【免费下载链接】osirisOpen Source Global Intelligence Platform - Real-Time OSINT Dashboard - A Palantir Alternative - 2nZNHm3Lr9umG3DVrzYwHgktwkuKuJRXqqRqs3ewpump项目地址https://gitcode.com/gh_mirrors/osiris14/osiris点击查看免费下载导读OSIRISOpen Source Intelligence Reconnaissance Integrated System是一个开源全球情报平台聚合实时航班、CCTV 摄像头网络、地震监测、冲突地带地图与 24/7 新闻流并提供端口扫描、WHOIS/DNS、CVE 漏洞查询等 RECON 侦察工具。因其天然具备「扫描、探测、情报采集」能力仓库根目录下的 SECURITY.md 定义了整个项目的安全边界一方面从使用方角度规定了**责任使用Responsible Usage的四项基本原则——仅限防御用途、仅限授权目标、遵守法律、禁止恶意意图另一方面从维护方角度定义了漏洞报告Reporting a Vulnerability**流程。本文以该文档为主体结合仓库内的 SSRF 防护实现、扫描器代理路由、CCTV 代理白名单、OFAC SDN 制裁交叉校验 与 隐私页面 等源码证据深度解读这些安全策略在代码中的落地方式帮助读者既理解「该怎样用」也理解「系统如何自我约束」。一、文档定位一份面向使用者与贡献者的安全契约SECURITY.md 全文分为两大部分角色清晰章节面向对象核心诉求Responsible Usage责任使用所有使用 OSIRIS 工具、脚本与情报能力的人划定合法的使用边界Reporting a Vulnerability漏洞报告发现 OSIRIS 代码库自身安全缺陷的开发者/研究者建立私密、有序的披露渠道它不是一份关于「如何配置防火墙或密钥」的运维手册而是一份行为契约——先规定「什么能用、什么不能用」再规定「发现问题找谁、怎么说」。这与 OSIRIS 的产品定位高度一致项目提供强大的 OSINT 与网络监控能力README 中明确列出的能力包括端口扫描、DNS/WHOIS 查询、SSL/TLS 检查、CVE 查询、加密钱包追踪、OFAC SDN 制裁搜索等能力越强边界条款越必要。二、责任使用Responsible Usage四条铁律逐条拆解文档原文明确了使用者必须同意的四项条款逐条结合仓库实际能力展开2.1 仅限防御用途Defensive Use OnlyThe tools, scripts, and intelligence capabilities provided in this repository must be used strictly for defensive, educational, and authorized monitoring purposes.仓库中的工具几乎全部围绕「观察与核验」设计实时航班追踪、公开 CCTV 摄像头聚合、地震/火灾/天气监测、新闻流、卫星轨道数据以及 RECON 工具箱中的域名/IP 查询、证书分析、漏洞检索。从架构看这些能力服务于态势感知situational awareness与防御性情报分析而非攻击执行。README 的「Conflict Zone Monitoring」「Telegram OSINT Layer」等模块进一步印证其定位是情报可视化与分析而非武器化利用。2.2 仅限授权目标Authorized TargetsDo not use OSIRIS to scan, probe, or interact with infrastructure, networks, or systems that you do not own or have explicit authorization to monitor.这条直接约束 RECON 工具箱中的扫描类功能。值得注意的是代码层面已经内置了与之一致的强制机制扫描类型白名单扫描器代理路由 只开放quick、ssl、headers、rdns、subdomains、tech、whois、geoloc、vuln九种扫描并明确注释说明deep65535 端口全扫、banner、traceroute、ports四种危险扫描已从公开访问中移除理由是「在未认证场景下危险deep 扫描可充当 DDoS 放大器、banner 会以我们的 IP 采集目标软件版本、traceroute 会暴露托管基础设施」目标合法性校验所有扫描请求必须通过validateHost()校验见下文第四章私有网段、保留地址、内网主机名一律拒绝限流约束每个客户端 IP 每分钟最多 5 次扫描超出返回429 Rate limit exceeded。