 検索演算子テンプレートと、対象に合わせた13種類の GitHub コード検索用検索演算子	Google 検索演算子、Bing 検索演算子、GitHub 検索演算子、検索演算子コーパス
recon-stack.md	サブドメインの情報源スタック（パッシブおよびアクティブ）、インフラと攻撃対象領域の OSINT（Shodan／Censys／crt.sh／JARM／favicon mmh3）、TLS の詳細監査、逆引き DNS、IPv6 列挙	サブドメイン列挙、証明書の透明性、crt.sh、Shodan による偵察、Censys による偵察、JARM、favicon mmh3、TLS の詳細監査、JA3 JA4、逆引き DNS スイープ、IPv6 列挙
breach-and-credentials.md	漏えいデータの情報源（HudsonRock、HIBP、DeHashed、IntelX、インフォスティーラーログ）、メールアドレスパターンの推定、メールアドレス収集の情報源スタック	漏えい情報の検索、Have I Been Pwned、HudsonRock cavalier、インフォスティーラー、DeHashed、IntelX、メールアドレス収集
people-osint.md	検索エンジン、ユーザー名とメールアドレスの調査、人名検索、電話番号 OSINT、ソーシャルメディア、公開記録と企業情報	ユーザー名調査、人名検索、電話番号 OSINT、ソーシャルメディア OSINT、公開記録
saas-public-surfaces.md	Postman の公開ワークスペース検索（検証済みエンドポイント）、Stack Exchange OSINT スイープ、公開 SaaS の検索演算子スタック（Notion、Confluence、Trello）	Postman ワークスペース、Stack Exchange OSINT、Notion の公開情報、Confluence の匿名アクセス、Trello ボード
specialized-osint.md	脅威インテリジェンスと IOC、暗号資産 OSINT、メディアインテリジェンス、地理空間インテリジェンス、地域別検索エンジン、Telegram とメッセージングのインテリジェンス	脅威インテリジェンス、IOC、暗号資産 OSINT、メディアインテリジェンス、地理空間 OSINT、地域別検索、Telegram インテリジェンス
recon-techniques.md	LinkedIn の従業員列挙、求人情報に基づく技術スタック分析、Slack／Discord／Telegram ワークスペースの検出、パッケージレジストリの漏えい調査（npm／PyPI／Docker Hub／Quay／GHCR）、物理的な偵察に使う衛星画像	LinkedIn 列挙、求人情報の技術スタック、Slack ワークスペースの検出、Discord サーバーの検出、npm トークンの漏えい、PyPI トークンの漏えい、Docker Hub の漏えい、物理的な偵察に使う衛星画像
severity-matrix.md	観測された状況から検出結果の重大度（CRITICAL／HIGH／MEDIUM／LOW／INFO）を判定する80種類以上の具体例	重大度の判定、検出結果の重大度、重大度マトリックス
sector-notes.md	医療（DICOM）、金融（SWIFT）、ICS／SCADA（Modbus／BACnet）、IoT、政府機関の偵察に関するメモ	分野別の偵察、医療 DICOM、金融 SWIFT、ICS SCADA、Modbus、BACnet
tooling-install.md	Subfinder、Amass、httpx、nuclei、gau、katana、gowitness、dnsx、mapcidr、naabu、sslyze、testssl.sh などのクイックインストール用ワンライナー	ツールのインストール、Subfinder のインストール、nuclei のインストール、httpx のインストール
helpers-and-automation.md	AI 支援 OSINT、アーカイブと証拠保全、自動化とワークフローのパターン、モジュール間のサイドカー連携、実行可能な secret_scan.py／h1_reference.py／dashboard.py のヘルパーメモ	AI 支援 OSINT、証拠保全、自動化、サイドカー、Hacktivity の参照、偵察コンソール

