thalha-a9/helix

## 为什么选择 Helix？ 大多数 OSINT 工具只回答一个问题：*“这个用户名在平台 X 上是否存在？”* Helix 则回答了一个更难的问题：**“所有这些账户是如何关联到同一个人的？”** 它从个人简介中提取跨平台链接，通过感知哈希匹配头像，从提交模式推断时区，通过证书透明度发现域名，并将每一种关系绘制为浏览器网络图中一条发光的边缘线 —— 所有这些只需一条命令即可完成。 ``` python helix.py -u johndoe --wayback --crt --paste --pivot --phash ``` ## ⚡ Helix 的与众不同之处 | 功能 | Sherlock | SpiderFoot | Maltego | **Helix** | |---|:---:|:---:|:---:|:---:| | 用户名枚举 | ✓ | ✓ | ✓ | ✓ | | 关系型简介链接图 | ✗ | ✗ | 部分 | **✓** | | 递归别名关联 | ✗ | ✗ | 手动 | **✓ 自动** | | 感知头像匹配 | ✗ | ✗ | ✗ | **✓** | | 时区推断 | ✗ | ✗ | ✗ | **✓** | | Wayback 身份时间轴 | ✗ | 部分 | ✗ | **✓** | | 证书透明度 | ✗ | ✓ | ✓ | **✓** | | GitHub 提交邮箱提取 | ✗ | ✗ | ✗ | **✓** | | 本地启发式验证器 | ✗ | ✗ | ✗ | **✓ 始终开启** | | 多 AI 误报过滤器 | ✗ | ✗ | ✗ | **✓ 3 个提供商** | | 异步速度 | ✗ | ✗ | ✗ | **✓** | | 100% 免费和开源 | ✓ | ✓ | ✗ | **✓** | ## 🔍 情报模块 ### 始终开启 - **本地启发式验证器** — 零依赖误报引擎。通过 8 个信号（WAF 页面、通用标题、登录重定向、主页重定向）对每个结果进行评分。在每次扫描中，它都会先于其他任何操作运行。 ### 核心标志 | 标志 | 功能说明 | |---|---| | `--wmn` | 在运行时加载 WhatsMyName 数据库 —— **700+ 平台**，由社区维护 | | `--maigret` | 在运行时加载 **Maigret** 数据库 —— 使用 `presenceStrs`/`absenceStrs` 进行深度检测，缓存 24 小时 | | `--sherlock` | 在运行时加载 Sherlock 数据库 —— **400+ 平台**，本地缓存 24 小时 | | `--pivot` | **递归简介关联** — 在个人简介中寻找别名并自动扫描，最深可达 4 跳 | | `--phash` | **感知头像哈希** — 下载头像图片，进行哈希处理，并在跨平台间进行匹配。即使他们更改了用户名，也能找到同一个人 | | `--wayback` | **Wayback Machine** — 获取快照历史 + 解析存档的 HTML，以获取旧用户名、历史邮箱和过去的简介 | | `--crt` | **证书透明度** — 查询 crt.sh 中包含目标姓名或邮箱的 SSL 证书。找出从未出现在任何简介中的个人域名 | | `--paste` | **Paste 情报** — 搜索 GitHub Gists 和公开的 Pastebin 索引中的提及记录 | | `--breach` | **泄露检查** — 查询 XposedOrNot 获取泄露元数据（姓名、日期、暴露的数据类型）。不返回任何凭据 | | `--holehe` | **深度邮箱扫描** — 移交给 holehe 进行 120+ 平台的邮箱注册检查 | | `--ai` | **AI 误报过滤器** — 通过 Claude、OpenRouter（免费）或 NVIDIA NIM（免费）进行二次验证 | ### 自动触发 - **GitHub 深度侦察** — 找到 GitHub 配置文件时自动运行。从公开提交中提取真实邮箱（过滤 noreply）、组织成员身份、语言统计、npm 包，并根据提交时间戳分布推断时区（需要 ≥15 次提交才能确保置信度） ## 🕸 关系图 输出的 HTML 是一个独立的、零依赖的交互式网络 —— 无需服务器，只需在浏览器中打开即可。 ``` White pulsing node → Username root Amber pulsing node → Email root Amber/orange nodes → Pivot-discovered aliases Green solid edges → Bio-extracted cross-links (proven connections) Pink dashed edges → Avatar hash matches (same person across accounts) Amber dashed edges → Email-matched platforms Green ring on node → High confidence (OG meta validated) Blue ring on node → Medium confidence ``` **控制操作：** 拖动节点 · 滚动缩放 · 点击节点打开主页 · 