按用途来选择 OSINT 工具最为简单：一组用于域名与基础设施，一组用于社交媒体，一组用于图像与视频，一组用于泄露数据，另有几种用于记录、存档和串联线索。本指南列出了调查人员在每个类别中实际使用的工具，以及它们的长处和局限。本文还涵盖了大多数工具清单会忽略的部分：每次查询会暴露你哪些信息，以及团队如何处理这一网络层面的问题，这正是我们的 OSINT 与调查新闻代理页面所讨论的内容。
如果你刚接触这一领域，请先阅读我们的入门文章什么是 OSINT，其中介绍了信息来源、方法和法律边界。本文假定你已了解基础知识，想要一套工具清单。
域名与基础设施
这里要回答的问题是：谁在运营某个域名或服务器，还有哪些内容与之关联，以及它发生过哪些变化。
- ICANN Lookup 通过 RDAP（WHOIS 的现代替代协议）查询注册数据。自 GDPR 实施以来，大多数个人信息已被隐去，但注册商、创建日期和域名服务器等信息仍然有用。
- crt.sh 用于搜索证书透明度日志。每一张受公开信任的 TLS 证书都会被记录，因此搜索某个域名时，往往能发现所有者从未在任何地方链接过的子域名和相关主机名。
- SecurityTrails 显示历史 DNS 记录，可以帮你找到网站在接入 CDN 之前托管在哪里。
- Shodan 和 Censys 为联网设备和服务建立索引。它们可以回答诸如“还有哪些主机共用这张证书”或“哪些主机运行着完全相同的服务器标识”之类的问题。
- urlscan.io 在沙箱中加载 URL，并记录它发起了哪些请求、联系了哪些域名以及页面的外观。
- VirusTotal 汇总众多杀毒引擎和 URL 扫描器的判定结果，并显示域名、IP 地址和文件之间的关联。
其中两种工具的可见性设置值得了解。urlscan.io 的扫描可以设为公开、不公开列出或私密，公开扫描可以被其他人看到，包括你正在调查的网站背后的人。提交到 VirusTotal 的文件和 URL 可以被其付费用户看到。切勿在那里上传机密文件，并且要假定一次提交就可能惊动谨慎的对手。
社交媒体与用户名
这里要回答的问题是：某个人或账号出现在哪里，发布了什么，以及何时发布。
- Sherlock 是一款开源命令行工具，可以在数百个网站上检查同一个用户名。
- WhatsMyName 基于一份持续维护的网站列表完成同样的工作，并为不想使用命令行的人提供网页界面。
- 平台自带的搜索功能，配合高级运算符和日期筛选，仍然是最可靠的来源，因为每当平台更改页面或 API 时，第三方工具就会失效。
最后这一点一年比一年重要。平台经常调整研究人员的访问权限：Meta 于 2024 年 8 月关闭了 CrowdTangle，并将获批的研究人员转移到 Meta Content Library。请围绕平台当前允许的方式来构建你的方法，并预料到这一类别的工具可能会在没有通知的情况下停止工作。
图像与视频
这里要回答的问题是：一张图片最早出现在哪里，在何时何地拍摄，以及是否经过编辑。
- 反向图片搜索，可使用 Google Lens、TinEye、Bing Visual Search 和 Yandex Images。它们索引的是网络的不同部分，因此请全部使用一遍。TinEye 可以按最早时间排序结果，有助于找到原图。
- InVID-WeVerify 插件是一款为事实核查人员打造的浏览器扩展程序。它可以将视频拆分为关键帧用于反向搜索，并集成了多种图像取证滤镜。
- ExifTool 读取图像和视频文件中的元数据：相机型号、时间戳，有时还包括 GPS 坐标。大多数社交平台会在上传时删除这些信息，因此它对原始文件最有用。
- SunCalc 显示任意地点和时间的太阳位置，让你可以用照片中的阴影来核对所声称的拍摄时间。
- Google Earth Pro 提供历史图像，Copernicus Browser 则可免费获取近期的 Sentinel 卫星图像，用于确认某个位置并查看它的变化。
泄露数据
这里要回答的问题是：某个账户、电子邮件地址或机构是否出现在已知的泄露事件中。这是法律风险最为突出的类别。
- Have I Been Pwned 会告诉你某个电子邮件地址是否出现在已知的泄露事件中。它的域名搜索功能可以覆盖某个域名下的所有地址，但前提是你要证明自己控制该域名，因此非常适合检查你自己机构的暴露情况。
- 商业泄露数据搜索服务让调查人员可以直接搜索泄露记录。它们被用于反欺诈和威胁情报工作，但会让你接触到大量个人数据。