---

20. エンドポイント関心度スコア — 0～100 の評価基準

分類されたすべてのエンドポイント（方法論スキルの§22）に、次の評価基準を適用します。

シグナル	点数	条件
認証なしの書き込み	+40	POST/PUT/DELETE/PATCH エンドポイントが、匿名で 200/201/202/204 を返します。
GraphQL のイントロスペクションが公開	+35	__schema クエリが匿名で型の一覧全体を返します。
HTTP メソッドの改ざんによるバイパス	+30	OPTIONS により、ドキュメントに記載されていないメソッドが明らかになり、そのメソッドにアクセスできます。
認証情報を伴う CORS の反射	+25	Access-Control-Allow-Origin がリクエストの Origin を反射し、かつ Access-Control-Allow-Credentials: true です。
パスに機密性の高いキーワードが含まれる	+20	パスが次のいずれかに一致します：admin、internal、debug、user、password、token、key、export、upload、backup、config、secret、private、delete、purge、wipe。
エラーにスキーマ情報が漏えい	+20	レスポンス本文に、スタックトレース、ORM のエラークラス、またはフレームワークのシグネチャ（例：ActiveRecord::RecordNotFound、org.hibernate.exception.*、django.db.utils.IntegrityError）が含まれます。
URL に API キーが含まれる	+15	パスまたはクエリ文字列に api_key=、apikey=、token=、access_token= が含まれます。
ワイルドカード CORS	+10	Access-Control-Allow-Origin: *。
レート制限ヘッダーがない	+10	RateLimit-* / X-RateLimit-* ヘッダーがなく、連続したリクエストの後も Retry-After がありません。

しきい値：

スコア	重大度
≥ 90	CRITICAL
70–89	HIGH
50–69	MEDIUM
25–49	LOW
< 25	INFO

スコアが 70 以上の場合は、エビデンスに attack_path_hint を添付します（§29 を参照）。

---

21. モバイルアプリの所有者確信度 — 0～100 の評価基準

APK の詳細な静的解析を実行する前に、発見されたアプリが実際に対象のものかどうかを評価します。しきい値：70 以上 = 承認。

シグナル	点数
パッケージの逆引き DNS が対象ドメインと一致する（例：com.acme.android ⟂ acme.com）	+40
開発者のメールアドレスが <anything>@<target-domain> である	+25
開発者のウェブサイト URL が対象ドメイン（または確認済みの関連ブランドのドメイン）である	+20
アプリ名に、オペレーターが指定したブランド一覧のブランドキーワードが含まれる	+10
アプリのレビュー数が最低しきい値（デフォルトでは 20 件）以上である	+5

しきい値を下回るアプリには mobile_review_pending のタグを付けて表示しますが、解析は行いません。オペレーターは --mobile-ownership-threshold 50 を指定して再評価できます。これにより、よりノイズの多い収集にも対応できます。

---

---

39. 攻撃パスのヒントのパターン

HIGH/CRITICAL の API エンドポイントの検出結果（スコア 70 以上）を出力する場合、オペレーターが悪用を開始する箇所を把握できるよう、エビデンスに一文の attack_path_hint を含めます。テンプレート：

