theHarvester
Ferramenta de OSINT para reunir e normalizar evidências públicas sobre domínios e organizações em avaliações de segurança autorizadas.
Reconhecimento com evidências públicas
theHarvester reúne informações sobre um domínio ou uma organização a partir de mecanismos de busca, registros de transparência de certificados, conjuntos de dados DNS, repositórios de código, plataformas de inteligência de ameaças e outras fontes públicas. Os resultados podem incluir nomes de host, endereços de e-mail, IPs, URLs, ASNs, pessoas e nomes de violações. A ferramenta normaliza esses dados e mantém evidências associadas a ações opcionais.
Esse levantamento é voltado à etapa inicial de uma avaliação de segurança. Use-o somente em alvos próprios ou cobertos por autorização explícita. Um domínio relacionado encontrado durante a coleta permanece como evidência para revisão; ele não passa automaticamente a fazer parte do escopo autorizado.
Selecione as fontes e a atividade
A classificação P0, P1 e P2 descreve o comportamento de rede. Fontes P0 consultam provedores ou conjuntos de dados sem direcionar tráfego ao alvo, embora os provedores selecionados recebam o texto do alvo. Consultas DNS sobre nomes ou endereços autorizados são P1. Ações P2 contatam diretamente um endpoint, como verificações HTTP e TLS, capturas de tela, testes de takeover, busca de caminhos de API e verificações de portas.
As opções P1 e P2 só são executadas quando selecionadas. É possível escolher fontes pelo nome ou por capacidades como `subdomains`, `emails`, `ips`, `asns`, `urls`, `people` e `breaches`. Os seletores definem quais fontes rodam; não descartam outros tipos de resultado que uma fonte escolhida também possa retornar. A opção `-b all` seleciona as fontes passivas P0 catalogadas.
Uma coleta não é um veredito
Cada fonte pode terminar sem resultados, produzir evidência parcial ou falhar. Uma fonte concluída com zero resultados não equivale a uma fonte parcial ou com falha. Resultados retidos continuam disponíveis mesmo quando uma execução é cancelada ou interrompida. Por isso, interprete os achados junto com o estado da execução, o resultado de cada fonte e o motivo de qualquer interrupção; ausência de evidência coletada não prova que um recurso deixou de existir.
Execuções comparáveis ajudam a acompanhar mudanças nos nomes de host reportados. O relatório compara execuções finalizadas com o mesmo alvo canônico e a mesma lista de fontes. Uma diferença pode ser classificada como recém-reportada, ainda reportada, não mais reportada ou incerta, conforme os resultados e estados das fontes. “Não mais reportada” significa que a evidência salva não a contém, não que o hostname tenha deixado de existir ou resolver.
CLI, interface local e automação
A CLI atende coletas pontuais e fluxos de terminal. O HarvestView oferece uma interface local para iniciar execuções e revisar histórico, resultados, artefatos e mudanças de hostname. A API REST permite automações autenticadas. As três opções compartilham o mesmo mecanismo de execução finita e o mesmo modelo de evidências normalizadas.
Para iniciar com duas fontes passivas que não exigem chave de API, o projeto documenta este fluxo com `uv`:
```bash uv sync uv run theHarvester -d example.com -b crtsh,certspotter ```
O projeto requer Python 3.14 e `uv`. Para um domínio autorizado, comece com uma coleta P0 delimitada, examine o resultado de cada fonte e adicione atividade DNS ou contato direto somente quando ela estiver no escopo. Ao terminar, revise as evidências e exporte o formato necessário para o trabalho. Resultados locais e relatórios podem conter dados sensíveis da avaliação; mantenha-os protegidos e compartilhe-os apenas com as pessoas autorizadas.
Apoie o Guia de TI
Compartilhar
Autor
Comentários
0Comece a conversa.
Seja a primeira pessoa a comentar este conteúdo.