悬停查看提示（置信度、og:title、交叉链接伙伴、从简介提取的别名详情） · ⌕ 搜索 · ◌ 未找到覆盖层 · ☰ 标签 · ↓ 导出 SVG · 按置信度过滤 ## 🚀 快速开始 ``` git clone https://github.com/thalha-a9/helix.git cd helix pip install -r requirements.txt python helix.py -u johndoe ``` ## 📦 安装 **必需** ``` pip install aiohttp ``` **可选 —— 解锁更多功能** ``` pip install curl-cffi # WAF bypass for Twitter, Instagram, TikTok, Patreon pip install imagehash Pillow # Perceptual avatar hash matching (--phash) pip install holehe # Deep email scanning 120+ platforms (--holehe) pip install anthropic # Claude AI verification (--ai claude) pip install openai # OpenRouter / NVIDIA AI verification (--ai openrouter) ``` **或者一次性安装所有内容** ``` pip install "helix-osint[full]" ``` **设置 GITHUB_TOKEN 以在 GitHub API 上达到 5000 次请求/小时**（可选，默认为 60 次/小时）： ``` export GITHUB_TOKEN=ghp_yourtoken ``` ## 💻 用法 ``` # 基本扫描 — 自动打开交互式 graph python helix.py -u johndoe # Full power — 所有 intelligence modules python helix.py -u johndoe --wayback --crt --paste --pivot --phash # Username + email — 两个 root nodes，在 graph 中进行交叉匹配 python helix.py -u johndoe -e johndoe@gmail.com --breach --holehe # 大规模扫描 — 1100+ 平台 python helix.py -u johndoe --wmn --sherlock # AI 验证扫描（免费 — 无 API key 成本） python helix.py -u johndoe --ai openrouter # Recursive pivot — 自动扫描别名，深度可达 4 跳 python helix.py -u johndoe --pivot --pivot-depth 4 # Permutations — 扫描 johndoe1、john.doe、realjohndoe 等 python helix.py -u johndoe --permutations # 所有内容，保存到自定义目录，无浏览器 python helix.py -u johndoe -e johndoe@gmail.com \ --wmn --sherlock --wayback --crt --paste \ --pivot --phash --breach --holehe \ --ai openrouter --format all --no-browser --output ~/Desktop/report # 检查哪些 AI providers 已配置 python helix.py --providers ``` ## 🤖 AI 验证 Helix 拥有双层误报过滤器： **第一层 — 本地启发式验证器**（始终开启，零成本） 通过 8 个信号对每个结果进行评分。单个通用标题（例如用 `"Pinterest"` 代替用户名）会立即清除该结果。WAF/Cloudflare 页面单独以 80 分进行评估。阈值：普通结果为 60 分，经 OG 验证的高置信度结果为 85 分。 **第二层 — AI 验证器**（`--ai`，可选） 使用严格的系统提示将不确定的结果发送给 LLM。三个提供商： | 提供商 | 标志 | 成本 | 设置 | |---|---|---|---| | Anthropic Claude | `--ai claude` | 付费 | `export ANTHROPIC_API_KEY=...` | | OpenRouter Llama 3.1 | `--ai openrouter` | **免费层级** | `export OPENROUTER_API_KEY=...` → [openrouter.ai](https://openrouter.ai) | | NVIDIA NIM Llama 3.1 | `--ai nvidia` | **免费层级** | `export NVIDIA_API_KEY=...