信息收集后应该如何处理

请问信息收集后根据框架版本号，系统版本号，端口号之类的到哪里搜寻与框架相应的漏洞可渗透。很多都是介绍工具，如果用工具就没必要信息收集了，上来就工具不就可以了吗？不理解