用途：在渗透测试或红队行动的初始阶段，以被动方式收集目标组织的外部情报，映射外部攻击面，识别未知或影子 IT 资产，为后续威胁建模与攻击规划提供输入。仅限获得书面授权的场景，禁止用于跟踪、骚扰或未经授权的个人监视，并需遵守 GDPR、CCPA 等隐私法规。
主要能力：域名与 DNS 枚举（反向 WHOIS、子域枚举、证书透明度日志、SPF/DKIM/DMARC、区域传送尝试）；基础设施与服务发现（Shodan、Censys、云存储桶、WAF/CDN 识别、Wayback Machine 历史数据）；邮箱与人员情报（theHarvester、hunter.io、LinkedIn、招聘信息）；凭据与数据泄露分析（泄露库、粘贴站、代码仓库密钥扫描、文档元数据、Google dorking）；技术栈画像（whatweb、Wappalyzer、SSL/TLS 分析、JavaScript 分析、移动应用分析）。
使用方式：需具备书面授权、专用研究工作站（必要时用 VPN 或 Tor）、安装 Amass、theHarvester、Shodan CLI、Recon-ng、SpiderFoot 等工具，并配置 Shodan、Censys、SecurityTrails、Hunter.io、VirusTotal、GitHub 等 API 密钥。按五步工作流执行：域名与 DNS 枚举、基础设施与服务发现、邮箱与人员情报、凭据与数据泄露分析、技术栈画像，最后汇总为侦察报告。示例命令包括 amass enum -passive -d target.com -o amass_subs.txt、subfinder -d target.com -all -o subfinder_subs.txt、theHarvester -d target.com -b all -f harvest_results.html、wafw00f target.com、whatweb target.com 等。
适用场景：渗透测试前期侦察、红队交战前的数字足迹范围界定、外部攻击面梳理、社会工程准备。
限制：资料未提供具体收费、价格或平台支持信息；被动阶段不应进行端口扫描或漏洞扫描等主动行为；单一工具可能遗漏资产，需多工具交叉验证；云存储、代码仓库密钥等常被忽略，应重点检查。