` → [build.nvidia.com](https://build.nvidia.com) | ## 🏗 架构 ``` helix/ ├── helix.py ← CLI entry point + orchestrator ├── pyproject.toml ← pip installable (helix-osint) ├── osint/ │ ├── checker.py ← Async engine (aiohttp + optional curl_cffi) │ ├── platforms.py ← 70+ platform definitions with OG/API detection │ ├── verifier.py ← Local heuristic false-positive engine │ ├── graph.py ← D3.js relational graph generator │ ├── report.py ← JSON / CSV / TXT exporters │ ├── permutations.py ← Username variation generator │ ├── pivot.py ← Concurrent BFS alias pivot engine │ ├── phash.py ← Perceptual avatar hash matcher │ └── modules/ │ ├── wayback.py ← Archive.org CDX API + archived HTML parser │ ├── github_deep.py ← GitHub API deep recon + timezone inference │ ├── crt.py ← Certificate transparency (crt.sh) │ └── paste.py ← Gist + Pastebin intelligence │ └── adapters/ │ ├── sherlock_adapter.py ← Sherlock data.json loader (24h cached) │ ├── wmn_adapter.py ← WhatsMyName loader │ ├── holehe_adapter.py ← holehe email scanner wrapper │ ├── breach_adapter.py ← XposedOrNot breach metadata │ └── ai_verifier.py ← Multi-provider async AI verification └── results/ ← Output (git-ignored) └── username/ ├── username_graph.html ← Interactive D3.js network graph ├── username_TIMESTAMP.json ← Full structured report ├── username_TIMESTAMP.csv └── username_TIMESTAMP.txt ``` ## 🔬 误报预防的工作原理 Helix 针对每个平台使用正确的检测方法，而不是简单的 HTTP 200 检查： | 平台 | 方法 | 原因 | |---|---|---| | Reddit | `reddit.com/user/{u}/about.json` → `"is_employee"` 字段 | JSON API；该字段仅对有效用户存在 | | Bluesky | AT Protocol API | SPA — 静态 HTML 毫无用处 | | Chess.com | `api.chess.com/pub/player/{u}` | 官方公开 API | | Lichess | `lichess.org/api/user/{u}` | 官方公开 API | | GitHub | 解析 `og:title` 并针对已知错误字符串进行验证 | 服务端渲染，可靠 | | Medium | `og:title` 拒绝主页重定向字符串 | 捕获 "Where good ideas find you" | | Twitter/X | `curl_cffi` TLS 模拟 | 如果没有此功能，将优雅跳过 | ## 📋 输出格式 | 格式 | 内容 | |---|---| | `.html` | 独立的交互式 D3.js 关系图 — 无需服务器 | | `.json` | 完整的结构化报告，包含情报包（wayback、GitHub 深度、CRT、paste） | | `.csv` | 适用于电子表格，包含所有平台 | | `.txt` | 简洁的终端风格摘要 | ## ⚠️ 法律与道德 Helix 专为**安全研究、漏洞赏金侦察和 OSINT 教育**而构建。 使用的所有数据源均为公开可访问的。在对任何目标进行侦察之前，请始终确保您拥有适当的授权。作者不对滥用行为负责。 ## 📎 相关项目 - [esp32-iot-audit](https://github.com/thalha-a9/esp32-iot-audit) — ESP32 IoT 安全扫描器 - [esp-pentest-toolkit](https://github.com/thalha-a9/esp-pentest-toolkit) — 无线 ESP32/8266 渗透测试工具包

标签：ESC4, OSINT, 关系图谱, 基线检查, 异步框架, 情报分析, 网络诊断, 身份映射, 进程管理, 逆向工具