Collects OSINT on threat actors, malicious infrastructure, and attacks using passive tools like Maltego, Shodan, SpiderFoot. Useful for threat investigations, red team recon, and CTI reports.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
在以下情况下使用本技能：
Collects and synthesizes OSINT on threat actors, malicious infrastructure, and attack campaigns using public sources, passive recon tools like Maltego/Shodan/SpiderFoot, and dark web monitoring. For authorized recon and CTI reports.
Collects OSINT on threat actors, malicious infrastructure, and campaigns using Shodan, Maltego, SpiderFoot, passive DNS/WHOIS. For authorized red team recon and CTI reports.
Builds threat actor profiles from OSINT sources like vendor reports, paste sites, dark web forums, and APIs; uses Maltego, SpiderFoot, Python scripts to map motives, TTPs, infrastructure for attribution and defense.
Share bugs, ideas, or general feedback.
在以下情况下使用本技能：
请勿使用本技能在未获得明确书面授权的情况下对目标进行主动扫描——OSINT 收集必须保持被动（不向目标系统发送任何数据包），除非授权范围允许主动侦察。
在收集之前明确情报需求（IR）。记录以下内容：
# 通过 SecurityTrails API 进行被动 DNS 查询
curl "https://api.securitytrails.com/v1/domain/evil-domain.com/dns/a" \
-H "apikey: YOUR_KEY"
# 通过 ARIN / RIPE 查询 WHOIS 历史
whois -h whois.arin.net evil-domain.com
# 证书透明度日志（无需 API 密钥）
curl "https://crt.sh/?q=%.evil-domain.com&output=json" | jq '.[].name_value'
证书透明度日志可揭示目标域名的所有子域名，通常会暴露被无意公开的预发布环境、VPN 或内部基础设施。
import shodan
api = shodan.Shodan("YOUR_SHODAN_API_KEY")
# 搜索特定 C2 框架特征（Cobalt Strike beacon）
results = api.search('product:"Cobalt Strike" port:443')
for r in results['matches']:
print(r['ip_str'], r['port'], r['org'], r.get('ssl', {}).get('cert', {}).get('subject', ''))
# 查找与已知威胁行为者 ASN 关联的基础设施
results = api.search('asn:AS12345 http.title:"Redirector"')
将 Shodan 结果与被动 DNS 关联，构建基础设施集群。
在 Maltego 中，使用以下内置转换进行威胁行为者基础设施映射：
Maltego 网络威胁情报转换（VirusTotal、Shodan、PassiveTotal、URLScan）可扩展图谱覆盖范围。
使用 SpiderFoot HX 或手动搜索：
# SpiderFoot CLI 自动化 OSINT
python sf.py -s evil-domain.com -m sfp_shodan,sfp_virustotal,sfp_passivetotal \
-o TF -R result.json
| 术语 | 定义 |
|---|---|
| 被动 OSINT | 不向目标系统发送任何数据包的情报收集——使用公共数据库、搜索引擎、缓存数据 |
| PIR | 优先情报需求——情报收集必须回答的具体问题，防止无目的数据收集 |
| 证书透明度 | CA 颁发的所有 SSL/TLS 证书的公共日志，可通过 crt.sh 发现子域名 |
| 枢纽 | 使用一个数据点（IP、邮件、注册人名称）发现相关基础设施或账户 |
| ASN | 自治系统号——单一路由策略下的 IP 地址块；用于聚类威胁行为者基础设施 |
| 共同托管域名 | 解析到同一 IP 的多个域名，可能表明共享攻击者基础设施 |