2.3 遵守法律Compliance with LawsYou are responsible for ensuring that your use of OSIRIS complies with all applicable local, state, national, and international laws and regulations.OSINT 与扫描行为在不同司法辖区面临不同的法律边界如《计算机安全法》《网络安全法》、CFAA 类法律。文档将此责任明确划归使用者这是开源安全工具的通行做法。仓库 隐私页面 的「Good to know」一节也有呼应Scans are rate limited and kept away from private networks, but whether you may scan a system is between you and its owner.——即代码能帮你远离内网但「是否获准扫描某系统」仍由使用者与系统所有者之间决定。2.4 禁止恶意意图No Malicious IntentAny use of OSIRIS for malicious activities, offensive cyber operations, or unauthorized data harvesting is strictly prohibited.同样代码层面通过多重防护落实了这一条款的「工具侧」CCTV 代理采用域名白名单机制详见第五章杜绝开放代理滥用外部数据源请求经过 SSRF 防护与限流防止被当作跳板攻击内网Telegram 层仅抓取公开频道经由t.me/s/channel的未认证 web 预览README 明确说明无 Bot API token、无 MTProto不涉及任何非公开数据采集。2.5 免责声明The creators and contributors of OSIRIS are not responsible for any misuse or damage caused by this software. Use it responsibly and ethically.这是标准的开源安全工具免责条款与 LICENSE 的 MIT 许可精神一致代码以「AS IS」形式提供维护者不对使用者的行为负责。三、责任使用背后的工程实践不是口号是硬约束SECURITY.md 的条款如果只停留在文档层面价值有限本仓库的可贵之处在于这些安全边界在源码中被实现为强制性校验。以下是文档条款对应的核心工程机制3.1 SSRF 防护validateHost 与 safeFetchssrf-guard.ts 是所有「用户可控 host/IP 转网络请求」路由共享的 SSRF 守卫防御分两层第一层输入规范化Canonicalise。拒绝非点分十进制 IPv4 形式以及任何落在保留区段内的 IPv6 地址。parseIPv4()对2130706433十进制 127.0.0.1、0177.0.0.1八进制、0x7f.0.0.1十六进制等非规范写法一律返回null拒绝从源头堵死内核解析歧义。IPv4 保留区段覆盖完整RFC191810/8、172.16/12、192.168/16、回环127/8、链路本地169.254/16含云元数据169.254.169.254、CGNAT100.64/10、TEST-NET 三段、组播与保留段等共 14 个块IPv6 则拒绝::、::1、::ffff:IPv4 映射覆盖::ffff:127.0.0.1等、NAT6464:ff9b::、ULAfc/fd、链路本地fe80::/10、组播ff00::/8等前缀。第二层主机名先解析再决策。对主机名用node:dns/promises的lookup解析全部 A AAAA 记录只要任意一条解析结果落在保留区段就整体拒绝。这样metadata.example.comDNS A → 169.254.169.254这类域名劫持攻击在发起请求前就被拦截。同时还有主机名黑名单localhost、.localhost、host.docker.internal、.local、.internal、metadata.google.internal等名称模式直接在 DNS 之前拒绝。文件注释也坦诚指出局限完整的 TOCTOUTime-Of-Check / Time-Of-Use防御需要在 socket 层做 IP pinning而查找时拒绝已能挡住所有非 rebinding 攻击并迫使 rebinding 攻击者必须与下游消费者竞争 TTL0 的时间窗口。safeFetch 包装器进一步处理重定向链重定向被redirect: manual手动跟随每一跳都重新validateHost从而阻止「公共主机 → 内网主机」的重定向跳板。协议层也仅放行http:与https:。WHOIS 路由 osint/whois/route.ts 即用它发 HEAD 请求采集目标 HTTP 安全头HSTS、CSP、X-Frame-Options 等并据此给出 0-7 分的 security_score 评级。