如果调查之初你只有一个电子邮箱

开源情报检查清单：电子邮件地址

用搜索引擎

• 《如果你擅长搜索，你能找到一切》

搜索深网

搜索社交媒体

搜索数据库

搜索被黑的电子邮件地址

电子邮件地址是否与社交媒体上的帐户相关联？

• 《如何只用电子邮件地址追踪到 Twitter 帐户？》

• 《分身术完整指南：妥善管理您的在线身份并获得安全的方法》
• 《如何快速创建一个假人？简易版分身术 — 调查人员使用》

搜寻手机通讯录应用程序

• 《手表上故事：通过练习和游戏塑造超强记忆力的方法（1）》
• 《操控注意力的小技巧：塑造超强记忆的方法（2）》
• 《不是集中而是”分散”注意力才更有效：塑造超强记忆力的方法（3）》
• 《如何找回失去的记忆？ — 塑造超强记忆力的方法（4）》
• 《如何操纵他人遗忘和忽略对你来说最敏感的信息 — 塑造超强记忆力的方法（5）》
• 未完哦

电子邮件地址是否与网站相关联？

如何验证电子邮件地址？

从电子邮件地址到用户名？

像素追踪？

电子邮件地址和暗网

• 包含《暗网爬虫》工具

while true; do printf "\0\0\1\0\0\1\0\0\0\0\0\0\6wux.ru\300" | nc -uq1 $SOME_IP 53 | hd -s20; done

nc

背景介绍

DNS通用格式

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|         Identification        |              flags            |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|      number of questions      |      number of answer RRs     |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|     number of authority RRs   |    number of additional RRs   |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                            questions                          |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                 answers(varaible number of RRs)               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                anthority(varaible number of RRs)              |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|         additional information(varaible number of RRs)        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Questions栏格式

 0                   1
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           query name          |
\                               \
|                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           query type          |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           query class         |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Query Name栏格式

 0                   1
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|3| www |6|   google  |3| com |0|
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

 0                   1
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|3|  www|1|1|           offset          |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

对精心准备的DNS请求的解释

printf "\0\0\1\0\0\1\0\0\0\0\0\0\6wux.ru\300" | xxd -b -c 4
00000000: 00000000 00000000 00000001 00000000  ....
00000004: 00000000 00000001 00000000 00000000  ....
00000008: 00000000 00000000 00000000 00000000  ....
0000000c: 00000110 01110111 01110101 01111000  .wux
00000010: 00101110 01110010 01110101 11000000  .ru.

• ID=0;
• Recursion Desired Flag is set;
• questions 数量 = 1;
• answer RRs 数量 = 0;
• authority RRs 数量 = 0;
• additional RRs 数量 = 0.

对GFW伪造的DNS应答包的解释

c0 0c 00 01 00 01 00 00 01 2c 00 04 cb 62 07 41

• c0 0c 代表域名。它实际上是一个指向查询域名栏开头部分的指针。
• 00 01 和 00 01 分别代表回应类型为A（IPv4地址的意思），回应class类型为IN。这很有意思因为在那个gfw-looking-glass.sh还能用的年代，GFW伪造的一型DNS应答包不管查询类型或查询class类型为何，都会把回应类型设置为A，回应class类型设置为IN。
• 00 00 01 2c 代表DNS TTL为300秒。
• 00 04 代表数据长度为4字节。
• cb 62 07 41 是伪造的IP地址：203.98.7.65。

备注

• gfw-looking-glass.sh 之后的故事 @gfwrev在2014年的11月发现 GFW “再也不认真处理DNS域名压缩指针了“。@gfwrev因此想出了一系列利用压缩指针绕过DNS审查的新方法。其测试结果显示截止2014年11月，V2EX和Google的DNS服务器可以成功处理包含压缩指针的DNS查询。
• 为什么要用不完整的指针? 一个很容易引起的好奇是我们能否自己指定offset来控制要观察的GFW内存的相对位置。随着GFW不再处理DNS压缩指针，除非有更多的证据出土，这一问题的历史真相已不得而知。
• kw{rnd} like keywords GFW Report在2020年3月测试了几个之前已知的kw{rnd}类型的关键词，但它们都无法触发GFW的审查了。
• 关于130字节的人为限定的猜测 在2020年3月，GFW可以处理和审查最大长度（256字节）的DNS请求。测试方法如下：

dig $(python -c "print( 'a.'*121 + 'twitter.com')") @"$SOME_IP"

贡献