English |
简体中文 |
繁體中文 |
한국어 |
Deutsch |
Español |
Français |
Italiano |
Dansk |
日本語 |
Polski |
Русский |
Bosanski |
العربية |
Norsk |
Português (Brasil) |
ไทย |
Türkçe |
Українська |
বাংলা |
Ελληνικά |
Tiếng Việt |
हिन्दी
OSINT og rekognosceringsintelligens til AI-agenter.
Shodan, VirusTotal, Censys, SecurityTrails, DNS, WHOIS, BGP, Wayback Machine — samlet i en enkelt MCP-server.fuldt spektrum OSINT efter behov , ikke 12 browserfaner og manuel korrelation.
Problemet •
Hvordan Det Er Anderledes •
Hurtig Start •
Hvad AI'en Kan Gøre •
Værktøjer (37) •
Datakilder •
Arkitektur
---
## Problemet
OSINT-indsamling er det første skridt i enhver penetrationstest, bug bounty og trusselsvurdering. De data, du har brug for, er spredt over et dusin platforme — hver med sin egen API, sin egen autentificering, sine egne hastighedsbegrænsninger, sit eget outputformat. I dag åbner du Shodan i én fane, VirusTotal i en anden, kører `dig` i en terminal, kopierer fra WHOIS, skifter til crt.sh for certifikater, og bruger derefter 30 minutter på manuelt at korrelere det hele.
```
Traditionel OSINT-arbejdsgang:
opløs DNS-poster → dig / nslookup CLI
tjek WHOIS-registrering → whois CLI eller webværktøj
oplist underdomæner → crt.sh + SecurityTrails + VirusTotal (3 forskellige UI'er)
scan for åbne porte/tjenester → Shodan webgrænseflade
tjek domæneomdømme → VirusTotal webgrænseflade
kortlæg IP-infrastruktur → Censys + BGP-opslag
find arkiverede sider → Wayback Machine web UI
tjek e-mailsikkerhed → manuelle MX/SPF/DMARC-opslag
korrelér alt → kopier-indsæt i et regneark
─────────────────────────────────
Total: 45+ minutter pr. mål, det meste kontekstskift
```
**osint-mcp-server** giver din AI-agent 37 værktøjer på tværs af 12 datakilder via [Model Context Protocol](https://modelcontextprotocol.io). Agenten forespørger alle kilder parallelt, korrelerer data, identificerer risici og præsenterer et samlet efterretningsbillede — i en enkelt samtale.
```
Med osint-mcp-server:
Du: "Lav en fuld rekognoscering på target.com"
Agent: → DNS: 4 A-poster, 3 MX (Google Workspace), 2 NS
→ WHOIS: Registreret 2019, udløber 2025, GoDaddy
→ crt.sh: 47 unikke underdomæner fra CT-logs
→ HackerTarget: 23 værter med IP'er
→ E-mail: SPF soft-fail (~all), DMARC p=none, ingen DKIM
→ Shodan: 3 IP'er, 12 åbne porte, Apache 2.4.49 (CVE-2021-41773)
→ VirusTotal: Rent omdømme, 0 detektioner
→ "target.com har 47 underdomæner, svag e-mailsikkerhed
(SPF soft-fail, DMARC kun overvågning), og én IP
kører Apache 2.4.49 med en kendt path traversal CVE.
Prioritet: patch Apache, opgrader SPF til -all, sæt DMARC til p=reject."
```
---
## Hvordan Det Er Anderledes
Eksisterende OSINT-værktøjer giver dig rå data én kilde ad gangen. osint-mcp-server giver din AI-agent evnen til at **ræsonnere på tværs af alle kilder samtidigt**.
Traditionel OSINT
osint-mcp-server
Grænseflade 12 forskellige web-UI'er, CLI'er og API'er
MCP — AI-agent kalder værktøjer samtalebaseret
Datakilder Én platform ad gangen
12 kilder forespurgt parallelt
Underdomæneoplistning crt.sh ELLER SecurityTrails ELLER VirusTotal
Agent sammenlægger alle tre + HackerTarget, deduplikerer
Korrelation Manuel kopier-indsæt mellem faner
Agent krydshenviser: "Denne IP fra Shodan vises også i Censys med udløbet certifikat"
E-mailsikkerhed Separate SPF/DMARC/DKIM-opslag
Kombineret analyse med risikoscore og handlingsrettede anbefalinger
Infrastruktur GeoIP + BGP + WHOIS separat
Agent kortlægger fuld infrastruktur: ASN, præfikser, geolokation, ejerskab
API-nøgler Krævet til næsten alt
21 værktøjer virker gratis, 16 flere med valgfrie API-nøgler
Opsætning Installer hvert værktøj, håndter hver konfiguration
npx osint-mcp-server — én kommando, nul konfiguration
---
## Hurtig Start
### Mulighed 1: npx (ingen installation)
```bash
npx osint-mcp-server
```
21 offentlige OSINT-værktøjer virker med det samme. Ingen API-nøgler påkrævet.