3.2 限流与客户端身份识别getClientIp 与 isRateLimited同一文件还提供了共享内存限流器isRateLimited(ip, limit, windowMs)与身份识别getClientIp(req)。getClientIp的设计颇具反绕过价值优先信任边缘平台设置的不可伪造头cf-connecting-ip、x-vercel-forwarded-for、true-client-ip其次x-real-ip对于x-forwarded-for取最右项最近代理观测到的对端地址而非最左项——最左项是客户端自己写的逐请求轮换伪造值即可无限续杯新限流桶最右项由我们自己的边缘代理追加客户端无法伪造无法解析为地址的垃圾值统一坍缩到共享的unknown桶让不可识别的调用者互相限流而不是各自豁免。client-ip.test.ts 用 20 个请求、限流 5 次/分钟的用例验证了这一点攻击者每请求轮换左侧伪造值最终仍被拦截 15 次旋转攻击「买不到任何豁免」。3.3 扫描器代理路由四层防护组合拳scanner/route.ts 是 RECON 扫描能力的入口其防护顺序清晰配置检查未设置SCANNER_KEY时返回503 Scanner not configured提示在.env中配置SCANNER_URL与SCANNER_KEY按客户端 IP 限流isRateLimited(clientIp, 5, 60_000)每分钟 5 次超出返回429参数校验target必填type默认quick目标校验validateHost(target)不通过则返回403 Target blocked并附具体原因如IPv4 in reserved range、hostname resolves to reserved IPv4扫描类型白名单仅九种安全扫描可用每种带独立超时如vuln90 秒、quick15 秒、rdns8 秒执行带AbortSignal.timeout的超时 fetch失败返回502。该文件注释直接记录了历史教训此前基于字符串的正则只匹配点分 IPv4、漏掉所有 IPv6 形式、且不解析主机名导致targetmetadata.example.com、target2130706433十进制 127.0.0.1、target::1均可绕过。现在的实现先规范化、再解析、后决策正是 SECURITY.md 中「authorized monitoring」边界在代码层的兑现。四、报告漏洞流程与节奏SECURITY.md 的漏洞报告部分规定了完整流程不要在公开渠道披露在 OSIRIS 代码库自身发现安全漏洞时请勿公开发布报告渠道在 GitHub 仓库中开 issue 并打上适当标签或若有私密渠道直接联系仓库维护者报告内容提供漏洞的详细描述包括复现步骤与潜在影响响应承诺团队将确认收到报告并提供预计的解决时间线。文档以一句致谢收尾We appreciate your efforts in keeping OSIRIS secure for everyone!这套「先私下报告、维护者确认并给时间线」的流程符合开源项目通用实践如 security.txt 规范、协调披露原则。对报告者而言可参考的实操建议是复现步骤越精简越好目标环境、触发请求、预期 vs 实际行为并注明漏洞所在的相对路径与版本便于维护者定位。4.1 仓库自身的安全健壮性佐证虽然 SECURITY.md 不逐条列举代码安全措施但从源码可以确认项目在「漏洞面收敛」上做了大量工作这些正是漏洞报告流程存在的底气CCTV 代理白名单cctv/proxy/route.ts 明确注释「Whitelisted domains only to prevent open-proxy abuse」仅放行cdn.skylinewebcams.com、thb.gov.tw、stream.inmoves.nl等十余个已知摄像头 CDN 域含子域匹配任何其他域返回403 Forbidden domain。文件头的export const dynamic force-dynamic与maxDuration 15约束了执行预算制裁名单交叉校验sanctions.ts 将 OpenSanctions 的us_ofac_sdn数据集约 7 MB CSVCC-BY 4.0首次使用时下载、解析为归一化索引之后每 24 小时惰性刷新并发请求走 single-flight 共享同一 Promise 防止重复拉取刷新失败时继续服务旧快照避免路由「失明」。WHOIS 路由用它把 RDAP 实体名称做matchExact精确交叉校验命中即返回sanctions_match字段——这是 RECON 面板显示红色SANCTIONED — OFAC SDN徽章的数据基础也是「防御性核验」的典型体现错误信息抑制WHOIS 路由中上游错误被console.warn([OSIRIS] Suppressed error:, ...)