Откройте TERMINAL.command. При вводе команды первой в строке её памятка появится в отдельном окне. Для выбора другой карточки введите osint-guide или используйте список в окне. Для сайтов и графических приложений откройте карточку из списка.
Проверка медиа, геолокация, источники
Выберите раздел по типу материала. Откройте карточку инструмента и проверьте пример из неё на своём файле.
Веб · Каталог, не единая программаНавигация по направлениям OSINT
Раскройте ветку по исходному идентификатору, например домену. Перейдите к выбранному источнику и запишите запрос и результат.
Веб · Ссылки требуют самостоятельной проверкиМетодика цифровых расследований
Выберите русский PDF. Начните с раздела о сохранении материалов и перенесите поля формы сбора в журнал дела.
Документ · Есть русский язык; ссылка на легальную публикациюУчебные расследования
Откройте одно задание. Запишите предполагаемый ответ и ссылки на независимые признаки до просмотра разбора.
Веб · Проверяйте условия заданийИсследование компаний и владельцев
Выберите страну регистрации компании. Выпишите реестр и проверьте юридический номер в первичной записи.
Руководство · Дата обновления руководства — 2023Публичные профили по нику
sherlock YOUR_OWN_HANDLE --site GitHub --timeout 15 — замените YOUR_OWN_HANDLE своим ником. Откройте найденный профиль и сверьте публичные ссылки.
Установлен · Запросы к платформам; ложные совпаденияКандидаты профилей и отчёты
maigret --help — проверьте фильтры своей версии. Для проверки собственного ника используйте maigret YOUR_OWN_HANDLE и изучите страницы-кандидаты.
Доустановка · Совместимость с Python 3.14 не проверенаРегистрационные сведения
Введите доменное имя в ICANN Lookup. Сохраните дату регистрации, регистратора и время получения результата.
Веб · Не все данные о владельце публичныИстория сертификатов и имена
Введите example.com в поиск сертификатов. Откройте запись и сравните имена в сертификате со сроком его действия.
Веб · Сертификат не доказывает владениеПассивные источники поддоменов
subfinder -ls — покажет доступные источники. Для своего домена выберите нужный источник и сохраните найденные имена для проверки по архивным документам.
Доустановка · Часть источников требует APIСбор по выбранным источникам
Из папки проекта выполните uv run theHarvester -h. Для своего домена выберите источники crtsh и certspotter, затем сохраните отчёт и статусы провайдеров.
Доустановка · Текущий README: Python 3.14 и uvМоделирование внешней инфраструктуры
Начните с amass -h и документации установленной версии. Для инвентаризации своей организации укажите согласованные границы и используйте пассивные источники.
Доустановка · Режимы и синтаксис зависят от версии; активные функции отдельноНаблюдения интернет-сервисов
Войдите в сервис и откройте запись своего IP. Зафиксируйте время последнего наблюдения и сравните его со своей инвентаризацией.
Веб/API · Аккаунт, ключи и ограничения тарифаХосты и сертификаты
Найдите сертификат по известному отпечатку. Сохраните время наблюдения и проверьте срок действия сертификата.
Веб/API · Сверяйте текущий синтаксис платформыИсторические сканы страниц
Откройте Search и найдите существующий результат по своему домену. Изучите дату и снимок страницы.
Веб/API · Новый scan посещает сайт; публичность зависит от режимаКорреляция модульного сбора
Откройте локальный интерфейс. Для своего домена выберите пассивные источники, проверьте состав модулей и экспортируйте наблюдения с указанием источника.
Доустановка · Активность и ключи зависят от модуля; зависимости не провереныМодульная среда исследования
После запуска recon-ng откройте help. Создайте рабочее пространство и изучите описание и требования выбранного источника до его подключения.
Доустановка · Модули проверять отдельноLEI и связи юридических лиц
Введите название компании в LEI Search. Сверьте страну, юридический номер, LEI и дату обновления записи.
Веб/API · Не полный реестр всех компаний и бенефициаровБританские реестровые документы
Найдите компанию по номеру. В Filing history скачайте документ за нужный период и укажите страницу с реквизитами.
Веб/API · Поданные сведения требуют сопоставленияНемецкий торговый реестр
Выберите поиск по регистрационному суду и номеру. Откройте выписку и проверьте дату интересующей записи.