这里的规则比其他类别更严格。泄露记录属于个人数据，根据 GDPR 及类似法律，搜索和存储这些记录都属于数据处理，需要合法依据和明确目的。无论调查目的为何，使用泄露的密码登录账户都属于未经授权的访问。为自身机构监控泄露情况的团队，通常会在书面政策的框架内开展工作，我们关于监控暗网和粘贴网站中泄露的凭据的文章对此有所介绍。以上内容为一般性信息，不构成法律意见。
记录、存档与关联分析
三个辅助类别让其他类别的工具真正发挥作用。
公司与公共记录。 OpenCorporates 汇集了许多国家的公司登记信息，而英国 Companies House 或美国 SEC 的 EDGAR 数据库等国家级登记机构则是可供引用的原始来源。
存档与抓取。 Wayback Machine 和 archive.today 可以显示页面的历史版本，并让你保存新的版本。Hunchly 会记录你在调查期间访问的每个页面并附上时间戳，正是这一点让一项发现成为证据。
自动化与关联分析。 theHarvester 从公开来源收集某个域名的电子邮件、子域名和主机。SpiderFoot 可以自动对目标运行数十项查询。Maltego 将结果绘制成图谱，让你看清哪些域名、人物和机构相互关联。如果你需要更具体的工具，OSINT Framework 网站是一个庞大的目录。
| 类别 | 入门首选 | 免费选项 |
|---|---|---|
| 域名与基础设施 | crt.sh、ICANN Lookup、urlscan.io | crt.sh、ICANN Lookup、其他工具的免费版本 |
| 社交媒体与用户名 | 平台搜索、Sherlock、WhatsMyName | Sherlock、WhatsMyName |
| 图像与视频 | 反向图片搜索、InVID-WeVerify、ExifTool | 全部免费 |
| 泄露数据 | Have I Been Pwned | Have I Been Pwned（查询单个地址） |
| 记录与存档 | OpenCorporates、Wayback Machine、Hunchly | OpenCorporates 搜索、Wayback Machine |
| 关联分析 | SpiderFoot、Maltego | SpiderFoot（开源） |
任何工具都无法覆盖的层面：调查对象看到了什么
上面的每种工具，要么代表你去查询某项服务，要么把你直接引向调查对象。第二种情况正是调查信息泄露的地方。
当你从办公网络打开一个可疑域名、一个钓鱼工具包或一家假冒商店时，网站会记录下你所在机构的 IP 地址。谨慎的运营者会关注日志并作出反应：屏蔽你的 IP 段，向你展示一个无害的页面，或者在你完成抓取之前就关闭网站。许多网站还会根据访问者所在的国家显示不同的内容，因此从办公室查看的页面，可能并不是当地受害者看到的样子。
调查团队通过以下几个习惯来应对这一问题：
- 让采集流量远离你自己的网络。 住宅代理让请求从目标国家或城市的家庭网络连接发出，因此调查对象看到的是一位普通的本地访客，而不是你的公司。
- 隔离浏览器。 使用单独的浏览器配置文件，对于任何可能含有恶意内容的目标则使用虚拟机，这样你日常工作中的 Cookie 和会话永远不会接触到调查对象。我们的网络安全使用场景页面介绍了大规模开展此类工作的安全团队。
- 谨慎对待研究账号。 有些调查人员会使用单独的研究账号（通常称为“马甲账号”）来查看需要登录的内容。许多平台在条款中禁止虚假账号，因此请查看平台条款和你所在机构的政策，记录该账号存在的原因，并且绝不要用它欺骗或联系你的调查对象。
- 了解局限。 代理改变的是网站看到的 IP 地址。它不会隐藏你的浏览器指纹、已登录的账户或你的行为。我们的解读文章代理不是匿名工具介绍了还有哪些因素会暴露调查人员的身份。
总结
根据你要回答的问题来选择 OSINT 工具：用证书和 DNS 查询调查基础设施，用用户名搜索和平台搜索调查社交媒体，用反向搜索和元数据分析图像，用通知服务检查泄露暴露情况，再用存档和关联分析把所有内容串联起来。检查每种工具会分享你的哪些搜索信息，让采集远离你自己的网络，并正视泄露数据和研究账号所带来的法律与伦理风险。
如果你的团队需要以另一个国家本地访客的身份查看网站，可以通过免费试用进行测试：3 天内 100 MB 住宅代理，或 1 天内最多 10 个 IP 的 ISP 代理。