抑制记录避免向客户端泄露内部细节有界工作池fetch-pool.ts 通过createPool(limit)限制并发连接数防止多区域 CCTV 编目扇出时自我饿死也是一种资源滥用防护中间件资源预算middleware.ts 对埋点请求施加 2 秒AbortSignal.timeout并排除api、静态资源、图片等路径避免分析流量挤占 API 路由的 socket 池。五、把安全策略落到日常使用自托管与配置建议SECURITY.md 是使用契约而 README.md 与 DOCKER.md 提供了落地手段。对于希望在自己的环境运行 OSIRIS 的使用者5.1 环境变量与扫描器后端复制.env.template为.env核心安全相关配置是# RECON scanner backend当前代码唯一读取的变量 # SCANNER_KEY 必须与后端 OSIRIS_KEY 一致 —— 可用 openssl rand -hex 32 生成 SCANNER_URL SCANNER_KEY不配置这两项时RECON 工具箱返回503其余所有数据层开箱即用——这本身就是「默认最小暴露面」的设计。可选增强项包括FIRMS_API_KEYNASA FIRMS、OPENSKY_CLIENT_ID/SECRETOpenSky OAuth2、N2YO_API_KEY、AIS_API_KEY等均服务于提高上游限速配额而非扩大攻击面。5.2 容器化部署中的边界Dockerfile 采用多阶段node:22-alpinestandalone 构建非 root 用户运行镜像约 220 MBdocker-compose.yml 携带 CasaOS 元数据支持一键安装。容器内始终监听 3000 端口OSIRIS_PORT仅改变宿主机映射端口。这意味着扫描器等敏感后端可以独立部署、通过SCANNER_URL/SCANNER_KEY对接OSIRIS 前端路由本身不承载直连目标的扫描能力——与 SECURITY.md「authorized monitoring」的边界设计自洽。5.3 使用者自查清单结合文档与代码日常使用建议自问四点我要扫描/探测的目标是否为我所有或已获明确授权对应第 2 条铁律也是代码层validateHost只挡内网、不挡「合法但未授权」目标的原因我所在司法辖区的法律是否允许此类 OSINT 行为对应第 3 条铁律我是否在利用代理能力访问未授权数据对应第 4 条铁律CCTV 代理白名单已从代码层杜绝开放代理我是否已为发现的问题走私密报告渠道而非公开披露对应漏洞报告流程六、小结SECURITY.md 用两份简短清单划定了 OSIRIS 的完整安全边界对使用者是「仅防御、仅授权、守法律、无恶意」的四条责任铁律对研究者是「私密报告、描述复现、等待时间线」的披露流程。而本仓库的独特之处在于这些条款并非空泛声明——扫描器路由的validateHost目标校验、九种扫描类型白名单、每分钟 5 次的限流、CCTV 代理的域名白名单、OFAC SDN 交叉校验全部在 src/app/api/scanner/route.ts、src/lib/ssrf-guard.ts、src/app/api/cctv/proxy/route.ts、src/lib/sanctions.ts 中落地为强制逻辑并有 client-ip.test.ts 等测试用例验证防绕过效果。理解这份安全策略既是合规使用的前提也是读懂 OSIRIS 工程安全设计的钥匙。赞分享【免费下载链接】osirisOpen Source Global Intelligence Platform - Real-Time OSINT Dashboard - A Palantir Alternative - 2nZNHm3Lr9umG3DVrzYwHgktwkuKuJRXqqRqs3ewpump项目地址https://gitcode.com/gh_mirrors/osiris14/osiris点击查看免费下载相关推荐Formbricks 安全策略全解漏洞报告流程、负责任披露与自托管安全基线Formbricks 安全策略全解漏洞报告流程、负责任披露与自托管安全基线 Formbricks 作为开源的 Qualtrics 替代方案负责采集和处理用户后端前端数据可视化MLSysBook 安全策略全解析漏洞报告、资产边界与负责任的披露流程MLSysBook 安全策略全解析漏洞报告、资产边界与负责任的披露流程 MLSysBookcs249r_book是哈佛大学主导的开源机器学习系统教材项目教育教程人工智能机器学习OctoPrint 安全策略解读漏洞报告流程、适用范围与 CVSS 4.0 评分规范OctoPrint 安全策略解读漏洞报告流程、适用范围与 CVSS 4.0 评分规范 OctoPrint 是面向 3D 打印机的开源 Web 控制界面其安全物联网后端创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 OSIRIS 安全策略全解：开源 OSINT 平台的责任使用规范与漏洞报告流程
