先決定你需要知道什麼
偵察（Reconnaissance）用來建立資產、服務與組織關係的初步圖像。問題可以很小：這個名稱曾指向哪個服務？資料更新到什麼時候？答案應縮小不確定性，而不是把所有能找到的個人資訊都收集起來。
閱讀已提供的資料表不會直接接觸目標；直接向目標服務送請求則會留下互動。被稱為「被動」的方法也可能透過第三方產生查詢紀錄，所以應記錄實際資料來源與動作，不只貼上 active 或 passive 標籤。
名稱對應不是所有權證明
DNS 用分散式名稱系統提供資源紀錄。A／AAAA 紀錄提供位址，CNAME 提供別名關係。這些回答支援名稱解析，但不單獨證明系統的管理權、版本或測試授權。共享代管環境尤其容易把「相同位址」誤認成「同一個資產」。
一筆可用紀錄至少分成 observation、inference、next check。保留時間很重要：過去的解析結果不一定代表現在的配置。下一個檢查仍需落在 M01 的授權範圍。
例子：兩個名稱指向同一位址
一份提供給你的合成清單顯示，docs.example.test 與 shop.example.test 在 09:00 都指向 192.0.2.10。
可以觀察到同一時刻的位址相同，並提出「可能共用代管或前端」的假設。不能直接推導同一後端、同一管理者，或商店也在已授權的文件站範圍內。
判斷：先把假設交給資產清單與授權人核對；暫不對新名稱測試。
紙上練習：三欄證據卡
只使用本文的合成 DNS 紀錄，不查詢真實網域。
- 抄寫兩個名稱、192.0.2.10 與 09:00，放入「觀察」。
- 在「推論」寫一個可能解釋，再列出一個反例。
- 在「下一步」寫明要找誰確認所有權與測試範圍。
預期結果
反例可以是不同客戶共用同一個 CDN 或反向代理位址；下一步是核對範圍，不是直接掃描。
自行檢核
若把「可能共用前端」改成「已證明同一後端」，缺了什麼證據？
結束與清理
保存合成證據卡；沒有網路或檔案需要清理。