reverse-skills-max: initial public release (restored, redacted, hardened)

2026-10-20 02:17:15 +03:00
commit da24c2bd20
2227 changed files with 443931 additions and 0 deletions
--- a/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/00-index.md
+++ b/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/00-index.md
@@ -0,0 +1,66 @@
+# 行业垂直 playbook 总目录
+
+> 按行业组织的"目标定向"playbook，对应不同行业的资产清单 + 高价值漏洞分布。
+> 与 `playbooks/` 的关系：
+> - `playbooks/` 按**漏洞类型**组织（IDOR / RCE / SSRF / …）。
+> - `industry/` 按**目标行业**组织（银行 / 电信 / …）→ 拿到目标先看本目录定打法，再翻对应类型 playbook。
+
+---
+
+## 怎么用
+
+```
+拿到目标 → 判断行业  →  打开对应 industry playbook
+                          │
+                          ├─ 攻击面分层图（资产清单）
+                          ├─ 行业特有的高价值漏洞类型
+                          └─ 行业特有的探测路径
+
+  目标资产已在攻击面图上 → 跳到对应类型 playbook 落实利用
+  目标资产不在 → 子产品测绘扩面（GitHub / APP / 微信小程序 / 子域）
+```
+
+---
+
+## 行业目录
+
+| 文件 | 主要资产 | 主打漏洞类型 | 高危占比段 |
+|------|---------|-------------|----------|
+| `banking-finance.md` | 网银 / 手机银行 / 微信银行 / 直销银行 / 信用卡中心 / 第三方支付 / 聚合支付 | 金额篡改 (83%) / 支付绕过 (68.7%) / 密码重置 (88%) | 顶段 |
+| `telecom-isp.md` | 网厅 / 掌厅 / BOSS / SP-CP 平台 / 短信网关 / 物联网卡平台 / 网管(NMS) | 越权 (62.3%) / 弱口令 (58.2%) / 未授权访问 / 边界设备 | 中–高段 |
+
+---
+
+## 行业打法的共同骨架
+
+每个行业 playbook 都按这个结构写：
+
+```
+1. 攻击面分层模型（互联网 / 接口通道 / 内部系统 三层资产）
+2. 行业特有高危漏洞类型（带 WooYun 案例数）
+3. 行业特有的攻击面（不易在 OWASP / H1 通用 playbook 上找到的）
+4. GetShell / 横向移动路径（按优先级）
+5. 实战 Checklist（信息收集 / 漏洞发现 / 深度利用）
+```
+
+---
+
+## 与 SRC 平台的关系
+
+| 行业 | 对应 SRC 入口 |
+|------|--------------|
+| 银行 / 金融 | 各行 SRC（招行 / 建行 / 平安 / 蚂蚁 / 支付宝 / 银联 / 财付通） + 补天金融专项 + HVV 金融行业 |
+| 电信 / ISP | 各运营商 SRC（移动 / 联通 / 电信 / 广电）+ HVV 运营商行业 |
+
+**红线**：金融、电信都属于关键基础设施，证据纪律比通用 SRC 更严格——不写、不删、不改、不留 webshell。详见 `methodology/03-evidence-discipline.md`。
+
+---
+
+## 与方法论 / 字典的关联
+
+```
+methodology/05-srctimebox-priority.md   →  按时间盒选行业内的优先漏洞
+playbooks/<具体类型>.md                  →  落实漏洞类型的探测/利用
+dictionaries/default-credentials-cn.md   →  行业内 CN 厂商默认凭据
+dictionaries/chinese-srcfingerprints.md  →  行业组件指纹与默认路径
+```
--- a/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/banking-finance.md
+++ b/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/banking-finance.md
@@ -0,0 +1,338 @@
+# 银行 / 金融行业渗透 playbook
+
+> 视角：黑盒，针对国内银行（国有/股份制/城商/民营）+ 第三方支付 + 聚合支付 + 互金平台。
+> 数据基础：金融领域 2,919 个真实案例，68%–88% 高危占比。
+
+---
+
+## 1. 一句话定位
+
+银行/金融业的漏洞特点：**资金类漏洞占比小但单发价值高**，**鉴权层 + 接口层是主战场**。一个支付绕过的赏金可以等于普通 SaaS 一年的全部收益。
+
+不要盯着"网银 RCE"——那是十年前的玩法。今天值钱的是：
+- 第三方支付 / 聚合支付的接口签名缺陷
+- 手机银行 APP 的接口（鉴权往往比 Web 弱）
+- 直销银行 / 微信银行的"轻量化"业务系统
+- 信贷 / 风控管理后台的越权
+
+---
+
+## 2. 攻击面分层模型
+
+```
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第一层：互联网边界                              │