【免费下载链接】osirisOpen Source Global Intelligence Platform - Real-Time OSINT Dashboard - A Palantir Alternative - 2nZNHm3Lr9umG3DVrzYwHgktwkuKuJRXqqRqs3ewpump项目地址https://gitcode.com/gh_mirrors/osiris14/osiris点击查看免费下载导读OSIRISOpen Source Intelligence Reconnaissance Integrated System是一个开源全球情报平台聚合实时航班、CCTV 摄像头网络、地震监测、冲突地带地图与 24/7 新闻流并提供端口扫描、WHOIS/DNS、CVE 漏洞查询等 RECON 侦察工具。因其天然具备「扫描、探测、情报采集」能力仓库根目录下的 SECURITY.md 定义了整个项目的安全边界一方面从使用方角度规定了**责任使用Responsible Usage的四项基本原则——仅限防御用途、仅限授权目标、遵守法律、禁止恶意意图另一方面从维护方角度定义了漏洞报告Reporting a Vulnerability**流程。本文以该文档为主体结合仓库内的 SSRF 防护实现、扫描器代理路由、CCTV 代理白名单、OFAC SDN 制裁交叉校验 与 隐私页面 等源码证据深度解读这些安全策略在代码中的落地方式帮助读者既理解「该怎样用」也理解「系统如何自我约束」。一、文档定位一份面向使用者与贡献者的安全契约SECURITY.md 全文分为两大部分角色清晰章节面向对象核心诉求Responsible Usage责任使用所有使用 OSIRIS 工具、脚本与情报能力的人划定合法的使用边界Reporting a Vulnerability漏洞报告发现 OSIRIS 代码库自身安全缺陷的开发者/研究者建立私密、有序的披露渠道它不是一份关于「如何配置防火墙或密钥」的运维手册而是一份行为契约——先规定「什么能用、什么不能用」再规定「发现问题找谁、怎么说」。这与 OSIRIS 的产品定位高度一致项目提供强大的 OSINT 与网络监控能力README 中明确列出的能力包括端口扫描、DNS/WHOIS 查询、SSL/TLS 检查、CVE 查询、加密钱包追踪、OFAC SDN 制裁搜索等能力越强边界条款越必要。二、责任使用Responsible Usage四条铁律逐条拆解文档原文明确了使用者必须同意的四项条款逐条结合仓库实际能力展开2.1 仅限防御用途Defensive Use OnlyThe tools, scripts, and intelligence capabilities provided in this repository must be used strictly for defensive, educational, and authorized monitoring purposes.仓库中的工具几乎全部围绕「观察与核验」设计实时航班追踪、公开 CCTV 摄像头聚合、地震/火灾/天气监测、新闻流、卫星轨道数据以及 RECON 工具箱中的域名/IP 查询、证书分析、漏洞检索。从架构看这些能力服务于态势感知situational awareness与防御性情报分析而非攻击执行。README 的「Conflict Zone Monitoring」「Telegram OSINT Layer」等模块进一步印证其定位是情报可视化与分析而非武器化利用。2.2 仅限授权目标Authorized TargetsDo not use OSIRIS to scan, probe, or interact with infrastructure, networks, or systems that you do not own or have explicit authorization to monitor.这条直接约束 RECON 工具箱中的扫描类功能。值得注意的是代码层面已经内置了与之一致的强制机制扫描类型白名单扫描器代理路由 只开放quick、ssl、headers、rdns、subdomains、tech、whois、geoloc、vuln九种扫描并明确注释说明deep65535 端口全扫、banner、traceroute、ports四种危险扫描已从公开访问中移除理由是「在未认证场景下危险deep 扫描可充当 DDoS 放大器、banner 会以我们的 IP 采集目标软件版本、traceroute 会暴露托管基础设施」目标合法性校验所有扫描请求必须通过validateHost()校验见下文第四章私有网段、保留地址、内网主机名一律拒绝限流约束每个客户端 IP 每分钟最多 5 次扫描超出返回429 Rate limit exceeded。