offensive-osint

Offensive OSINT — 外部红队工具库

v3.0 — 2026-05-02 从 4,168 行的单体文件重构为精简的 SKILL.md（约 400 行）以及 references/ 中的 15 个模块化参考文件。详细内容按需加载——Claude 只会读取与当前任务相关的参考文件。

0. 何时使用 / 何时不使用

在以下情况下使用此技能：

• 你需要具体的探测路径、词表、正则表达式、载荷、评分规则或工具 URL。
• 你正在执行侦察，需要实际的技术参考（而非方法论）。
• 你正在构建侦察自动化，需要特定列表作为种子数据。

在以下情况下请勿使用此技能：

• 用户要求主动利用、利用后操作或任何超出侦察范围的内容。
• 用户要求防御或蓝队检测。
• 尚未确认目标已获授权——请参阅 §1。

---

1. 授权与法律立场

适用于操作者拥有或已获得书面授权进行评估的资产。对未经核实的第三方目标采取行动前，先进行宽松的范围检查——完整立场请参阅方法论技能 §1。

---

2. 置信度级别

• TENTATIVE — 基于间接证据判断为合理（仅片段匹配的 dork 结果、单一来源的资产、推断出的电子邮件模式）。
• FIRM — 直接观察到（子域名可解析、已通过 HEAD 确认存储桶存在、已返回 banner）。
• CONFIRMED — 已通过独立佐证或直接验证（实时 PMAK 验证、多个来源结论一致、存储桶可列出对象且对象可检索）。

---

3. 输出格式约定

发现应包含：id、module、asset_key、category、severity（info/low/medium/high/critical）、confidence、title、description、evidence（url + UTC 时间戳 + sha256 + 不超过 2 KiB 的原始数据）、references、remediation。所有时间戳均使用 UTC。

---

4. 来源卫生与引用

每项产物都应包含 URL + UTC 时间戳 + SHA-256 + 工具版本 + run_id。PNG 截图、JSONL 运行日志、原始 HTTP 捕获内容的正文上限为 2 KiB。

---

5. 请勿

• 不要将凭证、PII 或会话令牌粘贴到云端大模型中。
• 不要在 DEEP/--aggressive 之外运行破坏性探测。
• 不要将已验证的凭证用于只读存活性检查以外的任何用途。
• 不要依据单一来源进行归因。
• 不要假设厂商标签就是事实依据。

---

6. 通用 OSINT（精选工具参考）

• OSINT 书签 — 全面的书签集。
• OSINT 框架 — 工具和资源目录。
• IntelTechniques 工具 — 调查工具套件。
• Bellingcat 工具包 — 调查新闻资源。
• CyberSudo OSINT 工具包 — OSINT 网站列表。
• Google Dorks — 高效的 Google 搜索。
• Distributed Denial of Secrets — 泄露的数据集。
• 按国家/地区分类的资源 — 面向特定国家/地区的 OSINT 资源。

如何使用此技能

此技能是一个精简的操作索引。大多数具体数据（词表、正则表达式、搜索语法、端点目录、严重性示例）都存放在按主题整理的 references/ 子文件夹中。

此技能触发时的工作流：

1. 阅读此 SKILL.md，了解原则（§0-5）、评分标准（§20-21）、攻击路径模板（§39）以及下方的参考资料索引。
2. 对于特定任务的数据，只阅读所需的参考文件——不要全部加载 15 个文件。每个参考文件都是独立的。
3. 使用 bug-bounty 技能获取 ~/security-research/bug-bounty-resources/ 中的本地工具集，并使用 osint-methodology 获取规划框架。

加载规则参考：

• 单一类别问题（例如，“AWS 密钥的正则表达式是什么？”）→ 只加载 secret-patterns.md。
• 多类别任务（例如，“对 target.com 进行外部侦察”）→ 先加载 probes-and-wordlists.md，然后随着任务范围缩小再添加其他文件。
• 严重性／分流问题 → 加载 severity-matrix.md。