トリガー	攻撃経路のヒント
認証不要の POST / PUT / DELETE	"認証不要の {method} {path} — IDOR と権限昇格を試してください。数値 ID が連番か、推測可能かを確認してください。"
GraphQL のイントロスペクションが公開	"{path} で GraphQL のイントロスペクションが公開されています — ミューテーションを列挙し、createUser、setRole、transferFunds のような名前を探してください。認証不備またはビジネスロジックの欠陥へとつなげてください。"
認証情報付きの CORS リフレクション	"{path} で認証情報付きの CORS リフレクションが発生しています — 攻撃者が管理するオリジンに CSRF ページをホストしてください。被害者のブラウザーから {sensitive-data-hint} が漏えいします。"
機密データを返すワイルドカード CORS	"認証情報なしでユーザーに紐づくデータを返す {path} で、ワイルドカード CORS が設定されています — 被害者が訪問する任意のページから、クロスオリジン fetch で情報を抜き出してください。"
HTTP メソッドの改ざん	"HTTP メソッドの改ざん：ドキュメントに記載された {visible-method} のみを受け付けるエンドポイントで {hidden-method} が許可されています → メソッドチェックの欠落による認可不備の可能性があります。有効な認証情報を使って {hidden-method} {path} を試してください。"
URL 内の API キー	"URL 内の API キー：?{param}=... — トークンがアクセスログ、ブラウザーの履歴、Referer ヘッダー、サードパーティ CDN に漏えいします。Wayback / Google でキャッシュされたコピーを確認してください。"
エラー内のスキーマ漏えい	"エラーレスポンスでスキーマが漏えいしています — フレームワークのシグネチャ {framework} が露出しています。既知の {framework} の脆弱性を調べ、対象を絞ったペイロードを作成してください。"
機密キーワード	"パスに '{keyword}' が含まれています — 直接オブジェクト参照、マスアサインメント、または隠れた管理機能がないか確認してください。"
Firebase RTDB が公開	"Firebase RTDB が https://{project}.firebaseio.com/.json で公開されています — すべて読み取り、その後 /<random-key>.json に PUT して書き込みを試し、ACL の範囲を確認してください。"
一覧表示可能なクラウドバケット	"一覧表示可能な {provider} バケット {bucket} — オブジェクトを再帰的に列挙し、コンテンツタイプを分析してください。バックアップ、ログ、顧客データ、JSON 設定内の AWS キーを探してください。"
.git が公開	"{host} で .git/config が公開されています — git-dumper または githacker でリポジトリを再構築してください。ソースの全履歴を取得できます。"
.env が公開	"{host} で .env が公開されています — _KEY、_SECRET、_TOKEN、_PASSWORD を grep してください。§23 のバリデーターですべての認証情報を読み取り専用で検証してください。"
/actuator/env	"Spring Boot の /actuator/env が公開されています — 環境変数をダンプし、spring.datasource.password、JWT シークレット、クラウド認証情報を探してください。"
/actuator/heapdump	"Spring Boot の /actuator/heapdump が公開されています — HPROF をダウンロードし、jhat または VisualVM を実行して、ヒープ内の文字列から平文のシークレットを検索してください。"
Elasticsearch が公開	"{host}:9200 で Elasticsearch が公開されています — /_cat/indices?v でインデックス一覧を確認し、価値の高い各インデックスからサンプル文書を取得してください。/test-idx/_doc への書き込みを試して ACL を確認してください。"
Redis が公開	"{host}:6379 で Redis が公開されています — INFO、KEYS *、サンプルデータの読み取りを行ってください。CONFIG SET に続いて BGSAVE を実行し、authorized_keys を書き込めるか確認して、書き込み権限を調べてください。"