### Mulighed 2: Klon
```bash
git clone https://github.com/badchars/osint-mcp-server.git
cd osint-mcp-server
bun install
```
### Miljøvariabler (valgfrit)
```bash
# Premium OSINT-kilder — alle valgfrie
export SHODAN_API_KEY=your-key # Aktiverer 4 Shodan-værktøjer
export VT_API_KEY=your-key # Aktiverer 4 VirusTotal-værktøjer
export ST_API_KEY=your-key # Aktiverer 3 SecurityTrails-værktøjer
export CENSYS_API_ID=your-id # Aktiverer 3 Censys-værktøjer
export CENSYS_API_SECRET=your-secret # Påkrævet sammen med CENSYS_API_ID
```
Alle premium API-nøgler er valgfrie. Uden dem får du stadig 21 værktøjer, der dækker DNS, WHOIS, crt.sh, GeoIP, BGP, Wayback Machine, HackerTarget og Microsoft 365 tenant-opdagelse.
### Forbind til din AI-agent
Claude Code
Claude Desktop
Cursor / Windsurf / andre MCP-klienter
### Begynd at forespørge
```
Du: "Hvad kan du finde om example.com?"
```
Det er det. Agenten håndterer DNS, WHOIS, underdomæner, e-mailsikkerhed og mere automatisk.
---
## Hvad AI'en Kan Gøre
### Domænerekognoscering
```
Du: "Lav en fuld rekognoscering på target.com"
Agent: → osint_domain_recon {domain: "target.com"}
→ DNS: A-poster peger på 3 IP'er (AWS us-east-1)
→ WHOIS: Registreret 2018 via Namecheap, udløber 2026
→ crt.sh: 62 underdomæner opdaget
→ HackerTarget: 31 værter med opløste IP'er
→ E-mail: SPF hard-fail, DMARC p=reject, DKIM fundet (selector1)
→ "target.com er velkonfigureret til e-mailsikkerhed.
62 underdomæner fundet — bemærkelsesværdige: staging.target.com,
admin-portal.target.com, api-v2.target.com.
Infrastruktur er på AWS (us-east-1)."
```
### Angrebsfladekortlægning
```
Du: "Kortlæg angrebsfladen for 203.0.113.50"
Agent: → shodan_host {ip: "203.0.113.50"}
→ geoip_lookup {ip: "203.0.113.50"}
→ bgp_ip {ip: "203.0.113.50"}
→ whois_ip {ip: "203.0.113.50"}
→ dns_reverse {ip: "203.0.113.50"}
→ "203.0.113.50 (Hetzner, DE, AS24940)
Åbne porte: 22/SSH, 80/HTTP, 443/HTTPS, 8080/HTTP-Proxy
Apache 2.4.51, OpenSSH 8.9, nginx reverse proxy på 8080
Reverse DNS: web1.target.com
3 kendte CVE'er markeret af Shodan"
```
### Underdomæneoplistning (Multi-Kilde)
```
Du: "Find alle underdomæner til target.com ved brug af alle tilgængelige kilder"
Agent: → crtsh_search {domain: "target.com"} → 62 underdomæner
→ st_subdomains {domain: "target.com"} → 84 underdomæner
→ vt_subdomains {domain: "target.com"} → 41 underdomæner
→ hackertarget_hostsearch {domain: "target.com"} → 31 værter
→ dns_wildcard_check {domain: "target.com"} → Ingen wildcard
→ "127 unikke underdomæner efter dedup på tværs af 4 kilder.
