Menü
通过被动来源和受控主动 DNS 枚举目标子域名，发现更多授权攻击面入口。
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Basierend auf der SOC-Berufsklassifikation
使用 agent-browser 在授权范围内执行浏览器交互验证，并在需要视觉判断时调用 pents vision-review 生成结构化视觉复核结果。
检测 API 中的功能级授权破坏（BFLA），验证普通用户是否能通过直接调用管理端点或操纵 HTTP 方法来执行管理员功能。
检测 API 中的对象级授权缺陷（BOLA/IDOR），通过篡改对象标识符越权访问或修改其他用户的数据。
利用 JWT 库接受 alg:none 的漏洞绕过签名验证，伪造任意 Token 实现权限提升。
检测 API 中的批量赋值漏洞，通过在请求体中添加非预期字段修改不应被客户端控制的属性。
检测和绕过 API 速率限制，通过 HTTP 头操纵、路径变体和参数污染绕过节流控制。
| name | subdomain-enumeration |
| description | 通过被动来源和受控主动 DNS 枚举目标子域名，发现更多授权攻击面入口。 |
| category | recon |
| source | xalgorix |
| tags | ["信息收集","子域名","DNS","证书透明"] |
| required_tools | ["subfinder","massdns","dnsx","httpx","subzy"] |
| optional_tools | ["puredns","shuffledns"] |
docs/项目路线/源站线索分级与授权策略.md 分层：历史 DNS、证书、favicon、测绘搜索等只做被动线索记录；Host 绑定验证、源站 IP 直连和小范围端口确认必须单独确认；CDN/WAF 绕过、全端口扫描、网段扫描和 Host 爆破默认禁止。执行前先区分任务类型：
| 类型 | 最低条件 | 默认节奏 |
|---|---|---|
| 被动子域名收集 | 目标根域名 | 无主动请求 |
| 主动 DNS 子域名枚举 | 目标根域名、授权窗口、允许 DNS 并发/速率、字典规模、解析器来源 | 受控批量，不按 HTTP 低频处理 |
| HTTP 存活探测 | 已解析子域名、授权窗口、允许 HTTP 速率 | 低频 |
| 路径/API 发现 | 已确认入口 URL、授权窗口、允许请求速率、字典规模 | 低频 |
| 端口/源站验证 | 实际入口或明确授权 IP、授权窗口、端口范围、速率 | 低频或专项确认 |
工具缺失时先运行：
pents doctor-recon
如果缺少 subfinder、massdns、dnsx、httpx、puredns、shuffledns 或 subzy，必须说明缺失工具、影响步骤、安装建议和可替代方案，不能只写“未执行”。其中 massdns 是默认主动 DNS 核心工具；puredns、shuffledns 和 dnsx 是可选 wrapper/诊断/复核工具，不应因为它们缺失就阻塞 massdns direct 主链路。
第三方工具优先从 tools/third-party/bin/ 查找；PATH 只作为 fallback。dnsx 若只存在于全局 PATH，仍要在记录中说明这是 fallback，不是项目推荐安装位置。
默认使用项目字典层：
dicts/curated/subdomains-main.txtdicts/curated/web-paths-small.txtdicts/curated/params-small.txtdicts/curated/subdomains-main.txt 原样同步自 refer/fuzzDicts/subdomainDicts/main.txt。当前阶段子域名字典优先照搬，不自行发明或过早裁剪；后续再根据实战命中质量分层优化。
refer/fuzzDicts/ 仍是参考库。需要扩大其他类型字典，或从参考库补充专项词表时，必须在执行记录里写清：
弱口令、RCE、SQL、XSS、SSRF、XXE 等 payload 字典不属于默认子域名枚举流程，必须专项授权。
至少使用 2 类被动来源，先尽量不触达目标业务：
subfinder -d <target.com> -silent -o subs_passive.txt
可补充：
记录每个子域名的来源、采集时间和是否去重。
如果 crt.sh、urlscan、Wayback、OTX、搜索引擎等被动来源都没有结果，不要只写“无结果”。按下面清单复盘：
