用途：当常规 DNS 枚举结果不足、需要最大化子域名发现覆盖率，或目标使用 CDN/通配符 DNS 时，用多源联合方式交叉发现子域名。
主要能力与流程： Phase 1 DNS 枚举：用 subfinder / ksubdomain 做字典爆破与递归发现；分析解析到不同 IP 段的子域、识别 CNAME 指向的 CDN/云服务（CloudFront、Cloudflare、Fastly），并检测通配符（如 random12345.example.com 也解析则存在通配符，需过滤对应 IP 的结果）。 Phase 2 OSINT 引擎：通过 http_request 或 curl 查询 FOFA API 获取域名关联资产，可补充非标准端口 Web 服务、DNS 记录已删除但仍在线的“幽灵”子域、IP 反查发现的同服务器其他域名。 Phase 3 爬虫发现：用 katana 爬取主站与已知子域，从 HTML 链接（href/src/action）、JavaScript 硬编码 API 地址、CSS 资源域名、CORS 响应头中提取子域引用。 Phase 4 合并分类：三源去重合并后按用途分类（Web 应用、API 服务、管理后台、邮件系统、开发/测试、内部系统、CDN/静态），优先深入探测顺序为管理后台 > 开发测试 > 内部系统 > API > Web 应用。
限制与注意：单一来源通常只覆盖 30-50% 实际资产；存在通配符时需做内容比对与 HTTP 响应对比以区分真假子域名；CNAME 指向 S3 bucket 且 404/未声明时可能存在同名 bucket 接管风险。完整参数、通配符过滤脚本与多工具联合流程见 references/enumeration-tools.md。