Bemærkelsesværdige fund: staging.target.com, dev-api.target.com,
jenkins.target.com (CI/CD eksponeringsrisiko),
old-admin.target.com (potentielt legacy-system)"
```
### E-mailsikkerhedsrevision
```
Du: "Analyser e-mailsikkerhedsstillingen for target.com"
Agent: → dns_email_security {domain: "target.com"}
→ dns_spf_chain {domain: "target.com"}
→ m365_tenant {domain: "target.com"}
→ "E-mailsikkerhed: HØJ RISIKO
SPF: ~all (soft fail — kan forfalskes)
DMARC: p=none (kun overvågning — håndhæver ikke)
DKIM: Fundet for selector1 (2048-bit, godt)
SPF-kæde: 7 inkluderinger, 2 tjenester (Google Workspace, SendGrid)
M365: Ikke en Microsoft-tenant
Anbefalinger:
1. Opgrader SPF fra ~all til -all
2. Skift DMARC fra p=none til p=quarantine, derefter p=reject
3. Tilføj rua= til DMARC for aggregeret rapportering"
```
### Historisk Efterretning
```
Du: "Hvad kørte target.com for 3 år siden?"
Agent: → wayback_urls {domain: "target.com", limit: 500}
→ st_dns_history {domain: "target.com", type: "a"}
→ wayback_snapshots {url: "https://target.com/robots.txt"}
→ "DNS-historik: target.com flyttede fra 198.51.100.1 (DigitalOcean)
til 203.0.113.50 (AWS) i 2023.
Wayback fandt 342 unikke URL'er inklusive:
- /admin/ (fjernet i 2024, var tilgængelig)
- /api/v1/docs (Swagger UI, stadig cachet)
- /wp-content/ (var WordPress, migreret)
Gammel robots.txt forbød /internal/ og /debug/"
```
---
## Værktøjsreference (37 værktøjer)
DNS (6) — Ingen API-nøgle
WHOIS / RDAP (2) — Ingen API-nøgle
Certifikattransparens (1) — Ingen API-nøgle
Shodan (4) — Kræver SHODAN_API_KEY
VirusTotal (4) — Kræver VT_API_KEY
SecurityTrails (3) — Kræver ST_API_KEY
Censys (3) — Kræver CENSYS_API_ID + CENSYS_API_SECRET
GeoIP (2) — Ingen API-nøgle
BGP / ASN (3) — Ingen API-nøgle
Wayback Machine (2) — Ingen API-nøgle
HackerTarget (3) — Ingen API-nøgle
Microsoft 365 (2) — Ingen API-nøgle
Meta (2) — Ingen API-nøgle
---
## Datakilder (12)
| Kilde | Auth | Hastighedsbegrænsning | Hvad den leverer |
|--------|------|-----------|-----------------|
| [DNS](https://nodejs.org/api/dns.html) | Ingen | Ingen | A, AAAA, MX, TXT, NS, SOA, CNAME, SRV, PTR-poster |
| [RDAP](https://rdap.org/) | Ingen | 1 req/s | Domæne & IP WHOIS-data (registrator, datoer, kontakter, CIDR) |
| [crt.sh](https://crt.sh/) | Ingen | 0.5 req/s | Certifikattransparens-logs, underdomæneopdagelse |
| [ip-api.com](http://ip-api.com/) | Ingen | 45 req/min | IP-geolokation, ISP, ASN, proxy/VPN/hosting-detektering |
| [BGPView](https://bgpview.io/) | Ingen | 0.5 req/s | ASN-detaljer, annoncerede præfikser, IP-ruteinfo |
| [HackerTarget](https://hackertarget.com/) | Ingen | 2 req/s | Værtssøgning, reverse IP, ASN-opslag (50/dag gratis) |
| [Wayback Machine](https://web.archive.org/) | Ingen | 1 req/s | Arkiverede URL'er, snapshot-historik, historisk indhold |
| [Microsoft 365](https://login.microsoftonline.com/) | Ingen | Ingen | Tenant-opdagelse, føderationsdetektering, auth-type |
| [Shodan](https://www.shodan.io/) | `SHODAN_API_KEY` | 1 req/s | Internet-dækkende port/tjeneste/banner-scanning |
| [VirusTotal](https://www.virustotal.com/) | `VT_API_KEY` | 4 req/min | Domæne/IP/URL-omdømme, malware-detektering |
| [SecurityTrails](https://securitytrails.com/) | `ST_API_KEY` | 1 req/s | DNS-historik, underdomæneoplistning, udvidet WHOIS |
| [Censys](https://censys.io/) | `CENSYS_API_ID` | 1 req/s | Værtssøgning, certifikattransparens, tjenesteopdagelse |
---
## Arkitektur
```
src/
├── index.ts Indgangspunkt, env-konfiguration, MCP stdio
├── types/
│ └── index.ts ToolDef, ToolContext, ToolResult
├── protocol/