---

参考资料索引

文件	涵盖内容	触发短语
probes-and-wordlists.md	API/Swagger/GraphQL 路径、云存储桶工具集、JS 猜测路径、供应商和云原生指纹、K8s/CI-CD 暴露、文档/维基泄露、WHOIS/RDAP、DNS 目录、Wayback CDX、可复制粘贴的 curl 探测、电子邮件安全分析、源站/CDN 绕过	Swagger 发现、GraphQL 内省、子域名接管、云存储桶枚举、S3/GCS/Azure 枚举、Kubernetes 暴露、CI CD 暴露、供应商指纹、WHOIS RDAP、Wayback CDX、复制粘贴探测、curl 单行命令
identity-fabric.md	Entra/Okta/ADFS/Google/SAML 的具体端点、M365 深度探测（Teams 联合、SharePoint、OneDrive）、GraphQL 字段建议枚举、用户枚举模式	身份体系、SSO 发现、IdP 指纹识别、Okta 枚举、Entra 枚举、Azure AD 枚举、ADFS 枚举、SAML 元数据、Microsoft 365 深度探测、Teams 联合、SharePoint 枚举、OneDrive 枚举、GraphQL 字段建议
secret-patterns.md	48 种模式的秘密正则目录（AWS、GCP、GitHub PAT、Stripe、Slack、JWT、私钥、Anthropic/OpenAI/HuggingFace、Cloudflare、DigitalOcean、npm、PyPI、Docker Hub、Atlassian、DataDog、Sentry、ngrok），附带严重性和误报说明	秘密扫描、秘密泄露、凭据泄露、JWT 分诊、AWS 密钥分诊、Anthropic API 密钥、OpenAI API 密钥
secret-validators.md	9 个只读秘密验证器，以及 AWS/GitHub/Slack/Postman/JWT/Anthropic/OpenAI/npm/Atlassian/DataDog 的发现后枚举工作流	秘密验证、发现后工作流、AWS 密钥分诊、JWT 分诊
dork-corpus.md	覆盖 9 个类别的 80 多个 Google/Bing/DDG 搜索语法模板，以及 13 个针对目标定制的 GitHub 代码搜索语法	Google 搜索语法、Bing 搜索语法、GitHub 搜索语法、搜索语法目录
recon-stack.md	子域名来源工具集（被动和主动）、基础设施与攻击面 OSINT（Shodan/Censys/crt.sh/JARM/favicon mmh3）、TLS 深度审计、反向 DNS、IPv6 枚举	子域名枚举、证书透明度、crt.sh、Shodan 侦察、Censys 侦察、JARM、favicon mmh3、TLS 深度审计、JA3 JA4、反向 DNS 扫描、IPv6 枚举
breach-and-credentials.md	泄露和外泄数据源（HudsonRock、HIBP、DeHashed、IntelX、信息窃取器日志）、电子邮件模式推断、电子邮件收集来源工具集	泄露查询、have I been pwned、HudsonRock cavalier、信息窃取器、dehashed、intelx、电子邮件收集
people-osint.md	搜索引擎、用户名和电子邮件调查、人员搜索、电话 OSINT、社交媒体、公开记录和公司信息	用户名调查、人员搜索、电话 OSINT、社交媒体 OSINT、公开记录
saas-public-surfaces.md	Postman 公共工作区搜索（已验证端点）、Stack Exchange OSINT 扫描、公共 SaaS 搜索语法工具集（Notion、Confluence、Trello）	Postman 工作区、Stack Exchange OSINT、Notion 公共内容、Confluence 匿名访问、Trello 看板
specialized-osint.md	威胁情报和 IOC、加密货币 OSINT、媒体情报、地理空间情报、区域搜索引擎、Telegram 和消息情报	威胁情报、IOC、加密货币 OSINT、媒体情报、地理空间 OSINT、区域搜索、Telegram 情报
recon-techniques.md	LinkedIn 员工枚举、招聘信息技术栈分析、Slack/Discord/Telegram 工作区发现、软件包注册表泄露搜寻（npm/PyPI/Docker Hub/Quay/GHCR）、用于物理侦察的卫星图像	LinkedIn 枚举、招聘信息技术栈、Slack 工作区发现、Discord 服务器发现、npm 令牌泄露、PyPI 令牌泄露、Docker Hub 泄露、用于物理侦察的卫星图像
severity-matrix.md	80 多个示例，将观察到的情况映射到发现严重性（CRITICAL/HIGH/MEDIUM/LOW/INFO）	严重性判定、发现严重性、严重性矩阵
sector-notes.md	医疗（DICOM）、金融（SWIFT）、ICS/SCADA（Modbus/BACnet）、IoT、政府部门的侦察说明	特定行业侦察、医疗 DICOM、金融 SWIFT、ICS SCADA、Modbus、BACnet
tooling-install.md	Subfinder、Amass、httpx、nuclei、gau、katana、gowitness、dnsx、mapcidr、naabu、sslyze、testssl.sh 等工具的快速安装单行命令	工具安装、安装 subfinder、安装 nuclei、安装 httpx
helpers-and-automation.md	AI 辅助 OSINT、归档和证据保全、自动化和工作流模式、跨模块 sidecar 协调、可运行的 secret_scan.py / h1_reference.py / dashboard.py 助手说明	AI 辅助 OSINT、证据保全、自动化、sidecar、hacktivity 参考、侦察控制台

