OsintHunters BrasilOsintHunters Brasil
← Todos os artigos
Guia

OSINT de infraestrutura: de um domínio ao servidor

Equipe OsintHunters Brasil· 11/10/2026· 12 min de leitura

Dado um único domínio, até onde você consegue mapear a infraestrutura por trás dele usando apenas fontes abertas? A resposta, com um bom pipeline de OSINT de infraestrutura, é surpreendentemente longe: registros WHOIS, zonas DNS, subdomínios esquecidos, certificados emitidos e serviços expostos indexados pela internet toda. Este guia monta esse fluxo passo a passo, do nome de domínio até o servidor, de forma passiva e reproduzível.

Nível intermediário a avançado. Todo o reconhecimento aqui é passivo ou de baixo impacto, baseado em dados já publicados. Não exploramos nem atacamos nada.

Panorama do pipeline

O caminho lógico, da camada mais abstrata à mais concreta, é:

  1. WHOIS / RDAP: quem registrou o domínio e quando.
  2. DNS: quais nomes e servidores o domínio publica.
  3. Subdomínios: que serviços auxiliares existem.
  4. Certificate Transparency (CT): que certificados (e nomes) já foram emitidos.
  5. Shodan / Censys: que serviços estão expostos nos IPs encontrados.

A ideia é que cada etapa alimenta a seguinte: WHOIS e DNS dão IPs e servidores de nomes; CT e enumeração revelam subdomínios; os subdomínios resolvem para IPs; e os buscadores de internet mostram o que roda nesses IPs.

1. WHOIS e RDAP

O primeiro passo é consultar o registro do domínio. O RDAP é o sucessor estruturado do WHOIS e retorna JSON.

whois exemplo.com.br
# ou, estruturado:
curl -s https://rdap.registro.br/domain/exemplo.com.br | jq .

Procure: datas de criação e expiração, servidores de nomes (NS) e, quando disponível, contatos. No .br, o Registro.br costuma ocultar dados pessoais, mas os NS e as datas já ajudam a correlacionar domínios do mesmo dono.

2. Enumeração DNS

Com os servidores de nomes conhecidos, levante os registros DNS do domínio:

dig exemplo.com.br ANY +noall +answer
dig A exemplo.com.br +short
dig MX exemplo.com.br +short
dig TXT exemplo.com.br +short      # SPF, verificações, pistas de provedores
dig NS exemplo.com.br +short

Os registros TXT costumam entregar ouro: v=spf1 include:... revela quais provedores de e-mail o alvo usa, e tokens de verificação indicam serviços de nuvem (Google, Microsoft 365, etc.). O MX mostra para onde vai o e-mail. Evite depender de transferência de zona (AXFR), que raramente é permitida e, quando é, já está publicamente exposta por erro de configuração.

3. Subdomínios: CT logs e enumeração passiva

Subdomínios revelam a superfície real: vpn., dev., api., webmail., jira.. A fonte mais rica e totalmente passiva são os Certificate Transparency logs, onde toda autoridade certificadora registra os certificados emitidos, incluindo os nomes alternativos (SAN). Subdomínios aparecem ali mesmo sem presença em DNS público ou na web.

Consulta direta ao crt.sh:

# Lista nomes únicos já certificados para o domínio
curl -s "https://crt.sh/?q=%25.exemplo.com.br&output=json" \
  | jq -r '.[].name_value' | sort -u

Para consolidar múltiplas fontes passivas, use ferramentas dedicadas:

# Subfinder: rápido, agrega dezenas de fontes passivas
subfinder -d exemplo.com.br -silent

# Amass (OWASP): mapeamento abrangente de superfície de ataque
amass enum -passive -d exemplo.com.br

O Amass é mantido pela OWASP e integra mais de 50 fontes externas, incluindo CT logs, Shodan, VirusTotal e SecurityTrails, combinando consulta passiva e enumeração de DNS. O Subfinder é mais enxuto e veloz para uma primeira varredura. Rodar os dois e unir resultados reduz pontos cegos.

Depois de reunir a lista, resolva os nomes para separar o que está ativo:

cat subdominios.txt | dnsx -silent -a -resp

4. Dos subdomínios aos IPs e aos serviços

Com subdomínios resolvidos, você tem um conjunto de IPs. Agora identifique o que roda neles usando buscadores que indexam a internet.

O Shodan e o Censys varrem o espaço IPv4 e expõem serviços, versões de software, banners e configurações incorretas, sem que você precise escanear o alvo.

# Shodan CLI: o que o host expõe
shodan host 203.0.113.45

# Buscas por facetas (exemplos de sintaxe de filtros)
# serviços de uma organização / rede
shodan search 'org:"Nome da Empresa"'
shodan search 'ssl.cert.subject.cn:"exemplo.com.br"'

No Censys, consultas equivalentes por certificado e por serviço permitem pivotar: a partir do CN ou da organização de um certificado, você descobre outros hosts que compartilham o mesmo certificado ou chave, revelando infraestrutura relacionada que não aparecia no DNS do domínio original. Esse pivô por certificado é uma das técnicas mais poderosas do fluxo.

Ferramentas agregadoras

Plataformas como SecurityTrails e DNSDumpster consolidam DNS histórico, subdomínios e IPs associados, úteis para ver como a infraestrutura mudou ao longo do tempo. O DNS passivo histórico ajuda a encontrar o IP de origem real por trás de um CDN, caso ele já tenha sido exposto no passado.

Passo a passo consolidado

Um fluxo mínimo de ponta a ponta para um domínio alvo:

  1. whois/RDAP para datas e NS.
  2. dig para A, MX, TXT, NS: entenda hospedagem e provedores de e-mail.
  3. crt.sh + subfinder + amass -passive para listar subdomínios.
  4. dnsx para resolver e manter só os ativos.
  5. shodan host nos IPs e busca por certificado no Censys para mapear serviços e pivotar.
  6. Registre tudo em uma planilha ligando subdomínio, IP, serviço, versão e fonte.

Armadilhas comuns

  • Confundir IP do CDN com o servidor real: Cloudflare e afins mascaram a origem; busque o IP histórico em DNS passivo.
  • Parar no primeiro domínio: o pivô por certificado e por organização costuma revelar infraestrutura relacionada.
  • Enumeração ativa agressiva: brute force de subdomínios ou port scan pesado deixam de ser passivos e podem ter implicações legais. Prefira fontes passivas.
  • Dados desatualizados: CT logs e DNS histórico mostram o passado; sempre confirme o que ainda resolve e responde hoje.

Ética e legalidade

Consultar WHOIS, DNS, CT logs e buscadores como Shodan e Censys é coleta de informação já publicada, o que mantém o trabalho no território legítimo do OSINT. A fronteira é cruzada quando se parte para varreduras ativas, tentativas de login ou exploração: isso pode configurar acesso não autorizado. No Brasil, respeite a LGPD ao lidar com dados de contato de pessoas físicas e evite qualquer ação que invada sistemas. Reconhecimento passivo descreve a superfície; não autoriza tocá-la.

Montou um pipeline interessante ou encontrou um pivô criativo por certificado? Compartilhe com a comunidade OsintHunters Brasil e troque técnicas de mapeamento de infraestrutura com outros investigadores.

Referências