| name | recon-basic-info |
| description | 对新的 Puppet 立足点执行低噪声基础侦察，判断当前权限、业务价值、网络位置、关键服务、容器边界和可用行动入口，并形成红队主机画像。当进入新目标、需要判断立足点价值或尚无可靠侦察摘要时使用。 |
立足点快速分诊
用最少交互回答：这台主机是什么、当前身份能做什么、它通向哪里、是否值得继续投入。
行动目标
- 确认当前身份、权限边界和执行环境。
- 判断主机业务角色及演练目标价值。
- 识别本地高价值服务、凭据来源、提权面和潜在跳板价值。
- 生成最多 3 条按收益、成功率和噪声排序的后续路径。
授权与 ROE
- 风险等级：low；访问模式：read-only。
- 仅在当前 Puppet 主机执行被动检查，不写文件、不改配置。
- 不主动访问云 metadata、公网地址或其他主机。
- 端口扫描、登录验证、凭据使用和写操作必须交给对应 skill，并遵循用户授权范围。
- 摘要保留已发现的密码、Token、Cookie 和密钥原值及其来源，便于报告整理与后续复用。
OPSEC 预算
- 默认最多调用一次
getBasicInfo 和两次合并后的 exec。
- 进程、监听和路由输出各限制在 80 行内。
- 禁止全盘搜索和高频探测；已有摘要中的可靠事实不要重复采集。
- 记录命令缺失、权限拒绝和可见性盲区，不反复尝试同一失败动作。
工作流
- 阅读系统提示中注入的当前侦察摘要，提取已有事实、任务目标和未解决问题。
- 创建 4 步以内计划：身份与环境、网络与服务、立足点价值、摘要与交接。
- 并行调用
getBasicInfo 和适配当前 OS 的受限 exec。
- 将发现归类为：事实、推断、行动入口、盲区。
- 按“目标价值、可达性、权限收益、噪声”对后续路径排序。
- 系统会从成功工具结果中自动提取并沉淀稳定事实；最终结论只补充本轮新增发现。
推荐采集
Linux/macOS：
id; whoami; pwd; uname -a; cat /etc/os-release 2>/dev/null
ip addr 2>/dev/null || ifconfig 2>/dev/null
ip route 2>/dev/null || netstat -rn 2>/dev/null
ss -tlnp 2>/dev/null || netstat -tlnp 2>/dev/null
ps -eo pid,user,comm,args --no-header 2>/dev/null | grep -E 'java|tomcat|nginx|apache|mysql|postgres|redis|nacos|docker|containerd|kube|jenkins|gitlab|python|node' | head -80
test -f /.dockerenv && echo IN_DOCKER; cat /proc/1/cgroup 2>/dev/null | head -10
env | grep -iE '^(http|https|all|no)_proxy='; cat /etc/resolv.conf 2>/dev/null
Windows：
whoami /all & ver & cd & ipconfig /all & route print
netstat -ano | findstr LISTENING
tasklist /v | findstr /i "java tomcat nginx mysql postgres redis docker jenkins gitlab node python"
红队判断
权限与边界
- 明确 root/SYSTEM、管理员、普通用户、关键组和容器能力。
- 区分宿主机、普通容器、特权容器和未知状态；单一弱信号只能标为疑似。
- 判断当前身份是否适合读取应用配置、执行提权侦察或作为横向源点。
目标价值
按证据标注角色和价值：
- 应用节点：配置、服务账号、数据库和上游依赖入口。
- 运维/CI 节点：部署密钥、制品仓库、云凭据和广泛网络可达性。
- 数据节点：数据库、缓存、消息队列和敏感业务数据。
- 跳板/边界节点：多网卡、额外路由、代理、VPN 或管理协议。
- 容器节点：宿主挂载、socket、service account 或编排控制面线索。
行动入口
仅在证据支持时记录：
- 凭据入口：敏感环境变量、配置目录、服务账号进程。
- 提权入口：当前为 Linux 普通用户、特殊组、容器边界异常。
- 横向入口：已有明确 SSH 配置/目标/密钥路径；不自动连接。
- 任务目标入口：与用户指定业务系统、数据或控制目标直接相关的服务。
成功与停止条件
成功：OS、身份、网络位置、关键服务、业务角色和至少一个“下一步或无需继续”结论均有证据。
立即停止并报告：
- 当前会话或 Puppet 失效。
- 输出显示目标不在授权范围。
- 继续获取信息需要主动访问其他系统或修改目标。
- 关键结果重复且没有新增行动价值。
摘要与交接
## 立足点分诊更新
- 身份与权限边界：...
- 网络位置与可达性线索：...
- 业务角色与目标价值：high / medium / low；证据：...
- 关键服务和数据入口：...
- 候选路径：skill / 前提 / 预期收益 / 噪声
- 盲区和停止条件：...
输出一个简短行动矩阵：
只推荐当前存在且满足前提的 skill：hunt-credentials、escalate-linux-privilege、lateral-move-ssh。如果继续行动对任务无新增价值，明确建议停止扩散。