CF-Ray、__cf_bm、cf_clearance、captcha 等 CDN/WAF/反自动化线索。dicts/curated/subdomains-main.txt。输出要求：
遇到 Cloudflare、通配符证书、泛解析或被动来源全空时：
origin-candidate-needs-confirmation；未获确认前不得做 Host 绑定验证、IP 直连或端口确认。满足主动 DNS 枚举条件后，使用同步自 fuzzDicts 主字典的默认子域名字典做受控批量解析。这个步骤不应被描述为“低频 HTTP 探测”，但也不能无限并发或忽略授权窗口。
建议默认：
dicts/curated/subdomains-main.txtai.<target.com>；canary 不命中时停止完整枚举。优先使用 pents active-dns 生成执行计划，不要临场拼完整流程：
uv run --project cli pents active-dns "*.target.com" \
--project <project-name> \
--run <Rxxx-date-purpose> \
--dict dicts/curated/subdomains-main.txt \
--resolvers 1.1.1.1,1.0.0.1,8.8.8.8,8.8.4.4,223.5.5.5,119.29.29.29 \
--canary <known-existing-label-or-fqdn> \
--engine auto \
--save
执行计划或脚本必须包含：
massdns 文件输入完整字典枚举。pents evidence 证据登记命令。工具链选择：
massdns direct，由 tools/recon/active-dns-massdns.ps1 生成候选文件并把文件交给 massdns，不走 stdin pipe。puredns + massdns，只用于人工诊断或复杂 wildcard 场景参考；不要让 Claude Code 默认执行 puredns pipe。shuffledns + massdns，用于 ProjectDiscovery 风格兼容验证。dnsx -l，用于小列表复核、NOERROR/NODATA 补查或参数排查，不作为默认完整字典枚举链路。禁止把 dnsx -wd 当作常规枚举参数。R001 已暴露过该类参数误用会造成 0 命中误判；如果看到 dnsx -wd <domain> 被用于完整字典枚举，必须停止并修正为 pents active-dns 计划或 dnsx -l <fqdn-list> fallback。
massdns：不能执行默认主动 DNS 主链路，应阻塞并建议按 pents doctor-recon 补齐项目本地工具。puredns 或 shuffledns：默认 massdns direct 不受影响，只记录 optional wrapper/fallback 缺失。dnsx：默认 massdns direct 仍可执行；但不能做 dnsx 小列表诊断或 NOERROR/NODATA 补查，应写清复核能力缺失。massdns -o Snl 只输出存在 A/AAAA/CNAME 等记录的结果。NOERROR 但无 A/AAAA/CNAME 的域名不会出现在命中列表里，这是预期行为，不是漏扫。
R003 devnu11 复测中，massdns direct 命中 ai/blog/lk/st 4 个可解析子域；R001 dnsx 额外出现 online.devnu11.cn，原因是该域名为 NOERROR/NODATA 候选。报告对比时必须写成：
massdns hits：可解析入口候选。dnsx NOERROR/NODATA：DNS 存在但无地址记录的候选，不直接作为 Web 入口。如果任务需要捕获 NOERROR/NODATA，不要改回 puredns pipe；应对小列表、已知候选或专项候选文件追加 dnsx 复核，并单独记录其耗时、query 类型和差异。
对被动和主动结果合并去重，再验证解析结果。复核必须记录 A/AAAA/CNAME，不只记录“解析成功”。
sort -u subs_passive.txt subs_active_dns.txt > subs_all.txt
dnsx -silent -l subs_all.txt -a -aaaa -cname -json -o subs_resolved.jsonl
结果分类要求：
| 分类 | 判定 | 处理 |
|---|---|---|
resolved-a | NOERROR 且有 A 记录 | 进入 inventory，后续 HTTP 授权后再探测 |