MongoDB が公開	"{host}:27017 で MongoDB が公開されています — show dbs、show collections、サンプルの find クエリを実行してください。ユーザーコレクションにパスワードハッシュがないか確認してください。"
サブドメイン乗っ取り	"{host} の CNAME が未取得の {provider} リソースを指しています → {provider} で {takeover-target} を登録すると、{host} からコンテンツを配信できます。信頼されたドメインでのフィッシングやコンテンツインジェクションにつなげてください。"
kubelet が公開	"{host}:10250 で kubelet が公開されています — GET /pods で一覧を取得し、K8s API 認証なしで POST /run/<ns>/<pod>/<container> を使ってコンテナ内でコマンドを実行してください。"
etcd が公開	"{host}:2379 で etcd が公開されています — etcdctl get / --prefix --keys-only でクラスターの全状態を取得できます。シークレットは /registry/secrets/ に保存されています。"
K8s API の匿名アクセス	"{host}:6443 の Kubernetes API で anonymous-auth が有効です — kubectl --server=https://{host}:6443 --insecure-skip-tls-verify get pods --all-namespaces を実行してください。"
未パッチの Citrix	"{host} の Citrix NetScaler バージョン {ver} は CVE-{cve}（KEV 掲載）の脆弱性の影響を受けます。ベンダーのアドバイザリーを確認してください。悪用はせず、クライアントに直ちにパッチを適用するよう警告してください。"
F5 BIG-IP TMUI が公開	"{host} から F5 BIG-IP TMUI にアクセスできます。CVE-2022-1388 / CVE-2023-46747 の KEV が該当します。ベンダーがリリースしたホットフィックスを直ちに適用するよう推奨してください。"
VMware vCenter にアクセス可能	"{host} の vCenter に VPN なしでアクセスできます。パッチ未適用の場合、CVE-2021-21972 による RCE の可能性があります。バージョンバナーを確認してください。"
クラウド関数の URL で認証不要	"{url} の AWS Lambda Function URL に匿名でアクセスできます — IAM 認証の設定を確認してください。設計上認証不要の場合は、入力検証を厳しく監査してください。"
npm のタイポスクワッティング候補	"パッケージ名 {candidate} は未登録で、対象が公開している {official} に類似しています — タイポスクワッティングによる乗っ取りのリスクがあります。クライアントに予防的な登録を推奨してください。"
DMARC が未設定または緩い設定	"{domain} の DMARC が p=none です — {anything}@{domain} を詐称したメールが受信者に届く可能性があります。レポートを確認した後、p=quarantine または p=reject に強化することを推奨してください。"
有効な AI API キー（Anthropic/OpenAI）	"モデルにアクセスできる sk-{provider}-... キーを検証しました — クォータが不正利用される可能性があります。直ちにキーをローテーションし、プロバイダーのコンソールで使用状況ログを監査してください。"
公開 Slack 招待リンク	"検索エンジンから Slack ワークスペースの招待リンクを発見できます — 承認なしで誰でもワークスペースに参加でき、内部チャンネルに容易にアクセスできます。"
Docker レジストリが公開	"{host} の公開 Docker レジストリ — GET /v2/_catalog でイメージを一覧表示できます。イメージをプルしてレイヤーをスキャンし、埋め込まれたシークレットを探してください。"
Telegram ボットトークンが有効	"Telegram ボットトークンを検証しました — getUpdates でボットの受信者（管理者チャット）が判明します。getMe でボットがチャンネルに参加していることが確認された場合、すべてのメッセージを読み取れる可能性があります。"
sourcesContent[] を含むソースマップ	"{host} のソースマップには元のソースコードが埋め込まれています — フロントエンドのコード全体を再構築できます。インラインのシークレットや内部ホスト名を grep してください。"