2.3 遵守法律Compliance with LawsYou are responsible for ensuring that your use of OSIRIS complies with all applicable local, state, national, and international laws and regulations.OSINT 与扫描行为在不同司法辖区面临不同的法律边界如《计算机安全法》《网络安全法》、CFAA 类法律。文档将此责任明确划归使用者这是开源安全工具的通行做法。仓库 隐私页面 的「Good to know」一节也有呼应Scans are rate limited and kept away from private networks, but whether you may scan a system is between you and its owner.——即代码能帮你远离内网但「是否获准扫描某系统」仍由使用者与系统所有者之间决定。2.4 禁止恶意意图No Malicious IntentAny use of OSIRIS for malicious activities, offensive cyber operations, or unauthorized data harvesting is strictly prohibited.同样代码层面通过多重防护落实了这一条款的「工具侧」CCTV 代理采用域名白名单机制详见第五章杜绝开放代理滥用外部数据源请求经过 SSRF 防护与限流防止被当作跳板攻击内网Telegram 层仅抓取公开频道经由t.me/s/channel的未认证 web 预览README 明确说明无 Bot API token、无 MTProto不涉及任何非公开数据采集。2.5 免责声明The creators and contributors of OSIRIS are not responsible for any misuse or damage caused by this software. Use it responsibly and ethically.这是标准的开源安全工具免责条款与 LICENSE 的 MIT 许可精神一致代码以「AS IS」形式提供维护者不对使用者的行为负责。三、责任使用背后的工程实践不是口号是硬约束SECURITY.md 的条款如果只停留在文档层面价值有限本仓库的可贵之处在于这些安全边界在源码中被实现为强制性校验。以下是文档条款对应的核心工程机制3.1 SSRF 防护validateHost 与 safeFetchssrf-guard.ts 是所有「用户可控 host/IP 转网络请求」路由共享的 SSRF 守卫防御分两层第一层输入规范化Canonicalise。拒绝非点分十进制 IPv4 形式以及任何落在保留区段内的 IPv6 地址。parseIPv4()对2130706433十进制 127.0.0.1、0177.0.0.1八进制、0x7f.0.0.1十六进制等非规范写法一律返回null拒绝从源头堵死内核解析歧义。IPv4 保留区段覆盖完整RFC191810/8、172.16/12、192.168/16、回环127/8、链路本地169.254/16含云元数据169.254.169.254、CGNAT100.64/10、TEST-NET 三段、组播与保留段等共 14 个块IPv6 则拒绝::、::1、::ffff:IPv4 映射覆盖::ffff:127.0.0.1等、NAT6464:ff9b::、ULAfc/fd、链路本地fe80::/10、组播ff00::/8等前缀。第二层主机名先解析再决策。对主机名用node:dns/promises的lookup解析全部 A AAAA 记录只要任意一条解析结果落在保留区段就整体拒绝。这样metadata.example.comDNS A → 169.254.169.254这类域名劫持攻击在发起请求前就被拦截。同时还有主机名黑名单localhost、.localhost、host.docker.internal、.local、.internal、metadata.google.internal等名称模式直接在 DNS 之前拒绝。文件注释也坦诚指出局限完整的 TOCTOUTime-Of-Check / Time-Of-Use防御需要在 socket 层做 IP pinning而查找时拒绝已能挡住所有非 rebinding 攻击并迫使 rebinding 攻击者必须与下游消费者竞争 TTL0 的时间窗口。safeFetch 包装器进一步处理重定向链重定向被redirect: manual手动跟随每一跳都重新validateHost从而阻止「公共主机 → 内网主机」的重定向跳板。协议层也仅放行http:与https:。WHOIS 路由 osint/whois/route.ts 即用它发 HEAD 请求采集目标 HTTP 安全头HSTS、CSP、X-Frame-Options 等并据此给出 0-7 分的 security_score 评级。