---

20. 端点关注度评分 — 0–100 分标准

对于每个已分类的端点（方法论技能中的 §22），应用以下评分标准：

信号	分值	条件
未认证写入	+40	POST/PUT/DELETE/PATCH 端点在匿名访问时返回 200/201/202/204。
开放的 GraphQL 内省	+35	__schema 查询在匿名访问时返回完整类型列表。
HTTP 方法篡改绕过	+30	OPTIONS 揭示了文档未记录的方法，且该方法可访问。
反射式 CORS + 凭据	+25	Access-Control-Allow-Origin 反射请求的 Origin，且 Access-Control-Allow-Credentials: true。
路径中包含敏感关键词	+20	路径匹配以下任一项：admin、internal、debug、user、password、token、key、export、upload、backup、config、secret、private、delete、purge、wipe。
错误信息泄露架构信息	+20	响应正文包含堆栈跟踪、ORM 错误类或框架特征（例如 ActiveRecord::RecordNotFound、org.hibernate.exception.*、django.db.utils.IntegrityError）。
URL 中包含 API 密钥	+15	路径或查询字符串包含 api_key=、apikey=、token=、access_token=。
通配符 CORS	+10	Access-Control-Allow-Origin: *。
缺少速率限制响应头	+10	没有 RateLimit-* / X-RateLimit-* 响应头；快速连续请求后也没有 Retry-After。

阈值：

分数	严重程度
≥ 90	严重
70–89	高
50–69	中
25–49	低
< 25	信息

对于分数 ≥ 70 的情况，请在证据中附加 attack_path_hint（见 §29）。

---

21. 移动应用归属置信度 — 0–100 分标准

在执行深入的 APK 静态分析之前，评估发现的应用是否确实属于目标。阈值：≥70 = 接受。

信号	分值
包名反向 DNS 与目标域名匹配（例如，com.acme.android ⟂ acme.com）	+40
开发者邮箱为 <anything>@<target-domain>	+25
开发者网站 URL 是目标域名（或已确认的关联品牌域名）	+20
应用名称包含运营方提供的品牌列表中的关键词	+10
应用达到最低评分数阈值（默认 20 条评价）	+5

低于阈值的应用会标记为 mobile_review_pending 并展示，但不会进行分析。运营方可使用 --mobile-ownership-threshold 50 重新评分，以适应更宽泛的采集范围。

