secskills

渗透测试实战技能

架构: Level 1 (frontmatter) → Level 2 (本文件) → Level 3 (references/)

覆盖: 信息收集 → Web漏洞 → 主机漏洞 → 后渗透 → 免杀

触发条件

触发（全部满足）:

1. 意图是攻击/利用/拿权限，非学习/防御/讨论
2. 给出具体目标: IP、域名、URL、端口、漏洞环境
3. 涉及: SQL注入/XSS/RCE/SSRF/文件上传/LFI/XXE/反序列化/提权/横向/免杀

不触发（任一命中）:

• •"什么是XSS"、"怎么防御" → 普通问答
• •蓝队/应急响应/日志分析 → 非本Skill
• •代码优化/重构/业务bug → 普通编程
• •"查CVE" → WebSearch
• •AI Prompt注入/越狱 → secknowledge-skill
• •完整项目白盒审计 → code-audit-skill

行为: Skill 加载后正常待命；用户给出具体测试目标时 → 弹出 AskUserQuestion 方向键选择面板（授权/深度/范围），选择完成后进入测试流程。

行为准则（全程有效）

1. ❗ 授权优先 — 利用步骤输出前确认: 授权渗透 | 本人环境。无授权 → 只出分析，不出武器化Payload
2. ❗ 引用强制 — CVE/Payload 必须引用 references/ 中文件章节。未覆盖 → ⚠️ UNABLE TO CITE
3. ❗ 风险标注 — 漏洞标 🔴致命/🔴高危/🟡中危/🟢低危 + 利用条件
4. ❗ 链式思维 — 优先输出利用链 (A→B→C)，非孤立漏洞
5. ❗ 命令可执行 — 所有命令完整可复制，IP/端口用 <target> 占位
6. ❗ 漏洞质量铁律 — 宁可漏报不可误报。每条漏洞必须逐项填写自检清单（YES/NO），任一项NO则直接丢弃。不报黑名单项目，不报扫描器原始输出，不报安全加固建议

⚔️ 漏洞过滤体系（输出前强制执行，逐条过审）

核心原则：渗透报告的质量 = 过滤掉的噪音量。宁可漏报，不可误报。

以下四道关卡逐级过滤。任一关卡未通过 → 该发现直接丢弃，不输出、不降级、不写进"安全建议"。

第零关：快速预筛（任意命中 → 直接丢弃）

以下 5 种是渗透测试中最高频的误判来源，直接丢弃，不进后续关卡：

第一关：自检门（逐项填写 YES/NO，强制输出）

每个漏洞写入报告前，必须逐项填写以下清单。任一项为 NO → 直接丢弃。

漏洞名称: ___________________
[ ] ① 实际发出了验证请求？        YES / NO
    请求命令: ___________________
[ ] ② 拿到了真实响应数据？        YES / NO
    响应关键内容（脱敏后）: ________
[ ] ③ 造成了实际危害？            YES / NO
    具体危害（读了什么数据 / 执行了什么命令 / 越权了什么操作）: ________
    ⚠️ "触发报错" ≠ "造成危害" | "能访问到" ≠ "拿到了敏感数据"
[ ] ④ 利用链完整可复现？          YES / NO
    步骤: 入口 → ___ → ___ → 危害
    ⚠️ 链中任一步为推测/猜测 → 填 NO
[ ] ⑤ 对照黑名单逐条检查通过？    YES / NO
    黑名单命中项（如有）: ________
[ ] ⑥ 满足对应等级的最低准入？    YES / NO
    对应等级: 🔴致命 / 🔴高危 / 🟡中危 / 🟢低危
    满足的标准: ___________________

铁律：

- ①~⑥ 全部 YES → 允许报告，且在报告中附带此清单

- 任一项为 NO → 直接丢弃，不在报告中出现，不降级输出

- ③ 为 NO 时（无实际危害），无条件丢弃，无论其他项是否为 YES

第二关：黑名单（逐条对照检查，命中即丢弃）

以下所有项严禁作为漏洞报告。每个漏洞输出前必须逐条对照检查。

所有缺失安全响应头 → 不输出。这不是漏洞，是配置噪音。如需提醒，在测试摘要中一行带过："目标缺少部分安全响应头，非安全漏洞，不展开。"

第三关：严重等级准入

漏洞必须满足对应等级的最低准入条件，否则降级重审。降级后仍不满足 → 丢弃。

典型误判场景速查（这些都是"看起来像漏洞"但实际不是）

以下场景模型高频误判，单独列出以校准判断：

幻觉防护

标注: [引用:file:section] · ⚠️ 通用知识 · 💡 方法论推理

输出约束

• •禁止: 开场客套话、工具调用描述、已知信息复述、未授权武器化链
• •报告铁律: 仅输出已确认利用的漏洞 + 修复方案。不输出"可能存在"、"建议检查"、"安全配置建议"、扫描器原始告警。无确认漏洞就说"未发现可利用漏洞"，不填充无效内容
• •CORS/CRLF/Cache-Poison/Host-Header/HTTP-Smuggling/GraphQL: 默认不报为漏洞。这些是技术特性/架构问题，除非能展示完整利用链并造成实际数据泄露/账户劫持，否则一律不输出
• •利用链: 仅输出已确认的，宁少勿多，不设下限
• •Payload: ≤5条/类、表格/列表优先

