recon-full

name	recon-full
description	主动式全流程资产侦察。当需要对目标进行从零到漏洞发现的完整侦察、渗透测试的第一阶段、或需要全面了解目标攻击面时使用。覆盖子域名枚举→端口扫描→存活检测→指纹识别→POC 扫描的完整链条
metadata	{"tags":"recon,subdomain,port,fingerprint,poc,扫描,侦察,资产发现,攻击面,渗透测试,nmap","category":"recon","mitre_attack":"T1595,T1592,T1590,T1589"}

主动式全流程侦察方法论

本技能是渗透测试的标准第一步，目标是从域名/IP 出发，尽可能多地发现资产和漏洞。

深入参考

• Web 目录、历史端点、隐藏参数、Next.js/SPA 路由发现 → references/web-discovery-methods.md

Phase 0: 范围确认

确认测试目标的范围，和任务描述，尽量不要超出目标范围

• 如果任务强调不测试子域名，则跳过 Phase 1: 子域名枚举步骤
• 如果任务强调不测试其他端口，则跳过 Phase 2: 端口扫描步骤

Phase 1: 子域名枚举

用 dns 枚举工具获取更多子域名。这步很关键——子域名往往是被遗忘的攻击面（测试环境、旧版本、内部系统）。

推荐使用工具

• ksubdomain

分析要点：

• 子域名命名模式：dev., test., staging., api., admin. 通常是高价值目标
• CDN 分布：被 CDN 保护的域名可能需要找源站 IP
• 通配符记录：*.example.com 存在时，需要用字典枚举而非纯 DNS 解析

Phase 2: 端口扫描

对发现的 IP/域名用端口扫描工具扫描端口。

推荐使用工具

• naabu

高价值端口：

• Web：80, 443, 8080, 8443, 8888
• 数据库：3306(MySQL), 5432(PostgreSQL), 6379(Redis), 27017(MongoDB)
• 远程管理：22(SSH), 3389(RDP), 5900(VNC)
• 中间件：8009(AJP/Tomcat), 9200(Elasticsearch), 2375(Docker API)

建议

• 如果扫描判断目标没有开放任何端口，建议用全端口扫描 (1-65535)