Shodan, VirusTotal, Censys, SecurityTrails, DNS, WHOIS, BGP, Wayback Machine — zjednoczone w jeden serwer MCP.
Twój agent AI otrzymuje pełnozakresowy OSINT na żądanie, a nie 12 zakładek przeglądarki i ręczną korelację.
---
## Problem
Zbieranie informacji OSINT to pierwszy krok każdego testu penetracyjnego, bug bounty i oceny zagrożeń. Dane, których potrzebujesz, są rozproszone po kilkunastu platformach — każda ma własne API, własną autoryzację, własne limity zapytań, własny format wyjściowy. Dzisiaj otwierasz Shodan w jednej zakładce, VirusTotal w drugiej, uruchamiasz `dig` w terminalu, kopiujesz z WHOIS, przechodzisz do crt.sh po certyfikaty, a następnie spędzasz 30 minut ręcznie korelując wszystko.
```
Tradycyjny przepływ pracy OSINT:
rozwiąż rekordy DNS → dig / nslookup CLI
sprawdź rejestrację WHOIS → whois CLI lub narzędzie webowe
wylicz subdomeny → crt.sh + SecurityTrails + VirusTotal (3 różne UI)
skanuj otwarte porty/usługi → interfejs webowy Shodan
sprawdź reputację domeny → interfejs webowy VirusTotal
zmapuj infrastrukturę IP → Censys + wyszukiwania BGP
znajdź zarchiwizowane strony → interfejs webowy Wayback Machine
sprawdź bezpieczeństwo email → ręczne wyszukiwania MX/SPF/DMARC
skoreluj wszystko → kopiuj-wklej do arkusza kalkulacyjnego
─────────────────────────────────────
Razem: 45+ minut na cel, większość to przełączanie kontekstów
```
**osint-mcp-server** daje twojemu agentowi AI 37 narzędzi z 12 źródeł danych przez [Model Context Protocol](https://modelcontextprotocol.io). Agent odpytuje wszystkie źródła równolegle, koreluje dane, identyfikuje zagrożenia i przedstawia zunifikowany obraz wywiadu — w jednej rozmowie.
```
Z osint-mcp-server:
Ty: "Zrób pełny rekonesans target.com"
Agent: → DNS: 4 rekordy A, 3 MX (Google Workspace), 2 NS
→ WHOIS: Zarejestrowane 2019, wygasa 2025, GoDaddy
→ crt.sh: 47 unikalnych subdomen z logów CT
→ HackerTarget: 23 hosty z IP
→ Email: SPF soft-fail (~all), DMARC p=none, brak DKIM
→ Shodan: 3 IP, 12 otwartych portów, Apache 2.4.49 (CVE-2021-41773)
→ VirusTotal: Czysta reputacja, 0 detekcji
→ "target.com ma 47 subdomen, słabe zabezpieczenie email
(SPF soft-fail, DMARC tylko monitoring), i jedno IP
z Apache 2.4.49 ze znanym CVE path traversal.
Priorytet: załataj Apache, ulepsz SPF do -all, ustaw DMARC na p=reject."
```
---
## Czym się różni
Istniejące narzędzia OSINT dają surowe dane z jednego źródła na raz. osint-mcp-server daje twojemu agentowi AI możliwość **rozumowania na wszystkich źródłach jednocześnie**.
Tradycyjny OSINT
osint-mcp-server
Interfejs
12 różnych webowych UI, CLI i API
MCP — agent AI wywołuje narzędzia konwersacyjnie
Źródła danych
Jedna platforma na raz
12 źródeł odpytywanych równolegle
Wyliczenie subdomen
crt.sh LUB SecurityTrails LUB VirusTotal
Agent łączy wszystkie trzy + HackerTarget, deduplikuje
Korelacja
Ręczne kopiowanie-wklejanie między zakładkami
Agent krzyżowo odnosi: "To IP z Shodan pojawia się też w Censys z wygasłym certyfikatem"
Bezpieczeństwo email
Oddzielne wyszukiwania SPF/DMARC/DKIM
Połączona analiza z oceną ryzyka i praktycznymi rekomendacjami
Infrastruktura
GeoIP + BGP + WHOIS oddzielnie
Agent mapuje pełną infrastrukturę: ASN, prefiksy, geolokalizację, własność
Klucze API
Wymagane prawie wszędzie
21 narzędzi działa za darmo, 16 więcej z opcjonalnymi kluczami API
npx osint-mcp-server — jedna komenda, zerowa konfiguracja
---
## Szybki start
### Opcja 1: npx (bez instalacji)
```bash
npx osint-mcp-server
```
21 publicznych narzędzi OSINT działa od razu. Nie są wymagane klucze API.