Веб · Доступ и виды документов различаютсяНемецкие корпоративные публикации
Найдите организацию по полному юридическому названию. Ограничьте публикации периодом и сохраните название и дату документа.
Веб · Условия получения документов проверятьРегуляторная отчётность США
Найдите эмитента по CIK или тикеру. Выберите тип формы и сохраните accession number, дату подачи и отчётный период.
Веб/API · Не все американские компании обязаны подавать документыПоиск реестровых компаний
Введите название и юрисдикцию. Из карточки перейдите в реестр и проверьте регистрационный номер на дату исследования.
Веб/API · API и переиспользование по условиям сервисаКандидаты санкций и PEP
Введите имя или номер организации. Сопоставьте кандидата с официальным списком по идентификаторам и дате действия записи.
Веб/API · Коммерческим пользователям нужна лицензия данныхМодель данных владения
Откройте схему используемой версии. Запишите стороны отношения, вид контроля, период и источник каждого утверждения.
Стандарт · Не готовая полная база владельцевЗакупки ЕС
Выберите поиск уведомлений и укажите номер закупки. Сопоставьте первоначальную публикацию, присуждение и последующие изменения.
Веб · Карточка и изменения контракта имеют разные датыПолнотекстовый поиск и сущности
Введите уникальный идентификатор в поиск доступного корпуса. Откройте исходный документ и запишите страницу найденного фрагмента.
Веб/доустановка · Права на наборы и загрузки различаютсяОчистка и сверка таблиц
Создайте проект из копии CSV. Примените фасет к столбцу названий и проверьте каждую предложенную группу перед объединением.
Доустановка · Clustering не доказывает идентичностьЛокальное OCR
tesseract --list-langs показывает языки. Команда tesseract page.png stdout -l rus выводит текст скана, если установлена русская модель. Сверьте числа с оригиналом.
Доустановка · Нужны модели языка; сверять с оригиналомТекст и рендеринг PDF
pdfinfo report.pdf показывает сведения о PDF. Выполните pdftotext -layout report.pdf report.txt и проверьте порядок колонок по странице оригинала.
Доустановка · Порядок таблиц может терятьсяВизуализация сетей
Импортируйте practice/entities.csv как узлы и practice/edges.csv как рёбра. Проверьте соответствие Id, Source и Target перед визуализацией.
Доустановка · Метрики зависят от полноты корпусаИсследовательские графы и transforms
Создайте граф и добавьте известную сущность. Перед запуском transform прочитайте, какие данные и какому провайдеру он передаёт.
Доустановка · Лицензия и платные источники; данные уходят провайдерамСпутниковые данные
Выберите участок, период и коллекцию. Откройте две сцены и запишите их идентификаторы, даты и облачность над участком.
Веб · Облака, разрешение, время съёмкиКарты, слои и измерения
Добавьте слой через диспетчер источников. Проверьте систему координат и единицы измерения до сравнения расстояний.
Доустановка · Проверять CRS и точность исходных данныхПоиск объектов OSM
В Overpass Turbo приблизьте учебный участок. Через мастер выберите тип публичного объекта, выполните запрос и сохраните GeoJSON с датой.
Веб/API · Неполнота карты и лимиты запросовСолнечная геометрия
Отметьте известное место и дату. Сопоставьте направление солнца с ориентацией объектов на фотографии.
Веб · Не самостоятельное доказательство времениТермальные наблюдения
Выберите период и слой спутника. Откройте наблюдение и запишите время, разрешение и уровень уверенности.
Веб · Не определяет причину и точный контур пожараМетаданные локальных файлов
exiftool -a -G1 -s photo.jpg читает метаданные. Сравните DateTimeOriginal, часовой пояс и сведения о преобразовании файла.
Установлен · Метаданные можно менятьПомощник проверки медиа
Откройте вкладку ключевых кадров, укажите публичное видео и выберите отличительный кадр для обратного поиска. Проверьте дату найденной публикации.
Расширение, не установлено · Часть функций зависит от внешних сервисовКадры и параметры видео
ffprobe -v error -show_format video.mp4 показывает параметры. ffmpeg -i video.mp4 -frames:v 1 frame.jpg сохраняет первый кадр для проверки.
