WHOIS
Consulta o banco de dados de registro de domínios. Pode revelar: nome do registrante, email, telefone, endereço (quando sem privacidade), nameservers, e datas de criação/expiração. Emails encontrados valem para phishing e enumeração de usuários.
Enumeração de Subdomínios
Subdomínios revelam infraestrutura: dev.empresa.com, staging.empresa.com, vpn.empresa.com. Ambientes de desenvolvimento costumam ter menos proteção que produção. Fontes: DNS bruteforce, crt.sh, SecurityTrails, Shodan.
Google Dorks
Operadores de busca avançada do Google para encontrar informações sensíveis indexadas acidentalmente. O banco de dorks mais completo é o GHDB (Google Hacking Database) no Exploit-DB.
Shodan
Motor de busca para dispositivos conectados à internet. Indexa banners de serviços, versões de software, certificados TLS. Você pode buscar pelo IP do alvo e ver exatamente o que está exposto sem tocar nos servidores.
crt.sh & Certificate Transparency
Todo certificado TLS emitido por uma CA pública é registrado em logs de transparência. O crt.sh é uma interface para consultar esses logs. Busca por %.empresa.com retorna todos os subdomínios que já tiveram certificado emitido — incluindo os esquecidos.
OSINT em Pessoas & Código
LinkedIn revela estrutura da empresa, tecnologias usadas e nomes de funcionários (para phishing). GitHub expõe credenciais commitadas por acidente, chaves de API, arquivos .env, histórico de código. Pastebin/GitHub Gists para leaks.
org:empresa password OR secret OR api_key-sS) envia um pacote SYN e analisa a resposta: SYN-ACK = porta aberta, RST = fechada, sem resposta = filtrada (firewall). Nunca completa o handshake TCP — mais silencioso que um connect scan completo. Para UDP (-sU), envia payload vazio e aguarda ICMP "port unreachable" para portas fechadas.
Descoberta de hosts vivos
Antes de escanear portas, descubra quais hosts estão ativos na rede. Evita desperdiçar tempo em IPs sem resposta.
Port scanning progressivo
Estratégia de 3 etapas: rápido primeiro, detalhado depois. Economiza tempo sem perder cobertura.
Scripts de enumeração
NSE (Nmap Scripting Engine) tem centenas de scripts para enumeração específica por serviço. Acionados com -sC (default scripts) ou individualmente.
Identificar versões de serviços
Muitos serviços expõem versão e nome no banner inicial da conexão. Com a versão em mãos, você busca CVEs associados.
ffuf — Fuzzing rápido
A ferramenta mais flexível para fuzzing web. Usa a palavra FUZZ como placeholder em qualquer parte da requisição — path, parâmetros, headers, cookies. Suporta filtros por status code, tamanho de resposta e palavras.
SecLists — A coleção essencial
Repositório com as melhores wordlists organizadas por categoria. Instalado por padrão no Kali. As mais usadas em recon web:
Discovery/Web-Content/common.txt — paths comuns
Discovery/Web-Content/raft-medium-directories.txt — mais abrangente
Discovery/DNS/subdomains-top1million-5000.txt — subdomínios
Usernames/top-usernames-shortlist.txt — enumeração de usuários
Nikto — Scanner de vulnerabilidades web
Testa automaticamente um servidor web contra um banco de dados de problemas conhecidos: arquivos de backup expostos, headers de segurança ausentes, versões vulneráveis, configurações inseguras. Barulhento — gera muito log. Não usar sem autorização.
whatweb — Fingerprinting de tecnologias
Identifica CMS, frameworks, linguagens, servidores web, bibliotecas JavaScript e plugins a partir dos headers e HTML. Fundamental para saber qual pilha de tecnologia atacar.
| Ferramenta | Tipo | Uso principal | Quando usar |
|---|---|---|---|
| theHarvester | OSINT passivo | Emails, subdomínios, IPs de fontes públicas | Início de todo engajamento externo |
| Amass | OSINT passivo/ativo | Enumeração abrangente de subdomínios | Quando precisa de cobertura máxima de subdomínios |
| subfinder | OSINT passivo | Subdomínios via APIs públicas | Alternativa rápida ao Amass |
| Shodan | OSINT passivo | Serviços expostos, versões, CVEs | Antes de qualquer scan ativo |
| crt.sh | OSINT passivo | Subdomínios via Certificate Transparency | Sempre — gratuito e silencioso |
| Nmap | Recon ativo | Port scan, versões, OS fingerprint, NSE scripts | Após confirmar escopo autorizado |
| ffuf | Recon ativo | Fuzzing de paths, parâmetros, vhosts | Enumeração web em qualquer alvo HTTP |
| gobuster | Recon ativo | Directory/DNS bruteforce | Alternativa ao ffuf, mais simples |
| Nikto | Recon ativo | Vulnerabilidades web conhecidas | Scan inicial de servidor web |
| whatweb | Recon ativo | Fingerprint de tecnologias | Identificar stack antes de explorar |
| Maltego | OSINT passivo | Mapeamento visual de relacionamentos | Engajamentos grandes com múltiplos alvos |
| Recon-ng | OSINT passivo | Framework modular de OSINT | Coleta estruturada com múltiplos módulos |
1. Passivo primeiro
WHOIS → crt.sh → theHarvester → Shodan → Google Dorks → GitHub. Colete tudo antes de qualquer contato ativo. Documente cada descoberta com fonte e timestamp.
2. Ativo dentro do escopo
Confirme o escopo no contrato. Nmap host discovery → port scan → service detection → NSE scripts. ffuf em todos os serviços web encontrados. Nikto + whatweb em paralelo.
3. Documente tudo
Salve outputs de cada ferramenta em arquivo. Anote IPs, portas, versões, caminhos encontrados. Esse mapa é a base da fase de exploração. Um finding perdido no recon é um vetor não explorado.