### Opcja 2: Klonowanie
```bash
git clone https://github.com/badchars/osint-mcp-server.git
cd osint-mcp-server
bun install
```
### Zmienne środowiskowe (opcjonalne)
```bash
# Źródła premium OSINT — wszystkie opcjonalne
export SHODAN_API_KEY=twoj-klucz # Aktywuje 4 narzędzia Shodan
export VT_API_KEY=twoj-klucz # Aktywuje 4 narzędzia VirusTotal
export ST_API_KEY=twoj-klucz # Aktywuje 3 narzędzia SecurityTrails
export CENSYS_API_ID=twoj-id # Aktywuje 3 narzędzia Censys
export CENSYS_API_SECRET=twoj-sekret # Wymagane z CENSYS_API_ID
```
Wszystkie klucze API premium są opcjonalne. Bez nich nadal masz 21 narzędzi obejmujących DNS, WHOIS, crt.sh, GeoIP, BGP, Wayback Machine, HackerTarget i wykrywanie dzierżawy Microsoft 365.
### Połącz z agentem AI
Claude Code
```bash
# Z npx
claude mcp add osint-mcp-server -- npx osint-mcp-server
# Z lokalnego klonu
claude mcp add osint-mcp-server -- bun run /sciezka/do/osint-mcp-server/src/index.ts
```
Claude Desktop
Dodaj do `~/Library/Application Support/Claude/claude_desktop_config.json`:
```json
{
"mcpServers": {
"osint": {
"command": "npx",
"args": ["-y", "osint-mcp-server"],
"env": {
"SHODAN_API_KEY": "opcjonalne",
"VT_API_KEY": "opcjonalne",
"ST_API_KEY": "opcjonalne",
"CENSYS_API_ID": "opcjonalne",
"CENSYS_API_SECRET": "opcjonalne"
}
}
}
}
```
Cursor / Windsurf / inne klienty MCP
Taki sam format konfiguracji JSON. Wskaż komendę na `npx osint-mcp-server` lub ścieżkę lokalnej instalacji.
### Zacznij zapytywać
```
Ty: "Co możesz znaleźć o example.com?"
```
To wszystko. Agent obsługuje DNS, WHOIS, subdomeny, bezpieczeństwo email i więcej automatycznie.
---
## Co może AI
### Rekonesans domeny
```
Ty: "Zrób pełny rekonesans target.com"
Agent: → osint_domain_recon {domain: "target.com"}
→ DNS: Rekordy A wskazują na 3 IP (AWS us-east-1)
→ WHOIS: Zarejestrowane 2018 przez Namecheap, wygasa 2026
→ crt.sh: 62 odkryte subdomeny
→ HackerTarget: 31 hostów z rozwiązanymi IP
→ Email: SPF hard-fail, DMARC p=reject, DKIM znaleziony (selector1)
→ "target.com jest dobrze skonfigurowany pod kątem bezpieczeństwa email.
Znaleziono 62 subdomeny — godne uwagi: staging.target.com,
admin-portal.target.com, api-v2.target.com.
Infrastruktura jest na AWS (us-east-1)."
```
### Mapowanie powierzchni ataku
```
Ty: "Zmapuj powierzchnię ataku dla 203.0.113.50"
Agent: → shodan_host {ip: "203.0.113.50"}
→ geoip_lookup {ip: "203.0.113.50"}
→ bgp_ip {ip: "203.0.113.50"}
→ whois_ip {ip: "203.0.113.50"}
→ dns_reverse {ip: "203.0.113.50"}
→ "203.0.113.50 (Hetzner, DE, AS24940)
Otwarte porty: 22/SSH, 80/HTTP, 443/HTTPS, 8080/HTTP-Proxy
Apache 2.4.51, OpenSSH 8.9, nginx reverse proxy na 8080
Reverse DNS: web1.target.com
3 znane CVE oflagowane przez Shodan"
```
### Wyliczanie subdomen (wieloźródłowe)
```
Ty: "Znajdź wszystkie subdomeny target.com używając każdego dostępnego źródła"
Agent: → crtsh_search {domain: "target.com"} → 62 subdomeny
→ st_subdomains {domain: "target.com"} → 84 subdomeny
→ vt_subdomains {domain: "target.com"} → 41 subdomen
→ hackertarget_hostsearch {domain: "target.com"} → 31 hostów
→ dns_wildcard_check {domain: "target.com"} → Brak wildcard
→ "127 unikalnych subdomen po deduplikacji z 4 źródeł.
