尧图网站建设 
theHarvester 负责任使用与授权边界主动探测功能的网络行为、风险与合规实操指南【免费下载链接】theHarvesterE-mails, subdomains and names Harvester - OSINT项目地址: https://gitcode.com/GitHub_Trending/th/theHarvester导读本文基于 theHarvester 官方文档 Responsible-Use-and-Scope.md 展开系统梳理该 OSINT 工具的授权前提、被动收集与主动探测的本质差异、每项增加网络活动的 CLI 选项的完整行为清单以及数据保护与 API 暴露的落地要求。读完本文你将能准确判断某次 theHarvester 运行属于被动收集还是主动触碰目标、理解--routeviews、--dns-resolve、--vhost等选项背后的固定限额与风险边界并掌握一套可复制、可审计的授权与最小化操作清单。一、授权边界只在明确授权范围内运行theHarvester 的官方立场非常明确只在你拥有、或被明确授权评估的目标上使用Responsible-Use-and-Scope.md。这里的授权不是一句笼统的口头许可而应当是一份可落地的书面授权至少需要明确以下五要素授权要素必须明确的内容目标Target允许评估的具体域名、IP、ASN 或 CIDR而非泛泛的整个公司允许的技术Techniques允许哪些探测手段例如是否允许 DNS 爆破、主动 HTTP 探测、截图时间窗口Time window评估的起止时间数据处置规则Data-handling rules结果数据的留存、加密、共享与销毁要求第三方限制Third-party restrictions涉及第三方服务如 Shodan、RouteViews、DNS 解析器时的合规约束同时需要清醒认识到拥有某个 API Key、参加了某个漏洞赏金项目、目标主机公开可达都不等于获得了 blanket authorization一揽子授权。文档原文明确写道Do not treat a provider key, bug-bounty program, or publicly reachable host as blanket authorization.不要把提供商的 API Key、漏洞赏金项目或公开可达的主机当作一揽子授权。二、Passive 不等于 Invisible被动收集同样会留下痕迹theHarvester 的被动发现源passive discovery sources并不直接逐一探测目标主机而是向第三方服务发起查询——例如通过证书透明度日志Certificate Transparency、搜索引擎、DNS 记录聚合服务等获取域名、子域名和邮箱线索。但被动不等于隐形Passive does not mean invisible。文档明确指出第三方服务仍然会收到你查询的域名或组织名称第三方服务可能会记录这些请求第三方服务有自己的服务条款、配额和使用规则acceptable-use rules。因此实操中应当遵循最小化原则只选择完成当前任务所必需的 provider而不是一次性勾选所有可用源。从源码看源的选择通过-b/--source参数完成theHarvester/main.py支持按能力capabilities选择subdomains、emails、ips、asns、urls、people、breaches、all多个能力取并集选择匹配的源。默认并发数为 3 个源DEFAULT_SOURCE_WORKERS 3见 tests/lib/test_enumeration.py默认每个源请求 500 条结果DEFAULT_RESULT_LIMIT 500见 tests/lib/test_enumeration.py。三、会增加网络活动的功能选项全景表文档用一张表格精确划分了 theHarvester 各选项的网络路径Network path与行为这是判断一次运行是否触碰目标的关键依据。下面在保留原文全部信息的基础上补充每个选项在 theHarvester/main.py 中的实际定义与默认行为选项网络路径实际行为源码佐证-r,--dns-resolveResolver-facing面向解析器将发现的主机名解析为 A、AAAA、CNAME 记录theHarvester/main.py-n,--dns-lookupResolver-facing对发现的/24网段执行反向 DNSPTR查询theHarvester/main.py-c,--dns-bruteResolver-facing用候选子域名字典对域名做 DNS 爆破theHarvester/main.py-t,--take-overTarget-facing面向目标检查发现的主机是否存在可接管takeover迹象theHarvester/main.py-s,--shodanProvider-facing面向提供商通过 Shodan Host API 丰富发现的主机信息theHarvester/main.py--routeviewsProvider-facing查询 RouteViews 获取外部路由关系ASN 归属theHarvester/main.py--vhost,--vhost-*Target-facing用候选 