resolved-aaaa | NOERROR 且有 AAAA 记录 | 进入 inventory，记录 IPv6 线索 |
resolved-cname | NOERROR 且有 CNAME | 记录 CNAME、CDN/云厂商/第三方服务线索 |
nodata | NOERROR 但无 A/AAAA/CNAME | 不当作可访问入口；记录为 DNS 存在但无地址 |
nxdomain | NXDOMAIN | 丢弃或保留为去噪证据 |
wildcard-noise | 随机 NXDOMAIN 与候选结果响应一致 | 不当作真实资产，暂停并复盘 wildcard 策略 |
resolver-error | SERVFAIL、REFUSED、timeout 或 resolver 0 响应 | 剔除异常 resolver 后重试关键步骤 |
去噪要求：
wildcard-noise，不要当作真实资产。HTTP 探测比 DNS 枚举更接近业务系统，必须使用低频节奏：
httpx -l subs_resolved.txt -title -status-code -tech-detect -o subs_alive.txt
记录状态码、标题、最终 URL、关键响应头、证书线索和技术栈。不要在这个步骤做路径 fuzz、漏洞扫描或认证绕过。
仅做提示，不替代人工确认：
subzy run --targets subs_all.txt --hide-fails
疑似接管结果必须带上 CNAME、第三方服务类型和验证证据；证据不足时只能进入 candidate finding。
主动 DNS 枚举遇到以下情况应暂停：
HTTP/路径/API/端口探测遇到以下情况应立即暂停：
如果未执行主动子域名枚举，必须明确写：
主动 DNS 子域名枚举：未执行
原因：缺少 <授权窗口 / DNS 并发或速率 / 字典规模 / 解析器来源 / scope 确认>
缺失工具：<massdns / dnsx / puredns / shuffledns / 无；说明核心或可选>
安装建议：<运行 pents doctor-recon 后摘录具体建议；不要只写“安装工具”>
已完成替代项：<被动来源、本地 JS、证书、历史 URL 等>
影响：无法确认精选字典能否发现新子域名
下一步需要用户确认：<具体问题>
如果未执行 HTTP 存活或路径/API 探测，必须单独说明，不要和 DNS 枚举混为一个 blocker。
执行结果至少输出下面结构，方便主代理写入项目记录：
目标根域：<target.com>
授权状态：<被动 / 主动 DNS / HTTP 探测分别说明>
被动来源：<来源 + 数量 + 文件>
主动 DNS：<默认 massdns direct / 可选 puredns+massdns wrapper / 替代 shuffledns+massdns / dnsx-l 诊断 / 未执行>
Canary：<目标 + 命中/未命中 + 证据文件>
NXDOMAIN / wildcard：<随机目标 + 结果 + 是否 wildcard-noise>
Resolver：<保留 resolver / 剔除 resolver / 剔除原因>
DNS 结果分类：
- resolved-a: <数量>
- resolved-aaaa: <数量>
- resolved-cname: <数量>
- nodata: <数量>
- nxdomain: <数量>
- wildcard-noise: <数量>
- resolver-error: <数量>
工具缺失或 fallback：<缺失工具、是否影响 massdns direct 主链路、fallback 原因、影响>
下一步：<HTTP 探测 / 等待授权 / 字典回灌 / skill 修订>
证据：<E-xxxx 或待登记文件路径>
执行完毕后必须更新项目记录：
inventory.md：子域名、DNS 记录类型、A/AAAA/CNAME、NOERROR/NODATA 分类、CDN/云厂商判断、HTTP 存活入口、技术栈。evidence.md：来源、命令摘要、字典文件、resolver、canary、NXDOMAIN、采集时间、关键响应摘要。progress.md：已执行项、跳过项、阻塞项、停止原因。review.md：本次字典命中质量、漏掉的新词条、是否需要修订 skill。复盘时，把实战中发现但 dicts/curated/ 没覆盖的有效词条先写入 dicts/candidates/，再按 dicts/notes/promotion-rules.md 晋升。
pents active-dns 计划，并确认默认主链路为 massdns direct。