18k星OSINT神器：一条命令挖出你公司的暴露面

原创

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月22日 16:31
河北

去阅读

▲ 封面｜武器库评测（制图：赤霄攻防实验室）

TL;DR

啥工具：theHarvester，18k 星的老牌 OSINT 框架，60 多个公开数据源一条命令跑完，邮箱、子域、IP、泄露记录全给你列出来

妙在哪：全程被动采集，目标服务器一个包都收不到。攻击者爱用它做前期踩点，防守方更该用它看看自己露了多少

顺手的事：crtsh 和 certspotter 这两个 P0 源连 API key 都不要，装完就能跑

▲ 工具档案卡（制图：赤霄攻防实验室）

攻击者动手前都在干嘛

一个针对企业的攻击，真正动手之前的踩点阶段占掉的功夫比你想的多得多。目标用什么邮件服务器、有哪些子域、员工邮箱是什么格式、有没有泄露过凭据，这些信息全都能从公开渠道挖出来。这个活叫 OSINT，开源情报收集。

theHarvester 干的就是这个：把 66 个公开数据源的查询逻辑打包成一条命令。证书透明日志、搜索引擎、DNS 数据集、GitHub 代码搜索、HudsonRock 的信息窃取器数据库、HIBP 的泄露库，全都在它的射程里。跑完之后主机名、邮箱、IP、ASN、泄露记录，统一格式输出。

18k 星，Python 写的，从 2011 年迭代到现在。项目这周还在推代码，社区活跃度没问题。

▲ 仓库主页（来源：GitHub）

证书日志：最容易被忽略的暴露面

66 个数据源里我最想聊的是证书透明日志这一类。你的运维申请一张 HTTPS 证书，浏览器厂商强制要求这张证书进入公开的 CT 日志。证书里写什么？域名。包括那些你以为是内部的子域，dev-crm.company.com、vpn-old.company.com，全在里面。

crtsh 这个源不需要任何 API key，一条命令就能把你们公司历年来申请过的所有证书域名拉出来。攻击者拿着这份清单，等于拿到了你的资产地图：哪些系统存在、命名规律是什么、哪台测试机被遗忘了还在跑。攻击面管理做得好的团队会定期跑一遍，看看有没有自己都忘了的资产。你的呢？

▲ 工作流：被动侦察怎么跑（制图：赤霄攻防实验室）

泄露数据才是狠角色

证书日志暴露的是资产，真正要命的是 HudsonRock 和 HIBP 这两个源。HudsonRock 聚合信息窃取器（infostealer）的落地数据，能查到某个企业域名下有哪些员工的机器中过招、哪些凭据在黑产市场流通。HIBP 大家更熟，Have I Been Pwned，邮箱有没有出现在泄露库里一查便知。

攻击者拿着这份清单做什么？钓鱼名单直接就有了。中过 infostealer 的员工邮箱是头号目标，因为他们的密码可能还在用。你要是安全团队的，建议定期用自己的域名跑一遍这两个源，看看有没有该改密码还没改的同事。

上手很快

Python 3.14 加 uv，装完就能跑。crtsh 和 certspotter 两个 P0 源不需要 API key，零成本体验。66 个源里有一部分需要注册拿 key，按需配置就行。除了命令行，还有个叫 HarvestView 的本地 Web 界面能看历史跑过的结果，REST API 也能接进自己的平台。

用法上提醒一句：工具的 README 写得很清楚，只对拥有或获得授权的目标使用。被动采集虽然不触碰目标服务器，但你查询的目标字符串会发给数据源提供商，这个前提要心里有数。不想折腾环境的话仓库里有现成的 Docker 镜像，监控类告警也能通过 REST API 接进你自己的平台，定时跑一遍自己公司域名这种活完全可以自动化。

参考

1. 仓库：https://github.com/laramies/theHarvester
2. 数据源清单：theHarvester/discovery/ 目录（66 个 .py 文件）
3. HarvestView 界面文档：docs/

免责声明：本文仅用于安全研究与防御交流；OSINT 采集请仅针对授权目标。