---

---

39. 攻击路径提示模式

生成高/严重 API 端点发现结果（分数 ≥ 70）时，请在证据中包含一句话的 attack_path_hint，以便运营方了解从何处着手利用。模板：

触发条件	攻击路径提示
未认证的 POST / PUT / DELETE	*"未认证的 {method} {path} — 尝试 IDOR + 权限提升；检查数字 ID 是否连续或可猜测。" *
开放的 GraphQL 内省	*"{path} 上开放 GraphQL 内省 — 枚举 mutations，查找名称类似 createUser、setRole、transferFunds 的操作；转而利用认证缺陷或业务逻辑漏洞。" *
反射型 CORS + 凭据	*"{path} 上的反射型 CORS 支持凭据 — 在攻击者控制的源上托管 CSRF 页面；受害者的浏览器会泄露 {sensitive-data-hint}。" *
通配符 CORS + 敏感数据	*"{path} 上的通配符 CORS 会返回与用户关联的数据，且无需凭据 — 从受害者访问的任意页面发起跨源 fetch 以窃取数据。" *
HTTP 方法篡改	*"HTTP 方法篡改：仅允许 {visible-method} 的文档化端点却允许 {hidden-method} → 可能存在缺少方法检查的授权缺陷；尝试使用有效身份验证执行 {hidden-method} {path}。" *
URL 中的 API 密钥	*"URL 中的 API 密钥：?{param}=... — 令牌会泄露到访问日志、浏览器历史记录、Referer 标头和第三方 CDN。检查 Wayback / Google 中是否有缓存副本。" *
错误信息泄露架构	*"错误响应泄露架构 — 暴露了框架特征 {framework}；映射已知的 {framework} 漏洞并构造有针对性的载荷。" *
敏感关键词	*"路径包含“{keyword}” — 检查是否存在直接对象引用、批量赋值或隐藏的管理员功能。" *
开放的 RTDB Firebase	*"开放的 Firebase RTDB：位于 https://{project}.firebaseio.com/.json — 读取全部数据，然后使用 PUT 在 /<random-key>.json 上测试写入，以判断 ACL 范围。" *
可列举的云存储桶	*"可列举的 {provider} 存储桶 {bucket} — 递归列出对象并分析 content-type；查找备份、日志、客户数据以及 JSON 配置中的 AWS 密钥。" *
暴露的 .git	*"{host} 上暴露了 .git/config — 使用 git-dumper 或 githacker 重建仓库；可获取完整源代码历史。" *
暴露的 .env	*"{host} 上暴露了 .env — 搜索 _KEY、_SECRET、_TOKEN、_PASSWORD；使用 §23 验证器以只读方式验证所有凭据。" *
/actuator/env	*"Spring Boot 的 /actuator/env 已暴露 — 转储环境变量；查找 spring.datasource.password、JWT 密钥和云凭据。" *
/actuator/heapdump	*"Spring Boot 的 /actuator/heapdump 已暴露 — 下载 HPROF，运行 jhat 或 VisualVM，在堆字符串中搜索明文密钥。" *
开放的 Elasticsearch	*"{host}:9200 上开放的 Elasticsearch — 使用 /_cat/indices?v 获取索引列表；从每个高价值索引中抽取示例文档；向 /test-idx/_doc 测试写入以判断 ACL。" *
开放的 Redis	*"{host}:6379 上开放的 Redis — 执行 INFO、KEYS * 并抽样读取；通过 CONFIG SET 然后执行 BGSAVE 写入 authorized_keys，检查是否有写入权限。" *
开放的 MongoDB	*"{host}:27017 上开放的 MongoDB — 执行 show dbs、show collections 和示例 find 查询；检查用户集合中是否有密码哈希。" *
子域名接管	*"{host} 的 CNAME 指向未被认领的 {provider} 资源 → 在 {provider} 上注册 {takeover-target}，即可从 {host} 提供内容；进一步在受信任域名上实施钓鱼或内容注入。" *
开放的 kubelet	*"{host}:10250 上开放的 kubelet — 使用 GET /pods 列出 Pod；使用 POST /run/<ns>/<pod>/<container> 在容器内执行命令，无需 K8s API 身份验证。" *
开放的 etcd	*"{host}:2379 上开放的 etcd — 使用 etcdctl get / --prefix --keys-only 获取完整集群状态；存储的密钥位于 /registry/secrets/ 下。" *
K8s API 允许匿名访问	*"{host}:6443 上的 Kubernetes API 启用了匿名身份验证 — 执行 kubectl --server=https://{host}:6443 --insecure-skip-tls-verify get pods --all-namespaces。" *
未修补的 Citrix	*"{host} 上的 Citrix NetScaler 版本 {ver} 易受 CVE-{cve} 影响（已列入 KEV）；参阅厂商公告；不要利用漏洞，但应标记并提醒客户端立即修补。" *
暴露的 F5 BIG-IP TMUI	*"{host} 上的 F5 BIG-IP TMUI 可访问；适用 KEV 中的 CVE-2022-1388 / CVE-2023-46747；建议立即安装厂商发布的热修复程序。" *
可访问的 VMware vCenter	*"{host} 上的 vCenter 无需 VPN 即可访问；如果未修补，则易受 CVE-2021-21972 RCE 影响；检查版本标识。" *
未经身份验证的云函数 URL	*"AWS Lambda Function URL 可通过 {url} 匿名访问 — 检查 IAM 身份验证配置；如果设计上无需身份验证，应严格审计输入验证。" *
npm 拼写抢注候选包	*"包名 {candidate} 尚未注册，且与目标发布的 {official} 相似 — 存在拼写抢注风险；建议客户端采取防御措施进行注册。" *
缺少或宽松的 DMARC	*"{domain} 上的 DMARC 为 p=none — {anything}@{domain} 的伪造邮件可送达收件人；观察报告后，建议将策略升级为 p=quarantine 或 p=reject。" *
有效的 AI API 密钥（Anthropic/OpenAI）	*"已验证可访问模型的 sk-{provider}-... 密钥 — 配额费用可能被盗用；立即轮换密钥，并在提供商控制台中审计使用日志。" *
公开的 Slack 邀请链接	*"可通过搜索引擎发现 Slack 工作区邀请链接 — 任何人都可以加入工作区，无需审批；可轻易访问内部频道。" *
开放的 Docker 注册表	*"{host} 上的 Docker 注册表公开可访问 — GET /v2/_catalog 可列出镜像；拉取镜像并扫描各层中的嵌入式密钥。" *
有效的 Telegram 机器人令牌	*"已验证 Telegram 机器人令牌 — getUpdates 会暴露机器人的接收方（管理员聊天）；如果 getMe 显示机器人位于频道中，则可完整读取消息。" *
含有 sourcesContent[] 的 Sourcemap	*"{host} 上的 Sourcemap 包含嵌入的原始源代码 — 可重建完整前端代码；搜索内联密钥和内部主机名。" *