SNI 与 HTTPHost值探测字面量 IP 端点theHarvester/main.py--screenshot DIRTarget-facing在浏览器中打开发现的 Web 服务并截图theHarvester/main.py-a,--api-scanTarget-facing对目标请求常见 API 路径theHarvester/main.py值得注意的细节--take-over的文档化语义是检查provider-gated takeover indicators——它不跟随重定向、使用配置的 DNS 解析器与通配符控制且指示迹象不等于已确认接管Indicators are not confirmed takeovers。相关检测规则与测试可见 theHarvester/discovery/takeover.py 及 tests/discovery/test_takeover.py测试还验证了规则集覆盖固定的已验证语料库。--api-scan以 GET、HEAD、OPTIONS 三种方法检查常见 API 路径且请求会跟随重定向见 theHarvester/main.py测试 tests/discovery/test_rapiddns.py 展示了其产出{actions: [api-scan]}形式的 URL 证据。--screenshot属于面向目标的直接浏览器请求且平台相关在 Windows 上检测到--screenshot时会回退到标准事件循环而非使用 winlooptheHarvester/theHarvester.py。--vhost系列是文档中定义的P2 direct interaction主动侦察会直接发送 HTTP 与 TLS 请求。正常使用只需传--vhost内置的安全默认值会自动生效只有显式提供--vhost-endpoint或--vhost-candidate时才会额外启用候选探测。高级控制组--vhost-request-limit、--vhost-runtime-seconds、--vhost-timeout-seconds、--vhost-concurrency、--vhost-insecure是可选的安全覆盖项省略时采用有界默认值见 theHarvester/main.py。更完整的用法参见 Virtual-Host-Discovery.md。给读者的一句结论表格中 Resolver-facing 的行为主要接触第三方 DNS 基础设施Provider-facing 接触第三方商业服务而 Target-facing 才是真正直接向目标资产发起请求的活动——这三类在网络路径、法律风险和授权要求上截然不同。四、DNS 动作并发上限与默认无上限的风险点文档对 DNS 动作给出了精确的工程细节这部分在实操中最容易被低估务必逐条理解4.1 主机名解析Hostname resolution先对发现的主机名去重然后对每个名称查询一次 A、AAAA、CNAME 记录单次运行最多有20 个并发主机名任务20 active hostname jobs每个查询有解析器超时但整个阶段没有默认的查询总数或运行时长上限。这与-r/--dns-resolve的源码帮助文本一致One run-wide phase uses at most 20 hostname jobs; its query and runtime limits are unlimited by default.theHarvester/main.py。这意味着对拥有海量子域名的目标仅靠默认配置可能产生大量 DNS 流量应结合外部限额或提前规划运行窗口。4.2 反向 DNSReverse DNS跨重叠的/24网段对地址去重避免重复查询使用独立的 run-wide 阶段最多20 个并发 PTR 任务每个查询有超时同样没有默认的请求数或运行时长上限见 theHarvester/main.py。4.3 解析器选择Resolver selection文档特别澄清了两个易混淆参数的区别--dns-resolvers IPS_OR_FILE只选择解析器地址用于 DNS 爆破、反向查找或递归 DNS但不启用主机名解析--dns-resolve [IPS_OR_FILE]选择解析器并同时启用主机名解析值可省略以使用默认解析器。两者的取值形式相同逗号分隔的 IP 列表或每行一个 IP 的文本文件theHarvester/main.py。另外递归 DNS 有三个独立的安全阀--dns-recursive-depth递归深度0 表示禁用、--dns-recursive-query-limit跨所有解析器视角的记录查询硬上限、--dns-recursive-runtime-seconds递归 DNS 的硬性运行时长上限见 theHarvester/main.py——它们是文档所述无上限主机名解析之外专门为递归模式提供的受控例外。五、RouteViews独立的 P0 动作与固定限额--routeviews在 theHarvester 中被单独归类为P0 provider 动作与普通发现源彻底解耦。文档强调了两条关键纪律-b all永远不会启用它——--routeviews必须显式传入-l结果限额不会改变它的固定上限——固定为300 次顺序请求 / 300 秒。