Godne uwagi: staging.target.com, dev-api.target.com,
jenkins.target.com (ryzyko eksponowania CI/CD),
old-admin.target.com (potencjalny legacy system)"
```
### Audyt bezpieczeństwa email
```
Ty: "Przeanalizuj postawę bezpieczeństwa email target.com"
Agent: → dns_email_security {domain: "target.com"}
→ dns_spf_chain {domain: "target.com"}
→ m365_tenant {domain: "target.com"}
→ "Bezpieczeństwo Email: WYSOKIE RYZYKO
SPF: ~all (soft fail — możliwy do spoofingu)
DMARC: p=none (tylko monitoring — nie wymusza)
DKIM: Znaleziony dla selector1 (2048-bit, dobry)
Łańcuch SPF: 7 includes, 2 usługi (Google Workspace, SendGrid)
M365: Nie jest dzierżawą Microsoft
Rekomendacje:
1. Ulepsz SPF z ~all do -all
2. Zmień DMARC z p=none na p=quarantine, potem p=reject
3. Dodaj rua= do DMARC dla raportowania zbiorczego"
```
### Wywiad historyczny
```
Ty: "Co działało na target.com 3 lata temu?"
Agent: → wayback_urls {domain: "target.com", limit: 500}
→ st_dns_history {domain: "target.com", type: "a"}
→ wayback_snapshots {url: "https://target.com/robots.txt"}
→ "Historia DNS: target.com przeniósł się z 198.51.100.1 (DigitalOcean)
na 203.0.113.50 (AWS) w 2023.
Wayback znalazł 342 unikalne URL-e w tym:
- /admin/ (usunięty w 2024, był dostępny)
- /api/v1/docs (Swagger UI, nadal w cache)
- /wp-content/ (był WordPress, zmigrowano)
Stary robots.txt zabraniał /internal/ i /debug/"
```
---
## Narzędzia (37 narzędzi)
DNS (6) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `dns_lookup` | Rozwiąż rekordy A, AAAA, MX, TXT, NS, SOA, CNAME, SRV |
| `dns_reverse` | Reverse DNS (PTR) lookup dla adresu IP |
| `dns_email_security` | Analiza SPF + DMARC + DKIM z oceną ryzyka i rekomendacjami |
| `dns_spf_chain` | Rekursywne rozwiązywanie łańcucha SPF include z detekcją usług |
| `dns_srv_discover` | Wykrywanie usług SRV + CNAME (Autodiscover, LDAP, SIP, Kerberos, itp.) |
| `dns_wildcard_check` | Detekcja wildcard DNS przez probe losowej subdomeny |
WHOIS / RDAP (2) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `whois_domain` | RDAP domain lookup — rejestrator, daty, serwery nazw, kontakty |
| `whois_ip` | RDAP IP lookup — nazwa sieci, CIDR, kraj, encje |
Przejrzystość certyfikatów (1) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `crtsh_search` | Wyszukiwanie logów CT przez crt.sh — odkrywanie subdomen + szczegóły certyfikatów |
Shodan (4) — Wymaga SHODAN_API_KEY
| Narzędzie | Opis |
|------|-------------|
| `shodan_host` | Szczegóły IP: otwarte porty, usługi, banery, podatności, OS, ASN |
| `shodan_search` | Wyszukiwanie języka zapytań Shodan (np. `apache port:443 country:US`) |
| `shodan_dns_resolve` | Masowe rozwiązywanie hostname-na-IP przez Shodan |
| `shodan_exploits` | Wyszukiwanie publicznej bazy exploitów (PoC, moduły Metasploit) |
VirusTotal (4) — Wymaga VT_API_KEY
| Narzędzie | Opis |
|------|-------------|
| `vt_domain` | Reputacja domeny, statystyki detekcji, kategorie, rekordy DNS |
| `vt_ip` | Reputacja IP, statystyki detekcji, ASN, sieć |
| `vt_subdomains` | Wyliczanie subdomen przez VirusTotal |
| `vt_url` | Skanowanie URL + analiza malware/phishing |
SecurityTrails (3) — Wymaga ST_API_KEY
| Narzędzie | Opis |
|------|-------------|
| `st_subdomains` | Wyliczanie subdomen (zwraca FQDN) |
| `st_dns_history` | Historyczne rekordy DNS z datami pierwszego/ostatniego wykrycia |
| `st_whois` | Rozszerzony WHOIS z kontaktami rejestrującego/administratora/technicznymi |
Censys (3) — Wymaga CENSYS_API_ID + CENSYS_API_SECRET
| Narzędzie | Opis |
|------|-------------|
| `censys_hosts` | Wyszukiwanie hostów — IP, usługi, porty, lokalizacja, ASN |
