用途：检测已接入阿里云 DDoS 高防（ddoscoo）的网站，其源站 IP 是否仍暴露在公网、可被绕过高防直接攻击。该技能源自真实工单：客户已接入高防但源站仍被打满/黑洞，根因是源站 IP 暴露、流量绕过防护。
主要能力（两类场景，二元结论，不分级）：S1 DNS 层——对高防中已配置的受保护域名，若公网 DNS 解析结果命中源站 IP 集合，即判定暴露；解析落到非源站地址（高防 IP、调度 CNAME、WAF、CDN 等）视为经过中间层。仅校验已配置域名，不主动枚举子域名。S2 网络层——从多个公网位置直接探测源站 IP + 业务端口，可直连即视为暴露（不限于阿里云资产）；域名接入用 HTTP 探测（绑定 Host 头看状态码），四层端口接入用 TCP 探测。S1 与 S2 相互独立，需同时检查。结论只有“发现暴露风险”（含命中场景、受影响域名/源站 IP、建议动作）或“暂未发现暴露风险”。
使用方式：先读取高防配置（DescribeInstances、DescribeWebRules、DescribeNetworkRules，均为只读），再选择探测方式——方式一云探测（推荐，CloudMonitor CreateInstantSiteMonitor + DescribeSiteMonitorLog，多地域多运营商视角，需开通站点监控、按量付费，未开通会自动回退本地探测）；方式二本机探测（dig 做 DNS 解析、curl 绑定 Host 头做 HTTP 直连、nc/curl 做 TCP 连通性，零成本、单一出口视角）。源站为域名时先用 dig +short 本地解析。
限制与要求：运行前必须向用户披露将调用的产品 API 及用途，由用户选择探测方式并确认 RegionId（中国大陆 cn-hangzhou，非中国大陆 ap-southeast-1）等参数；未选择时默认云探测。所有 aliyun API 命令须带 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-ddos-origin-exposure-detector/{session-id}。所需 RAM 权限见 references/ram-policies.md，权限失败需按流程申请并等待确认。describe-web-rules 须按地域全量分页拉取（--page-size 上限 10），不可用 --instance-ids 过滤；describe-network-rules 需排除网站接入自动生成的四层规则。全程只读或一次性无副作用探测，不修改客户配置、不创建持久监控任务。具体收费金额、探测点数量上限等资料未提供。