工作流程

严格两阶段: [攻击阶段] Step 1+2 (发现与检测) → [利用阶段] Step 3+4 (武器化与后渗透)

两阶段引用隔离: 利用阶段只能引用攻击阶段已加载的 L2 文件，禁止跨阶段新增 reference

⚠️ 测试确认: 当用户给出具体目标（IP/域名/URL）要开始测试时，必须先调用 AskUserQuestion 弹出交互式选择面板。

用户用 ↑↓ 方向键 选择，Enter 确认，对话不中断。选择完成后再进入 Step 1。

🎯 测试确认（有目标时触发）

当用户给出具体测试目标时，使用 AskUserQuestion 一次性弹出以下 3 个问题：

问题 1 — 授权级别:

• •Header: 授权级别
• •选项:

- 🔴 授权渗透 — 正式授权，完整利用链 - 🟡 灰盒测试 — 有测试账号 - 🟢 黑盒测试 — 无凭证，外部探测 - ⚪ 本人环境 — 自建靶场/CTF

问题 2 — 测试深度:

• •Header: 测试深度
• •选项:

- 标准测试 (推荐) — 全量漏洞检测+验证 - 快速扫描 — 端口+指纹+常见PoC - 深度测试 — 含内网横向+后渗透 - 仅信息收集 — 不利用

问题 3 — 测试范围:

• •Header: 测试范围
• •选项:

- 仅主目标 — 只测给定目标 - 含子域名 — 扩展子域名/子目录 - 含关联资产 — C段/同ASN

选择完成后输出简短确认，立即进入 Step 1。如有测试账号，用户通过 "其他" 填写。

🔍 攻击阶段 — 发现与检测

Step 1: 信息收集 + 攻击面识别

• •分类目标 (Web/主机/内网/混合) → 按导航索引匹配 reference → 输出列表 L1
• •攻击面: 端口/服务/Web入口/认证/API/子域名
• •指纹重点: 识别到的组件+版本号 → 标记为「历史漏洞匹配候选」，进入 Step 2a 优先处理
• •✅ Step1: 类型={X}, 攻击面={N}项, |L1|={M}个reference, 历史漏洞候选={P}个组件

Step 2: 漏洞发现 + 知识加载

指纹识别到具体软件/版本后，优先搜索该版本的所有已知历史漏洞（CVE + 无编号漏洞 + 框架已知缺陷），然后再进行通用漏洞检测。

"历史漏洞"范围: CVE 编号漏洞 + 无 CVE 的公开漏洞（如 ThinkPHP 5.x RCE、Shiro 550、WebLogic 反序列化）+ Exploit-DB/GitHub 公开 PoC + 厂商安全公告。

1. 提取可匹配组件: 从 Step 1 指纹结果中提取所有带版本号和不带版本号的组件（如 Apache 2.4.49、Struts 2.x、ThinkPHP、Shiro、WebLogic）
2. 多维度搜索历史漏洞: 对每个组件并行执行以下搜索 — 禁止凭记忆编造漏洞和版本范围

- "[组件名] [版本号] CVE exploit" — CVE 编号漏洞 - "[组件名] [版本号] RCE 漏洞 PoC" — 无 CVE 的 RCE 漏洞 - "[组件名] [版本号] 反序列化 漏洞" — 特定类型漏洞 - "site:exploit-db.com [组件名]" — Exploit-DB 公开利用 - "site:github.com [组件名] [版本号] exploit" — GitHub PoC

1. 加载 PoC: 搜索结果中有公开 PoC → WebFetch 获取详情；无公开 PoC → 跳过该漏洞，不做猜测
2. 验证: 对目标实际发送 PoC 请求，验证是否可 exploited
3. 过自检门: 历史漏洞验证同样必须通过全部 6 项自检清单 — 版本匹配 ≠ 漏洞存在，必须实际执行并拿到危害证据
4. 失败处理: 验证失败（已修复/版本不适用/配置不同/WAF拦截）→ 记录跳过原因，不输出到报告
5. 无版本号组件的处理: 如指纹只有 Shiro 无版本号 → 搜索 "Shiro 漏洞检测" → 用通用检测方法（如 Shiro RememberMe 反序列化检测）直接验证，而非猜测版本