| `censys_host_details` | Pełne szczegóły pojedynczego hosta ze wszystkimi usługami |
| `censys_certificates` | Wyszukiwanie certyfikatów po domenie, odcisku, wystawcy |
GeoIP (2) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `geoip_lookup` | Geolokalizacja IP: kraj, miasto, ISP, ASN, detekcja proxy/hosting/VPN |
| `geoip_batch` | Geolokalizacja zbiorcza IP (do 100 IP naraz) |
BGP / ASN (3) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `bgp_asn` | Szczegóły ASN + wszystkie ogłoszone prefiksy IPv4/IPv6 |
| `bgp_ip` | Lookup routingu prefiksu/ASN IP z alokacją RIR |
| `bgp_prefix` | Szczegóły prefiksu + ogłaszające ASN |
Wayback Machine (2) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `wayback_urls` | Odkrywanie zarchiwizowanych URL — znajdź stare endpointy, ukryte ścieżki, usunięte treści |
| `wayback_snapshots` | Historia snapshotów z timestampami i bezpośrednimi linkami do archiwum |
HackerTarget (3) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `hackertarget_hostsearch` | Odkrywanie hostów/subdomen z rozwiązanymi IP |
| `hackertarget_reverseip` | Reverse IP lookup — znajdź wszystkie domeny na IP |
| `hackertarget_aslookup` | Lookup informacji ASN |
Microsoft 365 (2) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `m365_tenant` | Odkryj ID dzierżawy M365, region i konfigurację OpenID |
| `m365_userrealm` | Wykryj typ auth (Managed/Federated), brand federacji, endpointy auth |
Meta (2) — Bez klucza API
| Narzędzie | Opis |
|------|-------------|
| `osint_list_sources` | Lista wszystkich źródeł OSINT, status klucza API i liczby narzędzi |
| `osint_domain_recon` | Szybki rekonesans łączący wszystkie darmowe źródła (DNS + WHOIS + crt.sh + HackerTarget + bezpieczeństwo email) |
---
## Źródła danych (12)
| Źródło | Autoryzacja | Limit zapytań | Co dostarcza |
|--------|------|-----------|-----------------|
| [DNS](https://nodejs.org/api/dns.html) | Brak | Brak | Rekordy A, AAAA, MX, TXT, NS, SOA, CNAME, SRV, PTR |
| [RDAP](https://rdap.org/) | Brak | 1 zap/s | Dane WHOIS dla domen i IP (rejestrator, daty, kontakty, CIDR) |
| [crt.sh](https://crt.sh/) | Brak | 0.5 zap/s | Logi przejrzystości certyfikatów, odkrywanie subdomen |
| [ip-api.com](http://ip-api.com/) | Brak | 45 zap/min | Geolokalizacja IP, ISP, ASN, detekcja proxy/VPN/hosting |
| [BGPView](https://bgpview.io/) | Brak | 0.5 zap/s | Szczegóły ASN, ogłoszone prefiksy, info routingu IP |
| [HackerTarget](https://hackertarget.com/) | Brak | 2 zap/s | Wyszukiwanie hostów, reverse IP, lookup ASN (50/dzień darmowo) |
| [Wayback Machine](https://web.archive.org/) | Brak | 1 zap/s | Zarchiwizowane URL, historia snapshotów, historyczne treści |
| [Microsoft 365](https://login.microsoftonline.com/) | Brak | Brak | Odkrywanie dzierżawy, detekcja federacji, typ auth |
| [Shodan](https://www.shodan.io/) | `SHODAN_API_KEY` | 1 zap/s | Skanowanie portów/usług/banerów w całym internecie |
| [VirusTotal](https://www.virustotal.com/) | `VT_API_KEY` | 4 zap/min | Reputacja domeny/IP/URL, detekcja malware |
| [SecurityTrails](https://securitytrails.com/) | `ST_API_KEY` | 1 zap/s | Historia DNS, wyliczanie subdomen, rozszerzony WHOIS |
| [Censys](https://censys.io/) | `CENSYS_API_ID` | 1 zap/s | Wyszukiwanie hostów, przejrzystość certyfikatów, odkrywanie usług |
---
## Architektura
```
src/
├── index.ts Punkt wejścia, konfiguracja env, MCP stdio
├── types/
│ └── index.ts ToolDef, ToolContext, ToolResult
├── protocol/
│ ├── tools.ts 37 definicji narzędzi (schematy Zod)
│ └── mcp-server.ts Serwer MCP + transport stdio
├── dns/
│ └── index.ts 6 funkcji — lookup, reverse, email, łańcuch SPF, SRV, wildcard