│ ├── tools.ts 37 værktøjsdefinitioner (Zod-skemaer)
│ └── mcp-server.ts MCP-server + stdio-transport
├── dns/
│ └── index.ts 6 funktioner — opslag, reverse, e-mail, SPF-kæde, SRV, wildcard
├── whois/
│ └── index.ts 2 funktioner — domæne RDAP, IP RDAP
├── crtsh/
│ └── index.ts CT-log-søgning med dedup + caching
├── shodan/
│ └── index.ts Vært, søgning, DNS-opløsning, exploits
├── virustotal/
│ └── index.ts Domæne, IP, underdomæner, URL-scan
├── securitytrails/
│ └── index.ts Underdomæner, DNS-historik, WHOIS
├── censys/
│ └── index.ts Værtssøgning, værtsdetaljer, certifikater
├── geoip/
│ └── index.ts Enkelt + batch IP-geolokation
├── bgp/
│ └── index.ts ASN, IP-præfiks, præfiksdetaljer
├── wayback/
│ └── index.ts URL-søgning + snapshot-historik
├── hackertarget/
│ └── index.ts Værtssøgning, reverse IP, ASN
├── m365/
│ └── index.ts Tenant-opdagelse, bruger-realm/føderation
├── meta/
│ ├── sources.ts Kildetilgængelighedstjek
│ └── recon.ts Kombineret gratis-kilde-domænerekognoscering
└── utils/
├── rate-limiter.ts Købaseret hastighedsbegrænser
├── cache.ts Generisk TTL-cache
└── require-key.ts API-nøglevalideringshjælper
```
**Designbeslutninger:**
- **12 udbydere, 1 server** — Hver OSINT-kilde er et uafhængigt modul. Agenten vælger hvilke værktøjer der skal bruges baseret på forespørgslen.
- **21 gratis værktøjer** — DNS, WHOIS, crt.sh, BGP, GeoIP, Wayback, HackerTarget og M365 virker uden nogen API-nøgler. Premium-kilder er additive.
- **Parallelle forespørgsler** — `osint_domain_recon` kalder 8 kilder via `Promise.allSettled`. Hvis én kilde får timeout, returnerer resten stadig data.
- **Per-udbyder hastighedsbegrænsere** — Hver datakilde har sin egen `RateLimiter`-instans kalibreret til den pågældende API's begrænsninger. Ingen delt flaskehals.
- **TTL-caching** — crt.sh (15 min), BGP (30 min), Shodan (5 min), VirusTotal (10 min) resultater caches for at undgå overflødige API-kald under multi-værktøjs-arbejdsgange.
- **Graceful degradation** — Manglende API-nøgler får ikke serveren til at crashe. Værktøjer returnerer beskrivende fejlmeddelelser: "Sæt SHODAN_API_KEY for at aktivere Shodan-værktøjer."
- **SPF-kædeanalyse** — Rekursiv inkluderingsopløsning med loop-detektering, tjenesteidentifikation (Google Workspace, Microsoft 365, SendGrid, osv.) og RFC 7208 opslags-limit-tjek.
- **2 afhængigheder** — `@modelcontextprotocol/sdk` og `zod`. Al HTTP via native `fetch`. Al DNS via `node:dns/promises`.
---
## Begrænsninger
- Gratis-tier hastighedsbegrænsninger gælder: HackerTarget (50/dag), ip-api.com (45/min), VirusTotal community (4/min)
- crt.sh kan være langsom for store domæner (30s timeout anvendt)
- ip-api.com kræver HTTP (ikke HTTPS) til gratis tier
- Wayback Machine CDX API kan få timeout for meget populære domæner
- WHOIS via RDAP dækker muligvis ikke alle TLD'er (nogle registratorer understøtter ikke RDAP endnu)
- macOS / Linux testet (Windows ikke testet)
---
## Del af MCP Security Suite
| Projekt | Domæne | Værktøjer |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Browserbaseret sikkerhedstest | 39 værktøjer, Firefox, injektionstest |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Cloud-sikkerhed (AWS/Azure/GCP) | 38 værktøjer, 60+ tjek |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | GitHub-sikkerhedsstilling | 39 værktøjer, 45 tjek |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Sårbarhedsintelligens | 23 værktøjer, 5 kilder |
| **osint-mcp-server** | **OSINT & rekognoscering** | **37 værktøjer, 12 kilder** |
---
Kun til autoriseret sikkerhedstest og vurdering.
MIT License • Bygget med Bun + TypeScript