以上限额在源码中有硬编码佐证theHarvester/lib/routeviews.pyMAX_ROUTEVIEWS_REQUESTS 300 MAX_ROUTEVIEWS_RUNTIME_SECONDS 300.0 MAX_ROUTEVIEWS_INPUT_ITEMS 1_000 MAX_ROUTEVIEWS_RUN_ITEMS 100_0005.1 访客模式与认证模式访客Guest访问以文档化速率运行每秒 1 个请求ROUTEVIEWS_GUEST_INTERVAL_SECONDS 1.0认证访问配置routeviews.key后选择 PeeringDB 验证过的认证访问路径base URL 从https://api.routeviews.org/guest切换到https://api.routeviews.org见 theHarvester/lib/routeviews.py速率提升至文档化的每秒 10 个请求ROUTEVIEWS_AUTHENTICATED_INTERVAL_SECONDS 0.1。Key 的配置方式遵循 theHarvester 统一的 API Keys 机制routeviews: {key: ...}详见 Configuration-and-API-Keys.md 与 theHarvester/lib/core.py。5.2 目标与数据边界域名运行只发送有来源 IP-to-ASN 归属证据的收割 IP没有该归属证据的 IP 不会被发送裸 ASN 发现也不会被扩展成完整前缀清单显式运行目标可以是 ASN、IP 或 CIDR。IP 查询只保留最具体的返回前缀含多源前缀的全部 origin返回的前缀不会递归查询也不会被提升为 DNS 或直接动作的作用域即不会因 RouteViews 结果扩大后续攻击面。5.3 证据性质的限制文档特别提醒把云和 CDN 路由当作关系证据relationship evidence。路由来源route origins与 RPKI 状态不能确立所有权、授权或可达性。测试侧同样验证了该动作与源限额的独立性——test_routeviews_is_an_explicit_passive_action_independent_of_source_limitstests/lib/test_enumeration.py确认 RouteViews 是独立于源限额的显式被动动作。5.4 目标选择建议文档给出明确的实操建议对活跃示例请使用自己拥有或明确授权的域名不要拿大学、上市公司、漏洞赏金目标或保留的示例域名reserved example domains如example.com类保留域来做反复的活跃扫描。六、保护收集到的数据即使源数据是公开的theHarvester 的结果也可能包含私有基础设施、员工邮箱地址、账号标识符等敏感上下文。文档给出了四条数据保护纪律报告、截图和 SQLite 数据库都不要纳入版本控制Keep reports, screenshots, and the SQLite database out of source control——本地结果数据库相关说明见 Results-and-Local-Data.md遵守项目engagement的留存与共享规则在提交 issue 前脱敏凭证、私有目标数据、账户信息和不必要的响应内容绝不为了演示解析或可用性问题而发布原始 provider 响应Never publish raw provider responses。这四条同时也是向项目提交 issue/反馈时的硬性要求与 Contributing-and-Security.md 的安全约定一脉相承。七、API 暴露认证、Cookie 与部署边界theHarvester 提供的 REST API 具备明确的认证与暴露约束对应文档 Rest-API.md所有/api/v1/*路由都要求THEHARVESTER_API_KEY或THEHARVESTER_API_KEY_FILE指向的密钥文件HarvestViewWeb 管理界面被限制为loopback 浏览器来源loopback browser origin并通过派生出的HttpOnly Cookie访问同一批路由Provider 凭证始终保存在服务端不会下发到浏览器。上述机制在 theHarvester/lib/api/auth.py 中有完整实现佐证API Key 支持通过环境变量THEHARVESTER_API_KEY或其文件变体THEHARVESTER_API_KEY_FILE配置浏览器会话 Cookie 名称为theharvester-api-key其值由hmac.sha256(api_key, btheharvester-browser-session)派生browser_session_token校验使用常量时间比较secrets.compare_digest防时序攻击当仅凭 Cookie无 Header访问且方法为GET/HEAD/OPTIONS之外的写操作时会校验请求Origin必须与当前服务 base URL 一致否则返回 403。部署层面的最终纪律是让服务保持在本机localhost若确需远程访问必须在现有 API 认证之前增加网络访问控制network controls与 TLS 终止。