该技能用于对已获授权的目标执行结构化侦察并生成可操作的攻击面地图，仅限渗透测试、漏洞赏金和 CTF/实验环境使用。使用前必须确认书面授权且目标在声明的范围内，否则应停止并询问，不得假设授权或扫描无关基础设施。
使用流程分为三步。第一步被动侦察：不做主动发包，通过 dig 查询 A、AAAA、MX、TXT、NS、CNAME 并尝试区域传送，用 crt.sh 证书透明日志枚举子域，查询 WHOIS 注册信息，进行搜索引擎 dorking（site、inurl、filetype、intitle），识别技术栈、在 GitHub/GitLab 搜索公开代码泄露，并借助 Wayback Machine 查看历史端点与失效配置。
第二步主动侦察：仅在明确授权后执行。使用 nmap -sC -sV -oN scan-results.txt $ARGUMENTS 进行端口扫描，先扫常见 1000 端口，必要时扩展；对开放端口做服务版本与默认配置探测；用 gobuster、feroxbuster 或 dirsearch 做目录爆破、虚拟主机枚举，并检查 /api/、/v1/、/graphql、/swagger.json 等 API 端点；使用 testssl.sh 或 sslyze 分析 TLS 弱加密、证书过期与配置错误。
第三步分析：关联各项发现，按潜在影响严重性、被利用可能性和暴露程度（互联网 vs 内网）对攻击向量排序。
最终按固定模板输出侦察报告，包含目标、确认范围、日期、被动发现表、发现的子域、检测到的技术、主动发现表（端口/服务/版本/备注）、攻击面摘要和推荐的后续步骤。限制方面：必须留在定义范围内，不得扫描相邻或范围外主机；对激进扫描限速以免干扰目标；记录每条命令供项目存档；如发现第三方被入侵迹象需立即告知用户；拒绝无明确授权或针对无关目标的大规模扫描请求。参考资料包括 PTES、OWASP Testing Guide 和 Bug Bounty Methodology。