3.2 限流与客户端身份识别getClientIp 与 isRateLimited同一文件还提供了共享内存限流器isRateLimited(ip, limit, windowMs)与身份识别getClientIp(req)。getClientIp的设计颇具反绕过价值优先信任边缘平台设置的不可伪造头cf-connecting-ip、x-vercel-forwarded-for、true-client-ip其次x-real-ip对于x-forwarded-for取最右项最近代理观测到的对端地址而非最左项——最左项是客户端自己写的逐请求轮换伪造值即可无限续杯新限流桶最右项由我们自己的边缘代理追加客户端无法伪造无法解析为地址的垃圾值统一坍缩到共享的unknown桶让不可识别的调用者互相限流而不是各自豁免。client-ip.test.ts 用 20 个请求、限流 5 次/分钟的用例验证了这一点攻击者每请求轮换左侧伪造值最终仍被拦截 15 次旋转攻击「买不到任何豁免」。3.3 扫描器代理路由四层防护组合拳scanner/route.ts 是 RECON 扫描能力的入口其防护顺序清晰配置检查未设置SCANNER_KEY时返回503 Scanner not configured提示在.env中配置SCANNER_URL与SCANNER_KEY按客户端 IP 限流isRateLimited(clientIp, 5, 60_000)每分钟 5 次超出返回429参数校验target必填type默认quick目标校验validateHost(target)不通过则返回403 Target blocked并附具体原因如IPv4 in reserved range、hostname resolves to reserved IPv4扫描类型白名单仅九种安全扫描可用每种带独立超时如vuln90 秒、quick15 秒、rdns8 秒执行带AbortSignal.timeout的超时 fetch失败返回502。该文件注释直接记录了历史教训此前基于字符串的正则只匹配点分 IPv4、漏掉所有 IPv6 形式、且不解析主机名导致targetmetadata.example.com、target2130706433十进制 127.0.0.1、target::1均可绕过。现在的实现先规范化、再解析、后决策正是 SECURITY.md 中「authorized monitoring」边界在代码层的兑现。四、报告漏洞流程与节奏SECURITY.md 的漏洞报告部分规定了完整流程不要在公开渠道披露在 OSIRIS 代码库自身发现安全漏洞时请勿公开发布报告渠道在 GitHub 仓库中开 issue 并打上适当标签或若有私密渠道直接联系仓库维护者报告内容提供漏洞的详细描述包括复现步骤与潜在影响响应承诺团队将确认收到报告并提供预计的解决时间线。文档以一句致谢收尾We appreciate your efforts in keeping OSIRIS secure for everyone!这套「先私下报告、维护者确认并给时间线」的流程符合开源项目通用实践如 security.txt 规范、协调披露原则。对报告者而言可参考的实操建议是复现步骤越精简越好目标环境、触发请求、预期 vs 实际行为并注明漏洞所在的相对路径与版本便于维护者定位。4.1 仓库自身的安全健壮性佐证虽然 SECURITY.md 不逐条列举代码安全措施但从源码可以确认项目在「漏洞面收敛」上做了大量工作这些正是漏洞报告流程存在的底气CCTV 代理白名单cctv/proxy/route.ts 明确注释「Whitelisted domains only to prevent open-proxy abuse」仅放行cdn.skylinewebcams.com、thb.gov.tw、stream.inmoves.nl等十余个已知摄像头 CDN 域含子域匹配任何其他域返回403 Forbidden domain。文件头的export const dynamic force-dynamic与maxDuration 15约束了执行预算制裁名单交叉校验sanctions.ts 将 OpenSanctions 的us_ofac_sdn数据集约 7 MB CSVCC-BY 4.0首次使用时下载、解析为归一化索引之后每 24 小时惰性刷新并发请求走 single-flight 共享同一 Promise 防止重复拉取刷新失败时继续服务旧快照避免路由「失明」。WHOIS 路由用它把 RDAP 实体名称做matchExact精确交叉校验命中即返回sanctions_match字段——这是 RECON 面板显示红色SANCTIONED — OFAC SDN徽章的数据基础也是「防御性核验」的典型体现错误信息抑制WHOIS 路由中上游错误被console.warn([OSIRIS] Suppressed error:, ...)