八、一套可落地的合规运行清单综合文档与源码建议在每次运行 theHarvester 前依次核对目标本次运行的目标是否在书面授权内域名/IP/ASN/CIDR 精确匹配源选择用-b仅选择任务必需的源与能力克制地使用 provider避免把all当作默认姿势主动动作确认如果传了-r/-n/-c/-t/--vhost/--screenshot/-a中的任何一个请确认授权中明确允许对应技术并意识到 DNS 解析与反向 DNS 阶段默认无查询数与时长上限递归 DNS 除外它有三项硬性限制RouteViews 纪律--routeviews必须显式开启-b all不会启用固定 300 请求/300 秒访客模式 1 req/s配置routeviews.key后为 10 req/s明确它只提供关系证据而非所有权证明数据处置结果文件、截图与 SQLite 库不进版本库遵守留存与共享规则issue 提交前完成脱敏API 部署保持 localhost 运行正确设置THEHARVESTER_API_KEY远程访问必须在 API 认证前叠加网络控制与 TLS。参考资料仓库内可继续深入阅读官方责任使用文档docs/wiki/Responsible-Use-and-Scope.mdCLI 参数定义本主题全部选项的默认值与帮助文本theHarvester/main.pyRouteViews 限额与速率常量theHarvester/lib/routeviews.pyAPI Key 与 Origin 校验实现theHarvester/lib/api/auth.py默认值与源并发测试佐证tests/lib/test_enumeration.py接管检测规则与测试theHarvester/discovery/takeover.py、tests/discovery/test_takeover.py配置 API Keysdocs/wiki/Configuration-and-API-Keys.mdAPI 与本地数据说明docs/wiki/Rest-API.md、docs/wiki/Results-and-Local-Data.md【免费下载链接】theHarvesterE-mails, subdomains and names Harvester - OSINT项目地址: https://gitcode.com/GitHub_Trending/th/theHarvester创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 theHarvester 负责任使用与授权边界：主动探测功能的网络行为、风险与合规实操指南
theHarvester 负责任使用与授权边界主动探测功能的网络行为、风险与合规实操指南【免费下载链接】theHarvesterE-mails, subdomains and names Harvester - OSINT项目地址: https://gitcode.com/GitHub_Trending/th/theHarvester导读本文基于 theHarvester 官方文档 Responsible-Use-and-Scope.md 展开系统梳理该 OSINT 工具的授权前提、被动收集与主动探测的本质差异、每项增加网络活动的 CLI 选项的完整行为清单以及数据保护与 API 暴露的落地要求。读完本文你将能准确判断某次 theHarvester 运行属于被动收集还是主动触碰目标、理解--routeviews、--dns-resolve、--vhost等选项背后的固定限额与风险边界并掌握一套可复制、可审计的授权与最小化操作清单。一、授权边界只在明确授权范围内运行theHarvester 的官方立场非常明确只在你拥有、或被明确授权评估的目标上使用Responsible-Use-and-Scope.md。这里的授权不是一句笼统的口头许可而应当是一份可落地的书面授权至少需要明确以下五要素授权要素必须明确的内容目标Target允许评估的具体域名、IP、ASN 或 CIDR而非泛泛的整个公司允许的技术Techniques允许哪些探测手段例如是否允许 DNS 爆破、主动 HTTP 探测、截图时间窗口Time window评估的起止时间数据处置规则Data-handling rules结果数据的留存、加密、共享与销毁要求第三方限制Third-party restrictions涉及第三方服务如 Shodan、RouteViews、DNS 解析器时的合规约束同时需要清醒认识到拥有某个 API Key、参加了某个漏洞赏金项目、目标主机公开可达都不等于获得了 blanket authorization一揽子授权。文档原文明确写道Do not treat a provider key, bug-bounty program, or publicly reachable host as blanket authorization.不要把提供商的 API Key、漏洞赏金项目或公开可达的主机当作一揽子授权。二、Passive 不等于 Invisible被动收集同样会留下痕迹theHarvester 的被动发现源passive discovery sources并不直接逐一探测目标主机而是向第三方服务发起查询——例如通过证书透明度日志Certificate Transparency、搜索引擎、DNS 记录聚合服务等获取域名、子域名和邮箱线索。