---

---

49. 技能自测

将以下提示词粘贴到全新的 Claude 会话中，验证技能是否正确加载。

1. "在 Web 应用中，我应该探测哪些路径来查找 Swagger 或 OpenAPI 规范？" → §16.1。
2. "给我应该通过 POST 发送的 GraphQL 内省查询。" → §16.2。
3. "从 Shodan 扫描结果中，哪些高风险端口应该标记出来？" → §16.3。
4. "展示秘密信息正则表达式目录。" → §17（48 个模式）+ §48（可运行的 Python）。
5. "如何根据攻击兴趣度为 API 端点评分？" → §20。
6. "验证泄露的 Postman API 密钥——使用哪个 URL？" → §23.1。
7. "给出针对某个目标的 pastebin/gist/ghostbin 泄露信息搜索 dork。" → §18.3。
8. "哪些端点可以识别 Microsoft Entra 租户？" → §22.1 + M365 深度探测见 §22.8。
9. "如何评估发现的 Android 应用是否属于我的目标？" → §21。
10. "在 /api/users 发现未认证的 POST 时，有什么攻击路径提示？" → §39（第一行）。
11. "测试 /actuator/env 的 curl 单行命令。" → §16.13。
12. "展示禁用内省时，通过字段建议进行 GraphQL 枚举的技巧。" → §22.9。
13. "在 JS 中发现硬编码 JWT。带我完成完整的分类评估流程。" → §23.12（JWT 工作流）。
14. "为 <Client Brand Ltd> 生成云存储桶候选名称，包含 api/billing/hr 子域名。" → §16.8。
15. "如何查找 Microsoft 365 Teams 联合状态和 SharePoint 子域名？" → §22.8。
16. "探测 Citrix Netscaler / F5 BIG-IP / Pulse Secure 的路径。" → §16.16。
17. "查找 target.example 上 Cloudflare 背后的源站。" → §16.15 + 配套方法 §27。
18. "探测 Kubernetes/etcd/kubelet 暴露情况时，要检查哪些端口/路径？" → §16.18。
19. "审计 acme.com 的 SPF/DMARC，评估伪造邮件的可行性。" → §16.14。
20. "列出子域名暴力破解和内容发现的字典来源。" → §27.1。
21. "对目标拥有的 /22 网段执行反向 DNS 扫描。" → §28.5。
22. "验证 OpenAI API 密钥，同时不消耗配额。" → §23.6 + §23.12。
23. "查找目标在 npm/PyPI/Docker Hub 上泄露的秘密信息。" → §44。
24. "如何在 LinkedIn 上枚举目标员工，以建立钓鱼名单？" → §41。
25. "Slack 邀请链接有哪些枚举技巧？" → §43.1。
26. "CVE-2024-3400 的 EPSS 评分和 KEV 状态是什么？" → §29.2。
27. "哪些现代 AI API 密钥（Anthropic / OpenAI / HuggingFace / Cloudflare）符合目录中的模式？" → §17 第 30–48 行。
28. "android:debuggable=true 出现在生产应用中时的严重性矩阵是什么？" → §40。
29. "标准侦察工具包（subfinder/httpx/nuclei 等）的安装命令是什么？" → §46。
30. "对于医疗保健领域的测试项目，还需关注哪些端口/协议？" → §47.1。
31. "通过直接 API（无 UI）获取 target.com 的 HudsonRock 泄露数据集。" → §15.0.1。
32. "在 Windows 机器上（使用 PowerShell）运行完整的 §16.14 电子邮件安全审计。" → §16.14 PowerShell 并行方案。
33. "crt.sh 刚返回 502。备用方案的调用顺序是什么？" → §27.0.1。
34. "批量查询 200 个 IP 对应的 ASN，同时避免触发 bgpview 速率限制。" → §28.1（Cymru 批量查询）。
35. "对 target.example 执行常见前缀子域名扫描，覆盖 vpn / api / staging / portal / intranet。" → §16.24。
36. "旧邮件服务器（mail.<domain>）今天返回 NXDOMAIN，但泄露数据集里有针对它的员工 URL。应如何记录这一发现？" → §15.2 旧邮件服务器停用模式。
37. "当 MX 被 Mimecast 代理（因此 MX 无法揭示底层邮件平台）时，如何确认 M365 租户？" → §22.1 autodiscover IP 关联 + §16.22 将 autodiscover 作为确认依据。
38. "DMARC RUA 指向 kdmarc.com——这说明什么？" → §16.14 DMARC 报告服务提供商表。
39. "SharePoint HEAD 探测返回 HTTP 200。这是否意味着允许匿名访问？" → §22.8（否——这表示租户存在，不代表允许匿名访问；需加以区分）。
40. "Wayback 的 *.js 查询在展示型网站上返回空结果。下一步怎么做？" → §16.23 旧式应用线索（.asp / .php / .jsp / .cfm / .aspx）。

