用途：开源情报（OSINT）收集是红队行动的首个主动阶段，用于收集目标组织的公开信息，识别攻击面、社会工程目标、技术栈与凭据泄露，从而指导初始访问策略并降低操作风险。仅限获得授权的安全测试与教育用途，未经授权对非自有系统使用属违法。
主要能力：按类别收集情报，包括域名情报（DNS、WHOIS、CT 日志、子域枚举）、人员情报（LinkedIn、社交媒体、会议演讲）、凭据情报（泄露库、粘贴站、GitHub 泄露）、技术情报（招聘信息、Wappalyzer、Shodan、Censys）、物理情报（地图、照片、Glassdoor）与文档情报（SEC 文件、元数据）。映射的 MITRE ATT&CK 技术包括 T1595.001、T1595.002、T1592、T1589、T1590、T1591、T1593、T1594、T1596。
使用方式：工作流分四阶段。阶段一进行域名与网络侦察：WHOIS 查询、通过证书透明日志/DNS 爆破/网页抓取枚举子域、识别 IP 段与 ASN、用 Shodan/Censys 扫描暴露服务、检查云存储桶、映射 CDN 与托管商。阶段二进行人员与社会情报：枚举员工、识别邮箱命名规则、发现关键目标社交账号、映射组织层级、识别新入职 IT/安全人员、检查会议演讲与技术出版物。阶段三发现凭据与数据泄露：搜索泄露库、粘贴站、GitHub/GitLab 泄露密钥、暴露配置与备份、Google dorking 查找内部文档。阶段四识别技术栈：分析招聘信息、用 Wappalyzer/BuiltWith 指纹识别、检查暴露管理面板与开发环境、识别 VPN 与远程访问技术、映射云服务与 SaaS。
适用场景：涉及 OSINT 的安全评估、相关安全事件响应流程、计划性安全测试或审计、通过实操验证安全控制。
限制与前提：需熟悉红队概念与工具，具备测试或实验环境，Python 3.8+ 及依赖，且必须获得适当授权。工具包括 Amass、Subfinder、theHarvester、Maltego、SpiderFoot、Shodan、Censys、Recon-ng、GitDorker、Photon。验证标准包括完整域名子域列表、员工名单与角色邮箱、技术栈识别、凭据泄露评估、攻击面地图与 OSINT 报告。