用途：面向授权渗透测试与红队评估的初始侦察阶段，帮助收集目标外部信息、枚举子域名、扫描端口、识别 Web 技术与暴露面，为后续测试提供攻击面清单。
主要能力：被动侦察（WHOIS、dig、证书透明度日志、subfinder/amass 被动模式、theHarvester、搜索引擎与 GitHub dork、Shodan/Censys、社交媒体 OSINT）；主动侦察（子域名爆破、DNS 区域传送、Nmap/masscan/rustscan 端口与服务探测、操作系统识别）；Web 侦察（WhatWeb 技术识别、gobuster/feroxbuster/ffuf/dirsearch 目录与文件枚举、虚拟主机与参数发现、JavaScript 分析与密钥排查）；邮箱与凭据侦察；网络映射（存活主机发现、traceroute/mtr、防火墙与 IDS 检测）；攻击面映射与自动化框架（Amass+Nmap+Nuclei、Recon-ng）；报告与文档整理。云资产、漏洞扫描与凭据收集的完整命令目录另见 references/cloud-vuln-credential-tooling.md。
使用方式：在用户请求对目标执行侦察、枚举子域名、发现攻击面、查找公开暴露、收集 OSINT、映射网络或识别技术栈时启用。必要命令保持原样，例如 whois domain.com、amass enum -passive -d domain.com、nmap -sC -sV -oA nmap_scan target.com、gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/common.txt。
适用场景：外部信息收集、子域名与端口枚举、Web 应用侦察、网络拓扑梳理、初始访问路径分析。
限制：被动收集公开来源通常合法，但一旦向主机发包即受授权约束，未授权扫描在多数司法管辖区属刑事犯罪（如美国 CFAA、英国 Computer Misuse Act）。需警惕子域名与 ASN 枚举涉及第三方基础设施（CDN、SaaS、共享主机、被收购子公司），探测前须确认归属，“位于 DNS 树中”不构成授权。员工枚举、凭据关联与社交资料收集属 GDPR 等法规下的个人数据处理，须确认授权范围。首次主动探测前应书面获取目标清单、明确排除范围与测试时间窗。若枚举出现异常便利的凭据或服务，应停止并参考 recognizing-deception，可能为金丝雀令牌；需记录每个产物来源。不适用于已有网络访问、代码审计、钓鱼话术开发、对抗方调查等场景。