---

---

49. スキルのセルフテスト

新しい Claude セッションに以下のプロンプトを入力し、スキルが正しく読み込まれることを確認します。

1. 「Web アプリで Swagger または OpenAPI の仕様書を見つけるには、どのパスを調べればよいですか？」 → §16.1。
2. 「POST する GraphQL のイントロスペクションクエリを教えてください。」 → §16.2。
3. 「Shodan のスキャン結果で、フラグを立てるべき高リスクポートは何ですか？」 → §16.3。
4. 「シークレットの正規表現カタログを見せてください。」 → §17（48 パターン）+ §48（実行可能な Python）。
5. 「攻撃上の関心度で API エンドポイントをスコアリングする方法を教えてください。」 → §20。
6. 「漏えいした Postman API キーを検証する URL は？」 → §23.1。
7. 「対象の pastebin／gist／ghostbin への漏えいを探すための検索演算子を教えてください。」 → §18.3。
8. 「Microsoft Entra テナントをフィンガープリントするエンドポイントは？」 → §22.1 + M365 の詳細については §22.8。
9. 「発見した Android アプリが対象のものかどうかをスコアリングする方法を教えてください。」 → §21。
10. 「/api/users で未認証の POST を見つけた場合、どのような攻撃経路のヒントがありますか？」 → §39（1 行目）。
11. 「/actuator/env をテストする curl のワンライナーを教えてください。」 → §16.13。
12. 「イントロスペクションが無効な場合の GraphQL フィールド候補列挙の手法を見せてください。」 → §22.9。
13. 「JS でハードコードされた JWT を見つけました。完全なトリアージ手順を教えてください。」 → §23.12（JWT ワークフロー）。
14. 「<Client Brand Ltd> と、サブドメイン api／billing／hr を使ってクラウドバケット候補を生成してください。」 → §16.8。
15. 「Microsoft 365 の Teams フェデレーション状態と SharePoint サブドメインを調べる方法を教えてください。」 → §22.8。
16. 「Citrix Netscaler／F5 BIG-IP／Pulse Secure の調査パスを教えてください。」 → §16.16。
17. 「target.example の Cloudflare の背後にあるオリジンサーバーを見つけてください。」 → §16.15 + 関連する方法論 §27。
18. 「Kubernetes／etcd／kubelet の露出を調べるポートとパスは？」 → §16.18。
19. 「acme.com の SPF／DMARC を監査し、なりすましの実現可能性を評価してください。」 → §16.14。
20. 「サブドメインのブルートフォースとコンテンツ探索に使えるワードリストの入手先を列挙してください。」 → §27.1。
21. 「対象が所有する /22 に対して逆引き DNS のスイープを実行してください。」 → §28.5。
22. 「クォータを消費せずに OpenAI API キーを検証してください。」 → §23.6 + §23.12。
23. 「対象の npm／PyPI／Docker Hub 全体で漏えいしたシークレットを探してください。」 → §44。
24. 「フィッシング用リストを作成するため、LinkedIn で対象の従業員を列挙する方法を教えてください。」 → §41。
25. 「Slack 招待リンクを列挙する手法は？」 → §43.1。
26. 「CVE-2024-3400 の EPSS スコアと KEV ステータスは？」 → §29.2。
27. 「最新の AI API キー（Anthropic／OpenAI／HuggingFace／Cloudflare）で、カタログのパターンに一致するものは？」 → §17 の 30～48 行。
28. 「本番アプリで android:debuggable=true の場合の重大度マトリクスを教えてください。」 → §40。
29. 「標準的な偵察ツールキット（subfinder／httpx／nuclei など）のインストールコマンドは？」 → §46。
30. 「医療分野のエンゲージメントでは、追加でどのポート／プロトコルが重要ですか？」 → §47.1。
31. 「直接 API（UI なし）で target.com の HudsonRock の侵害コーパスを取得してください。」 → §15.0.1。
32. 「Windows マシン（PowerShell）から §16.14 のメールセキュリティ監査全体を実行してください。」 → §16.14 の PowerShell 並列処理。
33. 「crt.sh が 502 エラーになりました。フォールバックの順序は？」 → §27.0.1。
34. 「bgpview のレート制限を消費せずに、200 個の IP を ASN に一括で照会してください。」 → §28.1（Cymru 一括照会）。
35. 「target.example について、vpn／api／staging／portal／intranet を対象に共通プレフィックスのサブドメインスイープを実行してください。」 → §16.24。
36. 「旧式のメール（mail.<domain>）は現在 NXDOMAIN ですが、侵害コーパスにはそれに関連付けられた従業員の URL があります。これは何を示していますか？」 → §15.2 旧式メールの廃止パターン。
37. 「MX が Mimecast によって中継されているため（MX からは実際のメールプラットフォームが判明しない）、M365 テナントであることを確認してください。」 → §22.1 autodiscover の IP 相関 + §16.22 確認手段としての autodiscover。
38. 「DMARC の RUA が kdmarc.com を指しています。これは何を示していますか？」 → §16.14 DMARC レポートベンダーの表。
39. 「SharePoint の HEAD プローブが HTTP 200 を返しました。これは匿名アクセスが許可されているという意味ですか？」 → §22.8（いいえ。テナントの存在を示すだけで、匿名アクセスが許可されていることは意味しません。両者を区別してください）。
40. 「Wayback の *.js クエリで、会社紹介サイトの結果が空でした。次はどう調べますか？」 → §16.23 旧式アプリへの切り替え（.asp／.php／.jsp／.cfm／.aspx）。