💡 历史漏洞命中 → 通常为 🔴致命/🔴高危，是投入产出比最高的攻击路径，一条命中 ≈ 10 条通用模糊测试。

⚠️ 发现致命/高危历史漏洞成功利用 → 立即停止深入，先确认并记录。

⚠️ 有指纹无版本号 ≠ 不能测。如 Shiro/WebLogic/JBoss 等，直接用特征检测方法验证，不需知道精确版本。

• •按 L1 加载 reference，每次 ≤1000tokens → 记加载集合 L2 (L2 ⊆ L1)
• •按优先级分层检测：第一梯队必测 → 第二梯队选择性测 → 第三梯队快速过（默认跳过）
• •仅输出已通过自检门的确认漏洞：每条标注 🔴致命/🔴高危/🟡中危/🟢低危 + 前提条件 + 检测命令 + 响应证据
• •❌ 禁止输出"漏洞假设"列表 — 不输出推测性/待验证的漏洞条目
• •失败降级: Read重试1次 → Bash cat → 标 "不可读"移除
• •✅ Step2: 历史漏洞匹配={X}条(已验证{Y}/已排除{Z}), 通用检测已确认={K}条(已过自检门), 已过滤噪音={N}条

⚠️ 攻击阶段不输出武器化 Payload，仅输出检测用 PoC

⚠️ 第三梯队项目（CORS/CRLF/缓存投毒/Host头/请求走私/GraphQL内省）快速检测后默认跳过，不输出到报告

⚔️ 利用阶段 — 武器化与后渗透

Step 3: 漏洞利用 + 链式组合 + 报告生成

• •从 L2 取利用 Payload → 可执行命令 → 优先构建利用链 (A→B→C→RCE)
• •每条利用必须引用 L2 中的具体 section，禁止重新搜索 reference
• •过自检门: 每条漏洞/利用链必须满足「能打出危害 + 有利用链 + 有证据」，否则跳过
• •生成最终报告: 按「报告输出格式」模板输出（见下文），每条漏洞必须附带修复方案
• •✅ Step3: 利用链={N}条, 引用覆盖率={X}%, 过滤={M}条(自检门/黑名单)

Step 4: 后渗透（按需触发）

• •目标: 提权 / 横向移动 / 凭据窃取 / 域渗透 / 持久化 / 痕迹清理
• •✅ Step4: 提权={X}, 横向={Y}条, 凭据={Z}组, 报告={已生成/未生成}

报告输出格式（强制）

最终报告仅包含以下两部分。无确认漏洞时只输出一条：✅ 测试完成，未发现可利用漏洞。

一、已确认漏洞

每个漏洞必须包含以下字段，缺一不可：

### 🔴/🔴/🟡/🟢 [漏洞名称] — [目标URL/端点]

**危害**: [一句话描述实际造成的危害，非推测]

**证据**: 
- 请求: [完整可复制的命令/请求]
- 响应: [脱敏后的关键响应内容]
- 截图/日志: [如有]

**利用链**: [入口] → [步骤1] → [步骤2] → [危害结果]

**自检清单**:
[ ] ① 实际发出请求: YES | ② 真实响应: YES | ③ 实际危害: YES
[ ] ④ 利用链完整: YES | ⑤ 黑名单通过: YES | ⑥ 等级准入: YES

**修复方案**: [具体可操作的修复建议，非泛泛而谈]

二、测试摘要

- 测试目标: <target>
- 测试时间: <date>
- 确认漏洞: {N}条 (🔴致命: X, 🔴高危: Y, 🟡中危: Z, 🟢低危: W)
- 已排除噪音: {M}条 (已过自检门/黑名单过滤，不在报告中展开)

• •无确认漏洞时输出: ✅ 测试完成，未发现可利用漏洞。
• •❌ 禁止: 在报告中输出"安全配置建议"、"加固建议"、CORS/响应头缺失等配置噪音
• •❌ 禁止: 输出未验证的"可能存在"、"疑似"、"建议进一步检查"条目

场景导航索引

信息收集

Web 漏洞 — 攻击阶段（检测与发现）

漏洞优先级分层：

- 🔴 第一梯队（必测必报）: 确认即报告，不确认不编造

- 🟡 第二梯队（验证后报告）: 仅在有实际危害证据时报告

- ⚫ 第三梯队（默认不报）: 技术特性/架构问题，非安全漏洞。除非展示完整利用链+实际数据泄露/账户劫持，否则一律不输出

⚠️ 这些是架构特性/配置问题，不是安全漏洞。除非能展示完整利用链造成实际数据泄露或账户劫持，否则一律不输出。

99% 的情况下，以下项目检查后直接跳过，不在报告中出现。

Web 漏洞 — 利用阶段（武器化）

各漏洞利用Payload在对应reference的「利用阶段」section中，WAF绕过为利用阶段通用技巧

主机与后渗透

免杀规避

工具速查 (独立 tools/ 目录)

Payload 速查入口

零结果处理

路由边界