├── whois/
│ └── index.ts 2 funkcje — domena RDAP, IP RDAP
├── crtsh/
│ └── index.ts Wyszukiwanie logów CT z deduplikacją + cachowaniem
├── shodan/
│ └── index.ts Host, search, DNS resolve, exploits
├── virustotal/
│ └── index.ts Domena, IP, subdomeny, skanowanie URL
├── securitytrails/
│ └── index.ts Subdomeny, historia DNS, WHOIS
├── censys/
│ └── index.ts Wyszukiwanie hostów, szczegóły hosta, certyfikaty
├── geoip/
│ └── index.ts Pojedyncza + zbiorcza geolokalizacja IP
├── bgp/
│ └── index.ts ASN, prefiks IP, szczegóły prefiksu
├── wayback/
│ └── index.ts Wyszukiwanie URL + historia snapshotów
├── hackertarget/
│ └── index.ts Wyszukiwanie hostów, reverse IP, ASN
├── m365/
│ └── index.ts Odkrywanie dzierżawy, user realm/federacja
├── meta/
│ ├── sources.ts Sprawdzanie dostępności źródeł
│ └── recon.ts Połączony rekonesans domeny z darmowych źródeł
└── utils/
├── rate-limiter.ts Ogranicznik zapytań oparty na kolejce
├── cache.ts Ogólny cache TTL
└── require-key.ts Helper walidacji klucza API
```
**Decyzje projektowe:**
- **12 dostawców, 1 serwer** — Każde źródło OSINT to niezależny moduł. Agent wybiera które narzędzia użyć na podstawie zapytania.
- **21 darmowych narzędzi** — DNS, WHOIS, crt.sh, BGP, GeoIP, Wayback, HackerTarget i M365 działają bez jakichkolwiek kluczy API. Źródła premium są addytywne.
- **Zapytania równoległe** — `osint_domain_recon` wywołuje 8 źródeł przez `Promise.allSettled`. Jeśli jedno źródło timeout, reszta nadal zwraca dane.
- **Osobne ograniczniki zapytań na dostawcę** — Każde źródło danych ma własną instancję `RateLimiter` skalibrowaną do limitów tego API. Brak wspólnego wąskiego gardła.
- **Cachowanie TTL** — Wyniki crt.sh (15min), BGP (30min), Shodan (5min), VirusTotal (10min) są cachowane aby uniknąć redundantnych wywołań API podczas wielonarzędziowych przepływów pracy.
- **Łagodna degradacja** — Brakujące klucze API nie crashują serwera. Narzędzia zwracają opisowe komunikaty błędów: "Ustaw SHODAN_API_KEY aby włączyć narzędzia Shodan."
- **Analiza łańcucha SPF** — Rekursywne rozwiązywanie include z detekcją pętli, identyfikacją usług (Google Workspace, Microsoft 365, SendGrid, itp.) i sprawdzaniem limitu lookup RFC 7208.
- **2 zależności** — `@modelcontextprotocol/sdk` i `zod`. Wszystkie HTTP przez natywny `fetch`. Wszystkie DNS przez `node:dns/promises`.
---
## Ograniczenia
- Obowiązują limity darmowych tierów: HackerTarget (50/dzień), ip-api.com (45/min), VirusTotal community (4/min)
- crt.sh może być wolny dla dużych domen (zastosowano timeout 30s)
- ip-api.com wymaga HTTP (nie HTTPS) dla darmowego tieru
- API CDX Wayback Machine może timeout dla bardzo popularnych domen
- WHOIS przez RDAP może nie pokrywać wszystkich TLD (niektóre rejestratory jeszcze nie wspierają RDAP)
- macOS / Linux przetestowane (Windows nie testowany)
---
## Część pakietu MCP Security Suite
| Projekt | Domena | Narzędzia |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Testy bezpieczeństwa oparte na przeglądarce | 39 narzędzi, Firefox, testowanie injection |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Bezpieczeństwo chmury (AWS/Azure/GCP) | 38 narzędzi, 60+ kontroli |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | Postawa bezpieczeństwa GitHub | 39 narzędzi, 45 kontroli |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Wywiad podatności | 23 narzędzia, 5 źródeł |
| **osint-mcp-server** | **OSINT i rekonesans** | **37 narzędzi, 12 źródeł** |
---
Wyłącznie do autoryzowanych testów bezpieczeństwa i ocen.
Zawsze upewnij się, że masz odpowiednią autoryzację przed przeprowadzaniem rekonesansu na jakimkolwiek celu.