Доустановка · Перекодирование меняет файл; сохраняйте оригиналПодписанное происхождение контента
Откройте спецификацию по версии манифеста. При проверке подписи запишите подписанта, статус доверия и историю изменений.
Стандарт · Подпись не доказывает правдивость сценыСохранение страницы одним HTML
Откройте нужную страницу и нажмите кнопку SingleFile. Проверьте сохранённый HTML без сети и запишите исходный URL.
Расширение, не установлено · Захват надо проверить офлайнИнтерактивный веб-захват
Начните запись в приложении, посетите нужную страницу и раскройте важные элементы. Завершите захват, экспортируйте архив и проверьте воспроизведение.
Расширение/доустановка · Динамические элементы требуют проверкиВеб-архивирование и WACZ
Создайте задачу захвата для согласованных страниц, задайте границы переходов и лимит. Проверьте воспроизведение результата и журнал ошибок.
Доустановка/сервис · Сложнее CLI; условия хостинга различаютсяИстория опубликованных снимков
Введите точный URL, выберите дату и откройте захват. Запишите исходный и архивный адреса, включая время снимка.
Веб · Дата снимка не равна первой публикацииНаблюдения воздушного движения
Найдите историческое наблюдение по ICAO-коду. Сверьте время UTC, покрытие и регистрационные сведения за тот же период.
Веб/API · Покрытие и доступ к истории ограниченыИдентификаторы судов
Проверьте формат известного номера IMO по схеме организации. Сопоставьте номер с реестровой записью и прежними названиями судна.
Справочник · Не трекер текущего движенияНовостные упоминания и события
Выберите термин и диапазон дат. Откройте найденные публикации и объедините перепечатки одного материала.
Веб/API · Машинная классификация и неполный охватПубличные транзакции Bitcoin
Выберите нужную сеть Bitcoin и вставьте txid. Сверьте блок, время и выходы транзакции.
Веб/API · Адрес не равен человекуТранзакции и контракты Ethereum
Введите хеш транзакции Ethereum. Проверьте статус, блок, контракт и события передачи токенов.
Веб/API · Метки и интерпретации требуют независимой проверкиРазбор JSON
jq . practice/freshness/crossref.json выводит читаемый JSON. jq -r .DOI practice/freshness/crossref.json извлекает только DOI.
Установлен · Проверять схему ответа APIПоиск в локальном тексте
rg -n -i 'source_id' templates ищет строки в шаблонах. Укажите каталог и используйте номера строк для возврата к контексту.
Установлен · Не заменяет OCRУстройства, TCP/UDP-порты и сервисы
nmap -sT -Pn -n -p 80,443 127.0.0.1 проверяет два TCP-порта этого Mac. Сопоставьте состояния с запущенными локальными службами.
Установлен · Активные пробы; свой/согласованный диапазонIPv4 в локальном сегменте
arp-scan --help показывает параметры. Для своей локальной сети уточните интерфейс через networksetup -listallhardwareports и укажите его при запуске с --localnet.
Установлен · Нужны права; не проходит через маршрутизаторМаршрут и задержки
sudo mtr --report --report-cycles 10 АДРЕС_СВОЕГО_ШЛЮЗА собирает десять измерений. Сравните задержку и потери на конечном узле.
Установлен · Промежуточные узлы могут ограничивать ICMPТест пропускной способности
На своём сервере запустите iperf3 -s -1. На втором устройстве выполните iperf3 -c АДРЕС_СЕРВЕРА -t 10 и сравните скорость отправки и приёма.
Установлен · Нужны обе стороны; создаёт нагрузкуЗахват и чтение пакетов
tcpdump -nn -r capture.pcap читает имеющийся файл захвата. Добавьте фильтр 'port 53' для обычного DNS.
В составе macOS · Для захвата нужны BPF-праваГрафический анализ PCAP
Откройте свой PCAP через File → Open. Введите dns в поле фильтра отображения и раскройте запрос и ответ.
Доустановка · BPF-права для захвата; GUI не установленНайти исторические захваты конкретного URL
Выберите коллекцию по периоду, затем введите точный URL. Сохраните дату захвата и digest результата.