---

50. 更新日志

• v2.1.1 (2026-04-27) — 根据真实任务的冒烟测试结果，修复实战验证中发现的缺漏。新增：§15.0.1 HudsonRock Cavalier 直接 API 配方（curl 和 PowerShell、完整 JSON 结构、免费层级的数据删减注意事项、速率限制指南）。扩充 §15.2，新增旧版邮件服务停用后的升级处理模式（旧版邮件服务返回 NXDOMAIN + 泄露语料库命中 + Autodiscover 确认云迁移 → CRITICAL SSO_EXPOSURE）。扩充 §16.14，新增 DMARC 报告供应商表（Kratikal kdmarc / dmarcian / Valimail / Agari / EasyDMARC / DMARC Analyzer / Postmark），为完整电子邮件安全审计补充 Windows/PowerShell 并行方案，并说明 PS 5.1 中的 Resolve-DnsName -Type CAA 会报错（请使用 PS 7+ 或 nslookup -type=CAA）。扩充 §16.22 TXT 验证令牌目录，新增 17 种令牌（zscaler-verification、cloudflare-verify、autosect、cisco-site-verification、mscid、_amazonses、salesforce-domain-verification、workday/shopify/klaviyo/mailchimp/hubspot/zendesk/freshworks/intercom/loom/miro/gitlab）；新增“M365 检测中的 Autodiscover 确认”模式，适用于 MX 记录被 Mimecast/Proofpoint/Barracuda 包装的情况。§22.1 新增基于 Microsoft Exchange Online IP 段的被动 Autodiscover IP 关联模式。§22.8 新增说明：SharePoint HEAD HTTP 200 表示租户存在，并不代表已授予匿名访问权限（操作人员常对此产生误读）。新增 §16.23 旧版应用 pivot 区块（宣传型网站的 Wayback *.js 返回空结果时，转而检查 .asp/.php/.jsp/.cfm/.aspx/.json/.xml/.yml/.ini/.conf，并附带完整的广泛扫描单行命令）。新增 §16.24 常见前缀子域名扫描，正式确立主动前缀探测技术，提供按序排列的 100 多个前缀列表、PowerShell + bash + puredns 配方，以及真实任务验证说明（被动枚举会漏掉 20-40% 的高价值子域名；务必搭配主动前缀探测）。§27.0.1 新增 crt.sh 后备链（Censys、CertSpotter、Calidog、Subfinder、OTX、ThreatMiner、URLScan、Anubis-DB），并附带 PowerShell 封装脚本：重试 crt.sh 3 次，之后回退到 Subfinder。§28.1 新增批量 IP→ASN 配方（Cymru 批量 WHOIS、RIPEstat、bgp.tools、IPinfo Lite），并说明 bgpview.io API 的速率限制很严格，不适合批量使用。§40 严重性矩阵新增 8 行：供应商采购门户暴露且命中泄露语料库（HIGH）、通过普通 HTTP 提供个人身份信息收集门户（HIGH）、旧版邮件服务已停用且命中泄露并确认云迁移（CRITICAL）、无需 VPN 即可公开访问的内网门户（MEDIUM）、可公开解析的预发布/预生产环境（MEDIUM）、vpn. 可解析但供应商未知（INFO；若匹配 KEV 则升级为 HIGH-CRITICAL）、DMARC RUA 指向第三方供应商（INFO）。§49 自测从 30 条扩充至 40 条提示词，覆盖所有新增内容。
• v2.1 (2026-04-27) — 根据 32 项冒烟测试的缺漏分析进行全面扩充。新增：每项检查的可直接复制粘贴的 curl 探测命令（§16.13）；电子邮件安全分析，包含 SPF/DMARC/DKIM/BIMI/MTA-STS/DNSSEC 解析及 SaaS 租户推断（§16.14）；通过 DNS 历史记录、证书 SAN、favicon 哈希、JARM 和 Host 标头探测发现源站/绕过 CDN（§16.15）；Citrix/F5/Pulse/Fortinet/PaloAlto/Cisco/VMware/Exchange 的供应商产品指纹及 KEV CVE 关联（§16.16）；云原生服务 URL 指纹，包括 Lambda Function URLs、Cloud Run、Cloud Functions、Azure Functions、Vercel、Netlify、Cloudflare Workers 等（§16.17）；容器和 Kubernetes 暴露面（kubelet、etcd、K8s API、仪表板、Helm Tiller、容器镜像仓库）（§16.18）；CI/CD 平台暴露面（深入检查 Jenkins、GitLab、GitHub Actions、CircleCI、TeamCity、Argo CD、Spinnaker）（§16.19）；文档/wiki 泄露路径（Notion、Confluence、Trello、Miro、Lucidchart、Figma、ReadTheDocs、GitBook、Slab、Coda 等）（§16.20）；WHOIS/RDAP/历史 WHOIS 配方及反向 WHOIS pivot（§16.21）；DNS 记录目录，包含用于推断 SaaS 租户的 TXT 验证令牌表（§16.22）；深入使用 Wayback CDX，涵盖所有筛选参数（§16.23）。