---

50. 変更履歴

• v2.1.1 (2026-04-27) — 実際のエンゲージメントでのスモーク実行を受けて、実地テストで見つかった不足を修正しました。追加：§15.0.1 HudsonRock Cavalier の直接 API 利用レシピ（curl と PowerShell、完全な JSON 構造、無料プランでの秘匿に関する注意、レート制限のガイダンス）。§15.2 を拡張し、レガシーメール廃止時のエスカレーションパターンを追加（レガシーメールの NXDOMAIN ＋侵害コーパスへの掲載＋Autodiscover で確認されたクラウド移行 → CRITICAL SSO_EXPOSURE）。§16.14 を拡張し、DMARC レポートベンダーの表（Kratikal kdmarc／dmarcian／Valimail／Agari／EasyDMARC／DMARC Analyzer／Postmark）と、メールセキュリティ監査全体の Windows／PowerShell 並行版、さらに PS 5.1 の Resolve-DnsName -Type CAA はエラーになるという注意（PS 7 以降、または nslookup -type=CAA を使用）を追加。§16.22 を拡張し、TXT 検証トークンのカタログに新たなトークンを 17 個追加（zscaler-verification、cloudflare-verify、autosect、cisco-site-verification、mscid、_amazonses、salesforce-domain-verification、workday／shopify／klaviyo／mailchimp／hubspot／zendesk／freshworks／intercom／loom／miro／gitlab）。また、MX が Mimecast／Proofpoint／Barracuda でラップされている場合に M365 を検出する、新しい「確認手段としての Autodiscover」パターンも追加。§22.1 に、Microsoft Exchange Online の IP 範囲を使ったパッシブな Autodiscover IP 相関パターンを追加。§22.8 に、SharePoint の HEAD HTTP 200 はテナントの存在を示すものであり、匿名アクセスが許可されていることを意味しないという明確化を追加（オペレーターがよく読み違える点です）。新たに §16.23 レガシーアプリへのピボットブロックを追加（パンフレット型サイトで Wayback の *.js が空の結果を返す場合、.asp／.php／.jsp／.cfm／.aspx／.json／.xml／.yml／.ini／.conf に切り替える方法と、広範囲を一括検索する完全なワンライナー）。新たに §16.24 Common-Prefix Subdomain Sweep を追加し、アクティブなプレフィックスプローブ手法を正式化（100 個以上の順序付きプレフィックス一覧、PowerShell／bash／puredns のレシピ、実際のエンゲージメントでの検証メモを含む）。パッシブな列挙では価値の高いサブドメインの 20～40％を見逃すため、必ずアクティブなプレフィックスプローブと組み合わせます。§27.0.1 に crt.sh の代替手段の優先順位（Censys、CertSpotter、Calidog、Subfinder、OTX、ThreatMiner、URLScan、Anubis-DB）と、crt.sh を 3 回再試行した後に Subfinder に切り替える PowerShell ラッパーを追加。§28.1 に一括 IP→ASN 照会のレシピ（Cymru の一括 WHOIS、RIPEstat、bgp.tools、IPinfo Lite）を追加し、bgpview.io API はレート制限が厳しく、一括処理には適さないという注意を追加。§40 の重大度マトリックスに 8 行を追加：ベンダー調達ポータルが公開され、侵害コーパスにも掲載（HIGH）、PII 収集ポータルが平文 HTTP を使用（HIGH）、廃止済みのレガシーメール＋侵害掲載＋クラウド移行（CRITICAL）、VPN なしで公開されたイントラネット（MEDIUM）、ステージング／プレプロダクションが公開 DNS で解決（MEDIUM）、vpn. が解決されるもののベンダー不明（INFO。KEV との一致で HIGH～CRITICAL にエスカレーション）、DMARC RUA がサードパーティベンダーを指す（INFO）。§49 のセルフテストを 30 件から 40 件に拡張し、すべての新規コンテンツを対象にしました。
• v2.1 (2026-04-27) — 32 件のスモークテストによるギャップ分析に基づき、大幅に拡張しました。追加：すべてのチェック向けのコピー＆ペースト可能な curl プローブ（§16.13）、SPF／DMARC／DKIM／BIMI／MTA-STS／DNSSEC の解析と SaaS テナント推定を含むメールセキュリティ分析（§16.14）、DNS 履歴＋証明書 SAN＋ファビコンハッシュ＋JARM＋Host ヘッダープローブによるオリジンの発見／CDN バイパス（§16.15）、Citrix／F5／Pulse／Fortinet／PaloAlto／Cisco／VMware／Exchange のベンダー製品フィンガープリントと KEV CVE との関連付け（§16.16）、クラウドネイティブサービス URL のフィンガープリント（Lambda Function URLs、Cloud Run、Cloud Functions、Azure Functions、Vercel、Netlify、Cloudflare Workers など）（§16.17）、コンテナと Kubernetes の露出（kubelet、etcd、K8s API、ダッシュボード、Helm Tiller、コンテナレジストリ）（§16.18）、CI/CD プラットフォームの露出（Jenkins の詳細、GitLab、GitHub Actions、CircleCI、TeamCity、Argo CD、Spinnaker）（§16.19）、ドキュメント／Wiki の漏えいパス（Notion、Confluence、Trello、Miro、Lucidchart、Figma、ReadTheDocs、GitBook、Slab、Coda など）（§16.20）、WHOIS／RDAP／過去の WHOIS のレシピとリバース WHOIS のピボット（§16.21）、TXT 検証トークン表から SaaS テナントを推定する DNS レコードカタログ（§16.22）、すべてのフィルターパラメーターを含む Wayback CDX の詳細な使い方（§16.23）。