Публичный индекс · Запишите collection ID, timestamp, digest и HTTP-статус. Охват выборочный.Связать публикацию с DOI и издателем
Найдите работу по DOI. Сравните published, created и indexed на примере practice/freshness/crossref.json.
API · Даты публикации, регистрации и обновления записи различаются.Поиск работ, организаций и цитирований
Найдите работу по DOI, запишите OpenAlex ID и проверьте аффилиацию на дату публикации. Для API используйте условия доступа из документации.
API · Проверьте ключ и квоту. Сопоставляйте DOI и аффилиацию автора на дату работы.Найти внешние идентификаторы через SPARQL
Выберите пример запроса в Query Service и ограничьте результат через LIMIT. Перейдите к ссылке у конкретного утверждения.
Веб/API · Проверяйте ссылку при утверждении и её дату.Воспроизвести выбор спутниковых сцен
Найдите сцену по геометрии и периоду. Сохраните collection, item ID и выбранный asset для повторной загрузки.
Стандарт · Сохраните collection, item ID, геометрию, время и asset.Задать типы и проверяемые ключи таблиц
Задайте названия, типы и обязательность столбцов своей таблицы. Проверьте уникальность первичного ключа перед объединением выгрузок.
Спецификация · Храните исходные ID строками, включая начальные нули.Описать происхождение производного материала
Для исходника, извлечённого текста и итоговой записи отметьте действие преобразования и связь с предыдущим объектом.
Рекомендация W3C · Различайте исходный объект, действие и исполнителя.Проверить формат долговременного веб-захвата
Откройте описание WARC и сверьте типы записей архива. Для подтверждения сохранности воспроизведите нужную страницу локально.
Справочник форматов · Проверяйте воспроизводимость захваченной страницы.Команда терминала
osint-case new study создаёт папку дела. osint-case hash cases/study/originals выводит SHA-256 файлов.
В составе набора или macOS ·Команда терминала
osint-review cases/study проверяет оригиналы, хеши и ссылки из графа. Исправьте строки, указанные в результате.
В составе набора или macOS ·Команда терминала
ndiff before.xml after.xml сравнивает два сохранённых отчёта Nmap в XML.
В составе набора или macOS ·Команда терминала
ncat -vz 127.0.0.1 8000 проверяет соединение с локальной службой на порту 8000.
В составе набора или macOS ·Команда терминала
nping --icmp -c 3 127.0.0.1 отправляет три диагностические пробы этому компьютеру. Для ICMP могут понадобиться повышенные права.
В составе набора или macOS ·Команда терминала
curl -I https://example.com/ выводит HTTP-заголовки публичной страницы.
В составе набора или macOS ·Команда терминала
dig example.com A +noall +answer выводит ответ DNS с TTL.
В составе набора или macOS ·Команда терминала
whois example.com запрашивает регистрационные сведения. Если сервер вернул неполные данные, откройте карточку ICANN RDAP.
В составе набора или macOS ·Команда терминала
shasum -a 256 photo.jpg вычисляет SHA-256 локального файла.
В составе набора или macOS ·Изучить файловую систему образа
На рабочей копии образа выполните mmls image.dd. Запишите начало нужного раздела и размер сектора. Передайте смещение в секторах параметру -o команды fls и сохраните список записей.
Дополнительная программа · Локально. Ошибка в смещении раздела меняет результат.Исследовать образ через графический интерфейс
Создайте дело, выберите Disk Image как источник и подключите копию образа. Сверьте часовой пояс, отметьте нужные записи и экспортируйте отчёт с путями к файлам.
Дополнительная программа · Локальный анализ. Для этого Mac проверьте поддерживаемую платформу или используйте отдельную Windows-среду.Восстановить файлы по сигнатурам
Выберите копию образа, ограничьте типы файлов в File Opt и укажите другой диск для результатов. Сверьте хеши найденных дубликатов.
Дополнительная программа · Локально. Имена и исходная структура каталогов часто утрачены.Исследовать сохранённый образ оперативной памяти
Для своего Windows-образа начните с vol -f memory.raw windows.info. Затем сравните список процессов windows.pslist с временем получения снимка.
