用途：该技能位于渗透测试开局阶段，用于在被测目标未授权或授权范围内先完成侦察与攻击面测绘，避免未测绘直接进入利用阶段。资料称约 60% 战时工作在此环节。执行中发现的端口、指纹等信息应立即写入项目黑板。
主要能力：分被动与主动两步。被动不接触目标，包括 whois 查询、amass intel、crt.sh 证书透明子域、多 DNS 解析对比、Web Archive 抓取、FOFA 与 Shodan 搜索。主动流水线逐步执行：subfinder 与 amass 枚举子域，dnsx 验证存活，httpx 探测标题、状态码、技术与 CDN，naabu 与 nmap 扫描端口与服务，katana 与 gau 收集 URL，再对 JS/JSON 路径提取敏感关键字，用 ffuf 目录爆破，最后用 nuclei 按中高危模板扫描。httpx 识别出框架版本后，会触发组件漏洞情报搜索。
必要用法示例：terminal: whois {domain} | grep -iE 'org|name|email|registrant'；terminal: subfinder -d {domain} -silent | tee subs.txt；terminal: cat subs.txt | dnsx -silent | tee alive_subs.txt；terminal: cat alive_subs.txt | httpx -silent -title -status-code -tech-detect -cdn | tee httpx_out.txt；terminal: nuclei -l alive_subs.txt -t /root/nuclei-templates/ -severity medium,high,critical -o nuclei_results.txt。
限制与注意：资料指出国内 CDN 可能对海外 DNS 返回 0.0.0.0，需用 114.114.114.114 获取真实 IP；CDN 会对特定路径返回 502，不能等同于不存在；Nginx 全路由重写会导致任意路径返 200 同大小，属 catch-all 而非真实文件；通配符 DNS 下子域枚举无意义。Pure-FTPd puredb 损坏不等于认证绕过。UniApp APK 逆向涉及 JS 混淆与 .so 解密库，细节见 references 文档。全部操作应在授权范围内进行。