扩充 §17 密钥目录，模式从 29 种增至 48 种，新增现代 AI API 密钥（Anthropic、OpenAI 旧版 + 项目密钥、HuggingFace）、基础设施（Cloudflare、DigitalOcean）、软件包注册表（npm、PyPI、Docker Hub）、SaaS（Atlassian、Linear）、可观测性（New Relic、DataDog、Sentry DSN）、机器人令牌（Discord、Telegram）及 ngrok。扩充 §18 dork 语料库，从 50 多条增至 80 多条，新增内部工具暴露项（Splunk/Grafana/Kibana/Argo CD/Sonarqube/Confluence/Jira/GitLab/Gitea）、备份文件扩展名及行业专用 dork（医疗/金融/政府）。新增 §22.8 Microsoft 365 深度枚举（Teams 联合、SharePoint 子域名探测、OneDrive 个人站点探测、OAuth client_id 发现、设备代码钓鱼目标检查、Power Platform）。新增 §22.9 GraphQL 字段建议枚举配方及别名批处理、查询深度绕过、订阅枚举、批量查询绕过。新增 §23.5–23.9 Anthropic、OpenAI、npm、Atlassian、DataDog 的只读验证器（新增 5 项）。新增 §23.12 发现后的枚举工作流（AWS IAM 枚举、GitHub PAT 权限范围/仓库枚举、Slack 工作区枚举、JWT 完整分类，包括算法混淆 + 暴力破解 + none 绕过、Postman PMAK 工作区枚举、Anthropic + OpenAI 使用情况枚举、通用密钥来源枚举）。固定 §24 Postman 搜索端点，提供已验证的结构及 DevTools 后备方案。新增 §27.1 字典来源（Assetnote、SecLists、jhaddix、OneListForAll、raft-large-words、fuzzdb 等）及大小建议。新增 §28.4 TLS 深度审计（sslyze + testssl.sh + nmap + JA3/JA4 + 密码套件/协议/证书检查）。新增 §28.5 反向 DNS 扫描 + IPv6 枚举 + BGP 路由观测。新增 §29.2 漏洞优先级排序数据源（NVD/EPSS/CISA KEV/ExploitDB/Metasploit/InTheWild/OpenCVE/Trickest CVE+POC 映射/OSV.dev/VulnCheck KEV）及批量优先级排序工作流。扩充 §39 攻击路径提示，新增 15 种模板（开放的 kubelet/etcd、匿名 K8s API、未经身份验证的 Citrix/F5/vCenter/Cloud Function、npm 拼写仿冒、缺少 DMARC、有效 AI 密钥、Slack 邀请、包含 sourcesContent 的 sourcemap）。扩充 §40 严重性矩阵，新增 30 个经过分析的示例，涵盖 Kubernetes/容器、存在 KEV CVE 的供应商产品、M365/云原生、CI/CD 配置错误、文档泄露、电子邮件安全缺陷、AI/软件包注册表凭据、TLS 问题。新增 §41 LinkedIn 员工枚举实战技巧（搜索技术 + 职能推断 + 电子邮件格式推导 + 傀儡账号注意事项）。新增 §42 招聘信息技术栈分析（信息来源 + 提取 + 工具）。新增 §43 Slack/Discord/Telegram/Mattermost 工作区发现。新增 §44 软件包注册表泄露搜寻（npm/PyPI/RubyGems/Cargo/Packagist/NuGet/Maven Central + 工作流 + 拼写仿冒监控）。新增 §45 用于物理侦察的卫星图像（信息来源 + 提取 + LinkedIn/Glassdoor/Instagram/会议情报 + 车辆/车队情报）。新增 §46 工具快速安装（子域名、HTTP 探测、漏洞扫描、内容发现、JS 提取、Wayback、云、身份、移动、TLS、实用工具、框架）。新增 §47 行业专项侦察说明（医疗 DICOM/HL7/FHIR/EHR + 金融 SWIFT/FIX/Bloomberg/银行中间件 + ICS-SCADA Modbus/BACnet/S7/DNP3 + IoT MQTT/CoAP/UPnP + 政府 FedRAMP/FISMA + 海事/航空/汽车）。“可运行辅助工具”重编号为 §48，“自测”重编号为 §49（针对 v2.1 更新），“变更日志”重编号为 §50。
• v2.0 (2026-04-27) — 为外部红队工作方式进行重大改写。新增：预制字典（§16）、29 种模式的密钥目录（§17）、50 多条 dork 语料库（§18）、GitHub 代码搜索 dork（§19）、端点关注度评分（§20）、移动资产归属置信度（§21）、身份体系具体端点（§22）、只读密钥验证器（§23）、Postman 工作区搜索（§24）、Stack Exchange 扫描（§25）、公开 SaaS dork（§26）、子域名来源栈（§27）、域名级泄露严重性（§15.1）、L2 浏览器表（§30.2）、USCC + ICP 工作流（§14.2）、跨模块 sidecar 协作（§36）、攻击路径提示模式（§39）、严重性决策矩阵（§40）、可运行的密钥扫描辅助工具（§41）。强化：置信度等级（§2）、输出格式（§3）、禁止事项（§5）。保留原有工具表并进行了少量重组。