但被动不等于隐形Passive does not mean invisible。文档明确指出第三方服务仍然会收到你查询的域名或组织名称第三方服务可能会记录这些请求第三方服务有自己的服务条款、配额和使用规则acceptable-use rules。因此实操中应当遵循最小化原则只选择完成当前任务所必需的 provider而不是一次性勾选所有可用源。从源码看源的选择通过-b/--source参数完成theHarvester/main.py支持按能力capabilities选择subdomains、emails、ips、asns、urls、people、breaches、all多个能力取并集选择匹配的源。默认并发数为 3 个源DEFAULT_SOURCE_WORKERS 3见 tests/lib/test_enumeration.py默认每个源请求 500 条结果DEFAULT_RESULT_LIMIT 500见 tests/lib/test_enumeration.py。三、会增加网络活动的功能选项全景表文档用一张表格精确划分了 theHarvester 各选项的网络路径Network path与行为这是判断一次运行是否触碰目标的关键依据。下面在保留原文全部信息的基础上补充每个选项在 theHarvester/main.py 中的实际定义与默认行为选项网络路径实际行为源码佐证-r,--dns-resolveResolver-facing面向解析器将发现的主机名解析为 A、AAAA、CNAME 记录theHarvester/main.py-n,--dns-lookupResolver-facing对发现的/24网段执行反向 DNSPTR查询theHarvester/main.py-c,--dns-bruteResolver-facing用候选子域名字典对域名做 DNS 爆破theHarvester/main.py-t,--take-overTarget-facing面向目标检查发现的主机是否存在可接管takeover迹象theHarvester/main.py-s,--shodanProvider-facing面向提供商通过 Shodan Host API 丰富发现的主机信息theHarvester/main.py--routeviewsProvider-facing查询 RouteViews 获取外部路由关系ASN 归属theHarvester/main.py--vhost,--vhost-*Target-facing用候选 SNI 与 HTTPHost值探测字面量 IP 端点theHarvester/main.py--screenshot DIRTarget-facing在浏览器中打开发现的 Web 服务并截图theHarvester/main.py-a,--api-scanTarget-facing对目标请求常见 API 路径theHarvester/main.py值得注意的细节--take-over的文档化语义是检查provider-gated takeover indicators——它不跟随重定向、使用配置的 DNS 解析器与通配符控制且指示迹象不等于已确认接管Indicators are not confirmed takeovers。相关检测规则与测试可见 theHarvester/discovery/takeover.py 及 tests/discovery/test_takeover.py测试还验证了规则集覆盖固定的已验证语料库。--api-scan以 GET、HEAD、OPTIONS 三种方法检查常见 API 路径且请求会跟随重定向见 theHarvester/main.py测试 tests/discovery/test_rapiddns.py 展示了其产出{actions: [api-scan]}形式的 URL 证据。--screenshot属于面向目标的直接浏览器请求且平台相关在 Windows 上检测到--screenshot时会回退到标准事件循环而非使用 winlooptheHarvester/theHarvester.py。--vhost系列是文档中定义的P2 direct interaction主动侦察会直接发送 HTTP 与 TLS 请求。正常使用只需传--vhost内置的安全默认值会自动生效只有显式提供--vhost-endpoint或--vhost-candidate时才会额外启用候选探测。高级控制组--vhost-request-limit、--vhost-runtime-seconds、--vhost-timeout-seconds、--vhost-concurrency、--vhost-insecure是可选的安全覆盖项省略时采用有界默认值见 theHarvester/main.py。更完整的用法参见 Virtual-Host-Discovery.md。给读者的一句结论表格中 Resolver-facing 的行为主要接触第三方 DNS 基础设施Provider-facing 接触第三方商业服务而 Target-facing 才是真正直接向目标资产发起请求的活动——这三类在网络路径、法律风险和授权要求上截然不同。