近年来，开源情报 （OSINT）软件正在成为收集公共信息的越来越重要的工具。此类软件允许用户从各种来源（例如搜索引擎、社交媒体资料和政府记录）收集易于访问的个人和组织数据，目的是创建全面的图片。 然后，高级开源情报软件可以交叉引用这些数据，以提供准确的知识来源，并在不同信息之间建立联系，否则这些信息可能会被忽视。 在当今数据驱动的世界中，开源情报软件为任何想要深入了解自己或周围人的人提供了不可或缺的资源。 它也越来越受到网络安全专业人士的欢迎，他们使用它进行道德黑客攻击、渗透测试和外部威胁识别。
1，借助平台
Maltego 是一个多功能开源情报平台，可以简化和加快调查。 它提供对 58 个数据源的访问和手动上传功能，以及多达 1 万个实体的数据库，以帮助您进行更好的分析。 其强大的可视化工具还使您能够从不同的布局中进行选择，例如块、层次结构或带有权重和注释的圆形图，以便进一步细化。
https://www.maltego.com/
Spiderfoot 是一款开源 OSINT 侦察工具，具有多种功能，包括获取和分析 IP 地址、CIDR 范围、域和子域、ASN、电子邮件地址、电话号码、姓名和用户名、BTC 地址等的能力。
Spiderfoot 提供命令行界面以及嵌入式 Web 服务器，配备用户友好的 GUI 界面（可在 GitHub 上访问），Spiderfoot 拥有 200 多个模块，可用于执行最全面的活动并揭示有关的关键细节任何目标。
它还可用于评估组织是否暴露了可能导致安全漏洞的数据。 总而言之，它是一个强大的网络情报工具，能够为潜在威胁提供宝贵的见解。
2，信息筛选
如何只利用osint入侵而不使用sql注入
在借助各种引擎与平台获取到目标信息后，我们应该对信息进行筛选与整合
假设我们对A平台进行了信息收集，我们应当明确我们的目的-进入后台，取得shell
前期，我们在互联网搜索引擎或后台爆破工具上取得A平台的后台地址，发现登录后台由三部分组成
1－人员编码
2-进入口令
3-验证码
我们第一步的信息收集应当为获取人员编码规则，在搜索引擎的帮助下，我们在网站上找到了公开的编码规则文件，用这些数字编码用工作表函数批量生成并转为txt字典。
同时在开源引擎的帮助下，获取这个网站泄露过相关人员的编码，以校验真实性。
例如，在文档中发现，此后台进入权限应为网络安全部门，相关的编码用工作表函数批量生成并转为txt字典后，导入为用户名
2进入口令
许多网站后台采用OTP动态令牌以加密其安全性，这使爆破工作难以进行,但我们的主题是OSINT，不是吗？😏
首先基于编码找到用户的私人邮箱和公开邮箱，用osint引擎来分析其个人常用密码
一般的OTP服务端使用密钥基于时间来计算6位校验码并发送到接收端，我们找到相应app，用大量信息合集爆破用户邮箱密码，入侵其应用账号，校验码发送到app时，我们完成入侵
暂无评论内容