抑制记录避免向客户端泄露内部细节有界工作池fetch-pool.ts 通过createPool(limit)限制并发连接数防止多区域 CCTV 编目扇出时自我饿死也是一种资源滥用防护中间件资源预算middleware.ts 对埋点请求施加 2 秒AbortSignal.timeout并排除api、静态资源、图片等路径避免分析流量挤占 API 路由的 socket 池。五、把安全策略落到日常使用自托管与配置建议SECURITY.md 是使用契约而 README.md 与 DOCKER.md 提供了落地手段。对于希望在自己的环境运行 OSIRIS 的使用者5.1 环境变量与扫描器后端复制.env.template为.env核心安全相关配置是# RECON scanner backend当前代码唯一读取的变量 # SCANNER_KEY 必须与后端 OSIRIS_KEY 一致 —— 可用 openssl rand -hex 32 生成 SCANNER_URL SCANNER_KEY不配置这两项时RECON 工具箱返回503其余所有数据层开箱即用——这本身就是「默认最小暴露面」的设计。可选增强项包括FIRMS_API_KEYNASA FIRMS、OPENSKY_CLIENT_ID/SECRETOpenSky OAuth2、N2YO_API_KEY、AIS_API_KEY等均服务于提高上游限速配额而非扩大攻击面。5.2 容器化部署中的边界Dockerfile 采用多阶段node:22-alpinestandalone 构建非 root 用户运行镜像约 220 MBdocker-compose.yml 携带 CasaOS 元数据支持一键安装。容器内始终监听 3000 端口OSIRIS_PORT仅改变宿主机映射端口。这意味着扫描器等敏感后端可以独立部署、通过SCANNER_URL/SCANNER_KEY对接OSIRIS 前端路由本身不承载直连目标的扫描能力——与 SECURITY.md「authorized monitoring」的边界设计自洽。5.3 使用者自查清单结合文档与代码日常使用建议自问四点我要扫描/探测的目标是否为我所有或已获明确授权对应第 2 条铁律也是代码层validateHost只挡内网、不挡「合法但未授权」目标的原因我所在司法辖区的法律是否允许此类 OSINT 行为对应第 3 条铁律我是否在利用代理能力访问未授权数据对应第 4 条铁律CCTV 代理白名单已从代码层杜绝开放代理我是否已为发现的问题走私密报告渠道而非公开披露对应漏洞报告流程六、小结SECURITY.md 用两份简短清单划定了 OSIRIS 的完整安全边界对使用者是「仅防御、仅授权、守法律、无恶意」的四条责任铁律对研究者是「私密报告、描述复现、等待时间线」的披露流程。而本仓库的独特之处在于这些条款并非空泛声明——扫描器路由的validateHost目标校验、九种扫描类型白名单、每分钟 5 次的限流、CCTV 代理的域名白名单、OFAC SDN 交叉校验全部在 src/app/api/scanner/route.ts、src/lib/ssrf-guard.ts、src/app/api/cctv/proxy/route.ts、src/lib/sanctions.ts 中落地为强制逻辑并有 client-ip.test.ts 等测试用例验证防绕过效果。理解这份安全策略既是合规使用的前提也是读懂 OSIRIS 工程安全设计的钥匙。赞分享【免费下载链接】osirisOpen Source Global Intelligence Platform - Real-Time OSINT Dashboard - A Palantir Alternative - 2nZNHm3Lr9umG3DVrzYwHgktwkuKuJRXqqRqs3ewpump项目地址https://gitcode.com/gh_mirrors/osiris14/osiris点击查看免费下载相关推荐Formbricks 安全策略全解漏洞报告流程、负责任披露与自托管安全基线Formbricks 安全策略全解漏洞报告流程、负责任披露与自托管安全基线 Formbricks 作为开源的 Qualtrics 替代方案负责采集和处理用户后端前端数据可视化MLSysBook 安全策略全解析漏洞报告、资产边界与负责任的披露流程MLSysBook 安全策略全解析漏洞报告、资产边界与负责任的披露流程 MLSysBookcs249r_book是哈佛大学主导的开源机器学习系统教材项目教育教程人工智能机器学习OctoPrint 安全策略解读漏洞报告流程、适用范围与 CVSS 4.0 评分规范OctoPrint 安全策略解读漏洞报告流程、适用范围与 CVSS 4.0 评分规范 OctoPrint 是面向 3D 打印机的开源 Web 控制界面其安全物联网后端创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考