四、DNS 动作并发上限与默认无上限的风险点文档对 DNS 动作给出了精确的工程细节这部分在实操中最容易被低估务必逐条理解4.1 主机名解析Hostname resolution先对发现的主机名去重然后对每个名称查询一次 A、AAAA、CNAME 记录单次运行最多有20 个并发主机名任务20 active hostname jobs每个查询有解析器超时但整个阶段没有默认的查询总数或运行时长上限。这与-r/--dns-resolve的源码帮助文本一致One run-wide phase uses at most 20 hostname jobs; its query and runtime limits are unlimited by default.theHarvester/main.py。这意味着对拥有海量子域名的目标仅靠默认配置可能产生大量 DNS 流量应结合外部限额或提前规划运行窗口。4.2 反向 DNSReverse DNS跨重叠的/24网段对地址去重避免重复查询使用独立的 run-wide 阶段最多20 个并发 PTR 任务每个查询有超时同样没有默认的请求数或运行时长上限见 theHarvester/main.py。4.3 解析器选择Resolver selection文档特别澄清了两个易混淆参数的区别--dns-resolvers IPS_OR_FILE只选择解析器地址用于 DNS 爆破、反向查找或递归 DNS但不启用主机名解析--dns-resolve [IPS_OR_FILE]选择解析器并同时启用主机名解析值可省略以使用默认解析器。两者的取值形式相同逗号分隔的 IP 列表或每行一个 IP 的文本文件theHarvester/main.py。另外递归 DNS 有三个独立的安全阀--dns-recursive-depth递归深度0 表示禁用、--dns-recursive-query-limit跨所有解析器视角的记录查询硬上限、--dns-recursive-runtime-seconds递归 DNS 的硬性运行时长上限见 theHarvester/main.py——它们是文档所述无上限主机名解析之外专门为递归模式提供的受控例外。五、RouteViews独立的 P0 动作与固定限额--routeviews在 theHarvester 中被单独归类为P0 provider 动作与普通发现源彻底解耦。文档强调了两条关键纪律-b all永远不会启用它——--routeviews必须显式传入-l结果限额不会改变它的固定上限——固定为300 次顺序请求 / 300 秒。以上限额在源码中有硬编码佐证theHarvester/lib/routeviews.pyMAX_ROUTEVIEWS_REQUESTS 300 MAX_ROUTEVIEWS_RUNTIME_SECONDS 300.0 MAX_ROUTEVIEWS_INPUT_ITEMS 1_000 MAX_ROUTEVIEWS_RUN_ITEMS 100_0005.1 访客模式与认证模式访客Guest访问以文档化速率运行每秒 1 个请求ROUTEVIEWS_GUEST_INTERVAL_SECONDS 1.0认证访问配置routeviews.key后选择 PeeringDB 验证过的认证访问路径base URL 从https://api.routeviews.org/guest切换到https://api.routeviews.org见 theHarvester/lib/routeviews.py速率提升至文档化的每秒 10 个请求ROUTEVIEWS_AUTHENTICATED_INTERVAL_SECONDS 0.1。Key 的配置方式遵循 theHarvester 统一的 API Keys 机制routeviews: {key: ...}详见 Configuration-and-API-Keys.md 与 theHarvester/lib/core.py。5.2 目标与数据边界域名运行只发送有来源 IP-to-ASN 归属证据的收割 IP没有该归属证据的 IP 不会被发送裸 ASN 发现也不会被扩展成完整前缀清单显式运行目标可以是 ASN、IP 或 CIDR。IP 查询只保留最具体的返回前缀含多源前缀的全部 origin返回的前缀不会递归查询也不会被提升为 DNS 或直接动作的作用域即不会因 RouteViews 结果扩大后续攻击面。5.3 证据性质的限制文档特别提醒把云和 CDN 路由当作关系证据relationship evidence。路由来源route origins与 RPKI 状态不能确立所有权、授权或可达性。测试侧同样验证了该动作与源限额的独立性——test_routeviews_is_an_explicit_passive_action_independent_of_source_limitstests/lib/test_enumeration.py确认 RouteViews 是独立于源限额的显式被动动作。5.4 目标选择建议文档给出明确的实操建议对活跃示例请使用自己拥有或明确授权的域名不要拿大学、上市公司、漏洞赏金目标或保留的示例域名reserved example domains如example.com类保留域来做反复的活跃扫描。