asset-mapping-playbook

资产测绘作战手册

本技能随 asset-mapping 预设走。 persona 中的硬规则（准确性>数量、只读探测、scope 白名单、表达纪律、删除纪律）不在此重复。 管线脚本随本技能目录自带：scripts/（s0→s7 + fpdb_update + _common）与 assets/（模板与种子库）。以下 $S 指本技能目录（从技能目录解析获得），所有脚本在测绘工作目录 <work> 下运行（--work 参数）。

0. 定位与口径

把一个集团企业（母公司 + 授权二级/三级单位）的公网资产测成一份可审计的测绘 Excel：每条资产有归属单位、ICP 备案、来源、指纹、关联度。

• 口径 = 范围内单位全部公网资产；准确性优先于数量——一条错归属比漏十条更伤。
• 止步于测绘 + 指纹（只读、温和速率）；打点/弱口令/漏洞利用走攻击类模式与各自授权。
• 交付物落工作区根目录（<项目名>_资产测绘_<日期>.xlsx），不落 reports/。

1. 启动检查（每次先做）

key 三分支（按序判定）：

1. <work>/keys.json 存在且非空 → 照常用，先跑 --doctor 体检每个 key 的有效性与剩余配额（Hunter 体检耗 1 积分，其余免费），并打印能力矩阵（ICP 反查/证书 org 反查/中文公司名反查是否可用）。
2. keys.json 缺失或为空 → 脚本自动只读探测 ~/.dsh/hunter/hunter.db（dsh-hunter 已配的 fofa/hunter/quake key）：有则进程内借用（输出标注「来源: dsh-hunter」，不落盘），doctor 照常体检；读取失败静默当无。
3. 全无 key → 询问用户是否提供（附各平台申请地址，见 refs/api-docs.md）；用户不给则走免费降级链：crt.sh/RapidDNS 子域 → DNS 存活/泛解析 → 温和探测 + 种子指纹（缺平台查询 = 缺 ICP 反查与组件字段，资产面收窄到子域名展开，如实告知用户）。

前置输入两文件（模板在 assets/）：

• keys.json：五平台密钥（FOFA/Hunter/Quake/ZoomEye/Shodan），缺哪个跳过哪个，不强制配齐。
• scope.json：授权范围。units[] = 单位名 + 主域 + 备案号；sub_overrides = 手工归属例外；group_domains_out_of_scope = 集团域（未授权子域一律范围外）；keywords = 靶标关联度打分词。初稿允许只有单位名和少量主域——S1/S2 会迭代补全。

python3 $S/scripts/s0_expand.py --work <work> --doctor   # 启动体检（key 三分支内建于脚本）

2. S0 目标展开 + 范围定界（半自动，有人工核对关卡）

用户给五种入口之一，统一展开成 scope 草稿：

python3 $S/scripts/s0_expand.py --work <work> --domain a.com,b.com   # 域名入口
python3 $S/scripts/s0_expand.py --work <work> --ip 1.2.3.4           # IP 入口（--cidr 1.2.3.0/24）
python3 $S/scripts/s0_expand.py --work <work> --group "XX集团"        # 集团/单位名入口（--unit 同）
python3 $S/scripts/s0_expand.py --work <work> --keyword "XX平台"      # 关键字入口（给查询词建议）

• 域名入口：FOFA domain= / Hunter domain.suffix= 小样本（50 条）→ 备案号 + 关联主域候选。
• IP/CIDR 入口：FOFA ip= 反查归属 → 写入草稿 targets_ip，s5 阶段网段内资产自动算范围内。
• 集团名入口：Hunter company="名"（中文备案公司名，唯一支持）+ FOFA org="名"（证书 O 字段，多为英文）→ 主体/备案号/主域候选。多级控股子公司穿透（二级/三级/四级/全资）全自动不可行——按脚本输出的 checklist 走爱企查 BFS（持股 ≥50% 或授权口径，深度 ≤4），操作矩阵见 refs/osint-sources.md §1。
• 注册域归约内置国内二级后缀处理（com.cn 等），不会把 sub.n1b.com 切错成三段。