Дополнительная программа · Анализ образа локальный. Символьные таблицы могут скачиваться из сети.Собрать хронологию из нескольких видов журналов
Выберите копию каталога с журналами и создайте хранилище через log2timeline.py по справке установленной версии. В psort.py отберите период и сохраните исходные временные зоны.
Дополнительная программа · Локально. Несколько записей одного события могут происходить из общего источника.Сопоставить несколько хронологий
Создайте sketch в своём экземпляре, импортируйте хронологии и задайте интервал в UTC. Откройте соседние события и сохраните запрос вместе с источниками.
Дополнительная программа · Данные передаются выбранному серверу Timesketch.Разобрать сохранённые журналы Windows EVTX
Посмотрите hayabusa csv-timeline --help. Укажите каталог копий EVTX, сохраните результат и проверьте событийный ID и исходную запись у интересующего совпадения.
Дополнительная программа · Локально. Вывод зависит от набора правил и полноты журналов.Искать события в EVTX
Откройте chainsaw search --help. Найдите в копии журналов известное имя службы и сверьте компьютер, время и идентификатор записи.
Дополнительная программа · Локально. Одно совпадение строки требует контекста.Проверить файлы известными правилами
Выполните yr scan --help. Выберите проверенное правило и локальный образец, сохраните название правила, его версию и хеш файла.
Дополнительная программа · Локально. Совпадение сигнатуры требует ручной проверки.Определить вероятные возможности бинарного файла
На копии файла запустите capa sample.exe. Изучите совпавшие правила и сохраните версию набора правил с SHA-256 образца.
Дополнительная программа · Статический анализ локален. Упаковка и обфускация снижают полноту.Извлечь строки из бинарного файла
В изолированной аналитической среде выполните floss sample.exe и сохраните вывод. Сверьте найденные строки с их контекстом до включения в отчёт.
Дополнительная программа · Локально. Наличие адреса в файле само по себе не подтверждает соединение.Исследовать структуру документов Office
Запустите oleid sample.doc на копии документа. Проверьте тип контейнера и признаки макросов, сохранив вывод и хеш оригинала.
Дополнительная программа · Локальный статический анализ.Распознать формат по содержимому
Выполните sf sample.bin. Сохраните идентификатор формата и версию базы сигнатур, сравните результат с расширением файла.
Дополнительная программа · Локально. Обновление базы требует интернета.Преобразовать PCAP в журналы соединений
В пустой рабочей папке выполните zeek -r capture.pcap с путём к своему захвату. Найдите запись в conn.log и сопоставьте её uid с доступными протокольными журналами.
Дополнительная программа · Обработка сохранённого PCAP локальна.Проверить сохранённый трафик правилами обнаружения
Используйте режим чтения PCAP с параметром -r и отдельным каталогом результатов. Сопоставьте alert в eve.json с пакетом, направлением соединения и версией правила.
Дополнительная программа · Локально. Качество вывода зависит от конфигурации и правил.Отобрать пакеты без графического интерфейса
Выполните tshark -r capture.pcap -Y dns. Для воспроизведения сохраните фильтр и номер интересующего кадра.
Дополнительная программа · Чтение локального захвата. Учитывайте видимость трафика в точке записи.Собрать сведения об узлах из PCAP
Откройте собственный PCAP и изучите вкладку Hosts. Сопоставьте адрес, протокол и время с кадрами в Wireshark.
Дополнительная программа · Локально. Поддержка платформ и функции зависят от редакции.Сравнить хеш с каталогом известных файлов
Вычислите SHA-256 своей копии и отправьте в сервис только хеш. Сохраните источник совпадения и дату ответа.
Онлайн-сервис · Внешний сервис получает хеш. Отсутствие записи оставляет статус неизвестным.Прочитать существующий отчёт по хешу
Вставьте SHA-256 в поиск и откройте существующую карточку. Сравните дату последнего анализа и разногласия детекторов.
Онлайн-сервис · В режиме поиска провайдер получает хеш. Загрузка файла передаёт его содержимое.Проверить ранее зарегистрированный вредоносный URL
Найдите известный публичный URL в базе. Прочтите дату регистрации и последний статус непосредственно в карточке.
Онлайн-сервис · Провайдер получает поисковый запрос. Состояние URL могло измениться.