六、保护收集到的数据即使源数据是公开的theHarvester 的结果也可能包含私有基础设施、员工邮箱地址、账号标识符等敏感上下文。文档给出了四条数据保护纪律报告、截图和 SQLite 数据库都不要纳入版本控制Keep reports, screenshots, and the SQLite database out of source control——本地结果数据库相关说明见 Results-and-Local-Data.md遵守项目engagement的留存与共享规则在提交 issue 前脱敏凭证、私有目标数据、账户信息和不必要的响应内容绝不为了演示解析或可用性问题而发布原始 provider 响应Never publish raw provider responses。这四条同时也是向项目提交 issue/反馈时的硬性要求与 Contributing-and-Security.md 的安全约定一脉相承。七、API 暴露认证、Cookie 与部署边界theHarvester 提供的 REST API 具备明确的认证与暴露约束对应文档 Rest-API.md所有/api/v1/*路由都要求THEHARVESTER_API_KEY或THEHARVESTER_API_KEY_FILE指向的密钥文件HarvestViewWeb 管理界面被限制为loopback 浏览器来源loopback browser origin并通过派生出的HttpOnly Cookie访问同一批路由Provider 凭证始终保存在服务端不会下发到浏览器。上述机制在 theHarvester/lib/api/auth.py 中有完整实现佐证API Key 支持通过环境变量THEHARVESTER_API_KEY或其文件变体THEHARVESTER_API_KEY_FILE配置浏览器会话 Cookie 名称为theharvester-api-key其值由hmac.sha256(api_key, btheharvester-browser-session)派生browser_session_token校验使用常量时间比较secrets.compare_digest防时序攻击当仅凭 Cookie无 Header访问且方法为GET/HEAD/OPTIONS之外的写操作时会校验请求Origin必须与当前服务 base URL 一致否则返回 403。部署层面的最终纪律是让服务保持在本机localhost若确需远程访问必须在现有 API 认证之前增加网络访问控制network controls与 TLS 终止。八、一套可落地的合规运行清单综合文档与源码建议在每次运行 theHarvester 前依次核对目标本次运行的目标是否在书面授权内域名/IP/ASN/CIDR 精确匹配源选择用-b仅选择任务必需的源与能力克制地使用 provider避免把all当作默认姿势主动动作确认如果传了-r/-n/-c/-t/--vhost/--screenshot/-a中的任何一个请确认授权中明确允许对应技术并意识到 DNS 解析与反向 DNS 阶段默认无查询数与时长上限递归 DNS 除外它有三项硬性限制RouteViews 纪律--routeviews必须显式开启-b all不会启用固定 300 请求/300 秒访客模式 1 req/s配置routeviews.key后为 10 req/s明确它只提供关系证据而非所有权证明数据处置结果文件、截图与 SQLite 库不进版本库遵守留存与共享规则issue 提交前完成脱敏API 部署保持 localhost 运行正确设置THEHARVESTER_API_KEY远程访问必须在 API 认证前叠加网络控制与 TLS。参考资料仓库内可继续深入阅读官方责任使用文档docs/wiki/Responsible-Use-and-Scope.mdCLI 参数定义本主题全部选项的默认值与帮助文本theHarvester/main.pyRouteViews 限额与速率常量theHarvester/lib/routeviews.pyAPI Key 与 Origin 校验实现theHarvester/lib/api/auth.py默认值与源并发测试佐证tests/lib/test_enumeration.py接管检测规则与测试theHarvester/discovery/takeover.py、tests/discovery/test_takeover.py配置 API Keysdocs/wiki/Configuration-and-API-Keys.mdAPI 与本地数据说明docs/wiki/Rest-API.md、docs/wiki/Results-and-Local-Data.md【免费下载链接】theHarvesterE-mails, subdomains and names Harvester - OSINT项目地址: https://gitcode.com/GitHub_Trending/th/theHarvester创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考