---

相关技能与链路

• web2-recon — 当需要对一组在线主机执行工具集时使用。工作流基元：此技能提供探测路径和字典；web2-recon 运行实际的 subfinder → dnsx → httpx → katana 流水线来使用这些内容。
• osint-methodology — 当此技能的具体探测需要规划框架时使用。工作流基元：osint-methodology 是规划骨架（5 阶段流水线、资产图谱、发现结果评估标准）；此技能是操作工具集，用 curl 单行命令和正则表达式填充各个阶段。
• hunt-subdomain — 当此技能的子域枚举发现失效的 CNAME 时使用。工作流基元：通过 §27 / references/recon-stack.md 发现的子域会自动转交给 hunt-subdomain 进行接管验证。
• hunt-cloud-misconfig — 当此技能的云存储桶枚举发现可列出内容的存储桶 / Firebase / actuator 端点时使用。工作流基元：§39 中的攻击路径提示（可列出内容的存储桶、/actuator/env、开放的 Elasticsearch）会转交给 hunt-cloud-misconfig 进行利用。
• m365-entra-attack / okta-attack — 当身份架构指纹识别发现 Entra/Okta 时使用。工作流基元：references/identity-fabric.md 会识别 IdP 指纹；匹配的平台技能（由 hunt-dispatch 加载）将接管主动枚举。