theHarvester 是一个面向被动 OSINT 收集的技能，主要用于获得授权的渗透测试中，以尽量减少与目标的直接交互来获取外部情报。
用途 该技能服务于渗透测试的发现与侦察阶段，同时也是威胁建模和测试规划的辅助手段。它适合需要被动发现邮箱、主机或公开来源元数据的情况，用于为后续验证提供侦察种子，以及进行低影响的外部资产清单补充。
使用前提 适用场景包括：需要被动发现邮箱、主机或公开来源元数据；需要为后续验证准备侦察线索；需要进行低影响的外部清单补充。应避免的情况包括：公开来源收集会超出约定的隐私或范围边界；收集结果未经验证即被当作已确认资产清单。
输入 使用前需要准备：已批准的域名或品牌范围；来源选择和输出要求；后续阶段的验证阈值。
操作流程
- 仅从被动公开来源开始收集。
- 将原始 OSINT 线索与已确认资产区分开。
- 使用结果指导 DNS、Web 或身份验证。
- 记录来源出处以便报告。
- 保留确切的来源集合，便于未来对比。
命令语法 以下示例中的域名应替换为已批准且在范围内的目标。
从所有已配置的被动来源收集： theHarvester -d contoso.com -b all -l 500
从 Google 收集： theHarvester -d contoso.com -b google -l 300
从 Bing 收集： theHarvester -d contoso.com -b bing -l 300
收集邮箱、主机和 IP，输出为 HTML 和 XML： theHarvester -d contoso.com -b all -l 500 -f contoso-harvest
使用 Shodan 进行 IP 情报补充： theHarvester -d contoso.com -b shodan -l 100
需要留存的证据 包括：与已批准目标相关的公开来源线索；使用的确切来源集合和域名；在后续测试前仍需验证的内容。
安全边界 收集应保持被动，并限定在已批准的品牌或域名范围内。所有输出在得到佐证前都应视为未经验证。