§17 のシークレットカタログを 29 パターンから 48 パターンに拡張し、最新の AI API キー（Anthropic、OpenAI のレガシーキーとプロジェクトキー、HuggingFace）、インフラ（Cloudflare、DigitalOcean）、パッケージレジストリ（npm、PyPI、Docker Hub）、SaaS（Atlassian、Linear）、オブザーバビリティ（New Relic、DataDog、Sentry DSN）、ボットトークン（Discord、Telegram）、ngrok を追加。§18 の dork コーパスを 50 件以上から 80 件以上に拡張し、内部ツールの露出（Splunk／Grafana／Kibana／Argo CD／Sonarqube／Confluence／Jira／GitLab／Gitea）、バックアップファイルの拡張子、業界別 dork（医療／金融／政府）を追加。§22.8 に Microsoft 365 の詳細な列挙（Teams のフェデレーション、SharePoint のサブドメインプローブ、OneDrive 個人サイトのプローブ、OAuth client_id の検出、デバイスコードフィッシング対象のチェック、Power Platform）を追加。§22.9 に GraphQL のフィールド候補列挙のレシピとエイリアスの一括処理、クエリー深度のバイパス、サブスクリプションの列挙、一括クエリーのバイパスを追加。Anthropic、OpenAI、npm、Atlassian、DataDog 向けの読み取り専用バリデーター 5 件を §23.5～23.9 に追加。§23.12 に発見後の列挙ワークフローを追加（AWS IAM の列挙、GitHub PAT のスコープ／リポジトリ列挙、Slack ワークスペースの列挙、アルゴリズム混同＋ブルートフォース＋none バイパスを含む JWT の完全なトリアージ、Postman PMAK のワークスペース列挙、Anthropic と OpenAI の使用状況の列挙、汎用的なキーの出所の列挙）。§24 の Postman 検索エンドポイントを検証済みの構造と DevTools の代替レシピで固定。Assetnote、SecLists、jhaddix、OneListForAll、raft-large-words、fuzzdb などのワードリストの入手先とサイズのガイダンスを §27.1 に追加。sslyze＋testssl.sh＋nmap＋JA3／JA4＋暗号方式／プロトコル／証明書のチェックを含む TLS の詳細監査を §28.4 に追加。逆引き DNS スイープ＋IPv6 列挙＋BGP 経路の観測を §28.5 に追加。NVD／EPSS／CISA KEV／ExploitDB／Metasploit／InTheWild／OpenCVE／Trickest CVE+POC mapping／OSV.dev／VulnCheck KEV を含む、脆弱性の優先順位付けデータソースと一括優先順位付けワークフローを §29.2 に追加。オープンな kubelet／etcd、匿名アクセス可能な K8s API、認証なしでアクセス可能な Citrix／F5／vCenter／Cloud Function、npm のタイポスクワッティング、DMARC の未設定、有効な AI キー、Slack 招待、sourcesContent を含むソースマップなど、攻撃パスのヒントに 15 個のテンプレートを追加し、§39 を拡張。Kubernetes／コンテナ、KEV CVE があるベンダー製品、M365／クラウドネイティブ、CI/CD の設定ミス、ドキュメントの漏えい、メールセキュリティの不備、AI／パッケージレジストリの認証情報、TLS の問題を網羅する実例を 30 件追加し、§40 の重大度マトリックスを拡張。LinkedIn での従業員列挙の手法（検索手法＋役割の推定＋メールパターンの導出＋偽装アカウントに関する考慮事項）を §41 に追加。求人情報の技術スタック分析（情報源＋抽出＋ツール）を §42 に追加。Slack／Discord／Telegram／Mattermost のワークスペース発見を §43 に追加。npm／PyPI／RubyGems／Cargo／Packagist／NuGet／Maven Central を対象としたパッケージレジストリの漏えい調査（ワークフロー＋タイポスクワッティングの監視）を §44 に追加。物理調査のための衛星画像（情報源＋抽出＋LinkedIn／Glassdoor／Instagram／会議情報＋車両／車両群の情報）を §45 に追加。サブドメイン、HTTP プロービング、脆弱性スキャン、コンテンツ探索、JS 抽出、Wayback、クラウド、ID、モバイル、TLS、ユーティリティ、フレームワーク向けのツールの簡易インストール手順を §46 に追加。業界別の調査メモ（医療：DICOM／HL7／FHIR／EHR、金融：SWIFT／FIX／Bloomberg／銀行ミドルウェア、ICS-SCADA：Modbus／BACnet／S7／DNP3、IoT：MQTT／CoAP／UPnP、政府：FedRAMP／FISMA、海事／航空／自動車）を §47 に追加。Runnable Helper を §48、Self-Test を §49（v2.1 向けに更新）、Changelog を §50 に変更。
• v2.0 (2026-04-27) — 外部レッドチーム向けの大幅な書き換えを実施しました。追加：事前構築済みワードリスト（§16）、29 パターンのシークレットカタログ（§17）、50 件以上の dork コーパス（§18）、GitHub コード検索 dork（§19）、エンドポイント関心度スコア（§20）、モバイル所有権の信頼度（§21）、ID ファブリックの具体的なエンドポイント（§22）、読み取り専用のシークレットバリデーター（§23）、Postman ワークスペース検索（§24）、Stack Exchange スイープ（§25）、公開 SaaS dork（§26）、サブドメイン情報源のスタック（§27）、ドメインレベルの侵害重大度（§15.1）、L2 エクスプローラーの表（§30.2）、USCC＋ICP のワークフロー（§14.2）、モジュール横断のサイドカー連携（§36）、攻撃パスのヒントのパターン（§39）、重大度判断マトリックス（§40）、実行可能なシークレットスキャンヘルパー（§41）。信頼度レベル（§2）、出力形式（§3）、禁止事項（§5）を強化。元のツール一覧表は維持し、軽く再構成しました。

