文章总结： 本文介绍5款免费开源OSINT工具（Blackbird、Maigret、SpiderFoot、theHarvester、ShodanPython）用于自查个人及企业网络暴露面，涵盖用户名、邮箱、域名、IP和设备查询功能。文章强调合法自检场景（如清理数字足迹、企业安全审计），明确反对非法用途，并提供工具安装命令与具体应用案例。 综合评分： 85 文章分类： 安全意识,安全工具,安全运营,渗透测试,威胁情报

你的信息可能早被扒光了：5款免费开源工具帮你自查暴露面

原创

z释然z z释然z

释然IT杂谈

2026年6月24日 08:08 上海

在小说阅读器读本章

去阅读

不要用来查别人，查自己，才是真正的安全第一步。

你有没有想过—— 你多年前注册的一个论坛账号， 你随手填的同一个昵称， 你公司的一个域名， 甚至你家打印机的IP地址……

可能早就被“扒”干净了。

今天不讲黑客入侵，不讲APT攻击。我们聊聊“暴露面”这件事—— 一个人、一家公司，在网上到底留下了多少痕迹，你自己都不一定知道。

我整理了 5款免费开源OSINT工具， 覆盖查用户名、查邮箱、查域名、查IP、查设备的完整链条。

全部免费，无需Key（除Shodan外），新手也能上手。

🛠️ 五个工具，各管一摊

🔍 Blackbird（⭐6300）

场景：查一个用户名/邮箱在全网的账号接入600+平台，自动搜索，生成AI画像，一键导出PDF报告。 适合快速扫全貌。

🕵️ Maigret（⭐33000）

场景：深挖一个用户名，递归揪出所有马甲覆盖3000+平台，核心能力：顺着一个马甲，自动挖到另一个马甲。 适合挖地三尺。

🌐 SpiderFoot（⭐18000）

重炮：邮箱、域名、IP、手机号通吃200+模块并行，能查数据泄露、暗网、子域名，出可视化关系图谱。 适合全链路情报采集。

📧 theHarvester（⭐16500）

查公司专用：输入域名，批量扒员工邮箱、子域名、IP从谷歌、必应、LinkedIn、DNS记录等40+数据源自动化收集。 适合商业尽调 / 安全审计。

🖥️ Shodan Python（⭐2800）

查设备：全网暴露的摄像头、路由器、服务器、工控系统官方Python库，自动化查询Shodan数据库。 适合检查公司IT资产是否裸奔。

✅ 正经用法：查自己，查安全

别总想着“查别人”。以下场景，完全合法且极度推荐——

🔐 场景一：查自己的数字足迹（避免信息泄露）

用 Blackbird + Maigret 查你常用的用户名和邮箱， 你会惊讶： “天呐，我大学时在××论坛注册的账号竟然还在，密码还是原始密码……”

知道暴露了什么，才能有针对性地清理、注销、改密码。

🏢 场景二：公司安全自检（ESG审计必备）

• theHarvester 查自己公司域名，看对外暴露了多少员工邮箱和子域名。
• SpiderFoot 深挖，看有没有在黑市数据泄露中出现。
• Shodan 扫IP段，看内部系统、摄像头、打印机是否暴露在公网。

很多公司的NAS、打印机，出厂密码都没改，Shodan一搜一个准。

📈 场景三：竞争对手技术架构分析（合规情报）

想知道竞争对手用哪家云？用什么服务器软件？有哪些子域名暴露了业务线？theHarvester + Shodan 搭配，从公开信息中还原技术栈。

这不是“黑客攻击”，而是基于公开信息的情报收集，很多安全团队都在做。

⚠️ 必须强调的法律红线

这些工具本身是中性、合法的。但用法决定了性质：

• ✅ 查自己、查自己公司 → 安全自检，强烈推荐。

• ❌ 爬取他人隐私信息、人肉搜索、非法调查 → 违法行为，千万别碰。

本文只讲自检思路和保护方法。不提倡、不建议任何非法用途。

🖥️ 安装方式（一行命令搞定）

# Blackbird
git clone https://github.com/p1ngul1n0/blackbird && pip install -r requirements.txt

# Maigret
pip install maigret

# SpiderFoot
git clone https://github.com/smicallef/spiderfoot && pip install -r requirements.txt

# theHarvester
git clone https://github.com/laramies/theHarvester && uv sync

# Shodan Python
pip install shodan

Blackbird、Maigret、SpiderFoot 开箱即用，无需任何API Key。theHarvester 部分数据源需要Key（谷歌、Bing），基础功能免费可用。Shodan 需要注册免费账号获取API Key，日常额度够用。

💬 最后说一句

一个人、一家公司，在网上能藏住的东西，远比他们以为的少得多。

你以为删掉的账号， 以为没人知道的马甲， 以为没有暴露的服务器——只要存在过，大概率能找回来。

知道自己暴露了什么，是保护自己的第一步。

把这篇文章转发给你身边的IT运维、安全同事， 让他们也查一查自己的数字资产—— 查清楚了，才睡得踏实。

📎 项目地址：

• github.com/p1ngul1n0/blackbird

• github.com/soxoj/maigret

• github.com/smicallef/spiderfoot

• github.com/laramies/theHarvester

• github.com/achillean/shodan-python

关注我，持续分享实用的安全工具与自检方法。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：释然IT杂谈 z释然z z释然z《你的信息可能早被扒光了：5款免费开源工具帮你自查暴露面》