内网信息收集方法论。内网侦察与外网侦察的区别在于：内网通常没有 CDN/WAF 保护，但操作空间受限于当前立足点的网络位置。核心目标是快速绘制内网地图——有哪些主机、运行什么服务、哪些是高价值目标。
【深入参考】 存活探测命令、端口到服务到价值的映射表、域控与数据库定位，见 references/network-mapping.md。fscan 的详细用法（弱口令爆破、POC 检测、代理扫描）可加载 fscan-scan 技能。工具投递方法（如何把后渗透所需工具传到目标上、为什么应在目标上执行而非本地）可加载 tool-delivery 技能。
【阶段一：当前位置分析】 Linux 命令示例：ip addr && ip route && cat /etc/resolv.conf && arp -a && cat /etc/hosts。 Windows 命令示例：ipconfig /all && route print && arp -a && net view /domain。 关键判断：多网卡等于跳板；DNS 指向内网 IP 说明是域环境；ARP 表较大说明该网段活跃。
【阶段二：存活主机发现（fscan 优先）】 快速存活加端口：fscan -h 10.0.0.0/24 -nopoc。全量（含 POC 检测与弱口令）：fscan -h 10.0.0.0/24。 nmap 作为补充（fscan 不可用时降级）：ICMP ping 方式 nmap -sn 10.0.0.0/24；ARP 方式 nmap -PR -sn 10.0.0.0/24（同网段最可靠）。
【阶段三：端口扫描（聚焦关键端口）】 fscan 指定端口推荐方式：fscan -h TARGETS -p 22,80,135,139,443,445,1433,3306,3389,5432,5985,6379,8080,9200。 nmap 深度识别（需要服务版本或 NSE 脚本时使用）：nmap -sT -sV -p 22,80,445,3389 TARGETS。 高价值端口：88（域控）、445（SMB）、3389（RDP）、1433（MSSQL）、6379（Redis）。完整端口到服务到价值映射表见 references/network-mapping.md。
【阶段四：关键基础设施定位】 域控：88 加 389 加 445 可确认域控；DNS 的 IP 通常就是域控。数据库：使用收集到的凭据尝试连接。管理系统：通过 httpx -tech-detect 或 curl -sI 发现 Jenkins、GitLab、Zabbix 等。
【阶段五：输出内网地图】 输出内容包括网络拓扑、高价值目标清单（域控、数据库、管理系统、跳板机）以及优先攻击路径。
【注意事项】 优先被动发现（ARP、路由表），再进行主动扫描；分批扫描，避免直接扫 /16 导致网络问题。
【被动发现技术】 NBNS 与 LLMNR 广播监听：NetBIOS 名称服务可被动获取主机名；tcpdump 抓包、监听、嗅探网络流量；端口 3268 为 Active Directory Global Catalog（全局编录）。
【多网卡 Pivot】 发现双网卡主机（连接两个网段），可作为跨网段的 pivot 跳板；通过该机器设置代理或转发，访问新网段，从而扩大范围、深入内网。