---

関連スキルとチェーン

• web2-recon — ライブホスト群に対して武器庫の内容を実行する必要がある場合に使用します。ワークフローの基本要素：このスキルはプローブパスとワードリストを提供し、それらを使用する実際の subfinder → dnsx → httpx → katana パイプラインは web2-recon が実行します。
• osint-methodology — このスキルの具体的なプローブに計画フレームワークが必要な場合に使用します。ワークフローの基本要素：osint-methodology は計画の骨格（5 段階のパイプライン、アセットグラフ、調査結果の評価基準）であり、このスキルは各段階を curl のワンライナーと正規表現で埋める実運用向けの武器庫です。
• hunt-subdomain — このスキルによるサブドメイン列挙で古い CNAME が見つかった場合に使用します。ワークフローの基本要素：§27／references/recon-stack.md で発見されたサブドメインは、テイクオーバー検証のため hunt-subdomain に自動的に引き継がれます。
• hunt-cloud-misconfig — このスキルによるクラウドバケットの列挙で、一覧表示可能なバケット／Firebase／actuator エンドポイントが見つかった場合に使用します。ワークフローの基本要素：§39 の攻撃経路のヒント（一覧表示可能なバケット、/actuator/env、公開された Elasticsearch）は、エクスプロイトのため hunt-cloud-misconfig に引き継がれます。
• m365-entra-attack ／ okta-attack — ID ファブリックのフィンガープリンティングで Entra／Okta が見つかった場合に使用します。ワークフローの基本要素：references/identity-fabric.md が IdP のフィンガープリンティングを行い、一致したプラットフォーム用スキル（hunt-dispatch により読み込まれます）がアクティブな列挙を引き継ぎます。