+├─────────────────────────────────────────────────────────────────────────┤
+│  网银系统 │ 手机银行 │ 微信银行 │ 直销银行 │ 信用卡中心 │ 官网/活动页    │
+│  小程序   │ APP      │ H5       │ 公众号   │ 营销活动   │ 客服系统       │
+└─────────────────────────────────────────────────────────────────────────┘
+                                    │
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第二层：接口/通道层                             │
+├─────────────────────────────────────────────────────────────────────────┤
+│  支付接口 │ 银联通道 │ 快捷支付 │ 代扣代付 │ 聚合支付 │ 开放银行 API     │
+│  发卡接口 │ 风控接口 │ 短信网关 │ 二次认证 │ 数字证书 │ 人脸识别         │
+└─────────────────────────────────────────────────────────────────────────┘
+                                    │
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第三层：内部系统层                              │
+├─────────────────────────────────────────────────────────────────────────┤
+│  核心银行 │ 信贷系统 │ 风控系统 │ 反洗钱   │ 客户管理 CRM │ 报表系统    │
+│  对账系统 │ 清算系统 │ 票据系统 │ 衍生品   │ 内部 OA      │ 邮件系统    │
+└─────────────────────────────────────────────────────────────────────────┘
+```
+
+---
+
+## 3. 高危漏洞类型分布（金融特化）
+
+### 3.1 第一梯队：资金类（68%–88% 高危）
+
+| 漏洞类型 | 高危占比 | 银行特有场景 | 主要 playbook |
+|---------|---------|-------------|--------------|
+| 密码重置 | 88.0% | 网银/手机银行登录密码、交易密码、支付密码 | `logic-flaws.md` §3.1 |
+| 提现 | 83.1% | 转账限额绕过、提现校验缺陷 | 本篇 §4.3 |
+| 金额篡改 | 83.0% | 转账金额、理财金额、还款金额 | `logic-flaws.md` §3.4 |
+| 余额篡改 | 77.9% | 账户余额、积分、虚拟卡 | 本篇 §4.4 |
+| 订单篡改 | 74.2% | 信用卡订单、理财下单 | `logic-flaws.md` §3.4 |
+| 价格篡改 | 74.3% | 理财产品价格、增值服务 | `logic-flaws.md` §3.4 |
+| 支付绕过 | 68.7% | 快捷支付、代扣代付、跨行转账 | 本篇 §4.1 |
+
+### 3.2 第二梯队：鉴权 / 信息类
+
+| 漏洞类型 | 案例数 | 银行特化场景 |
+|---------|-------|------------|
+| 弱口令 | 7,513 | 网银运维后台、ATM 监控、行内 OA |
+| 越权 | 1,705 | 查看他人账户 / 流水 / 客户信息 |
+| 验证码 | 334 | 登录、转账、密码重置、人脸识别 |
+| 信息泄露 | 4,858 | 客户 PII / 交易记录 / 信贷资料 |
+
+### 3.3 第三梯队：客户端 / 移动端
+
+银行特有，通用 SRC 库少有覆盖：
+
+- **手机银行 APP 加固绕过**：Frida / Objection 反调试
+- **SSL Pinning 绕过**：Frida hook
+- **本地存储敏感数据**：sqlite / sharedPrefs / 内存中的明文密码
+- **签名算法逆向**：交易请求签名（HMAC / RSA）
+- **小程序密钥硬编码**：微信小程序包内的 AppSecret / 签名 key
+
+---
+
+## 4. 银行特有攻击场景
+
+### 4.1 第三方/聚合支付接口（重点矿区）
+
+```
+攻击面：
+├── 商户密钥泄露（GitHub/Gitee/外包代码）
+├── 异步通知（notify_url）签名缺陷
+├── 同步回调（return_url）参数可控
+├── 金额二次校验缺失
+├── 商户号越权（A 商户的 mch_id 用 B 商户密钥）
+└── 测试支付网关凭据（沙箱密钥用于生产）
+```
+
+**探针清单**：
+
+```bash
+# 1. notify_url 重放
+curl -X POST https://target/pay/notify \
+  -d "out_trade_no=ORDER001&total_fee=100&trade_status=SUCCESS&sign=XXX"
+# 看是否多次发货
+
+# 2. 签名校验缺失测试
+# 删除 sign / 置空 sign / 用错误 sign
+curl -X POST https://target/pay/notify -d "out_trade_no=ORDER001&trade_status=SUCCESS"
+
+# 3. 修改 total_fee 但保持 sign
+# （多数实现是先校 sign 再处理金额，但有少数实现把 sign 算法暴露在前端）
+```
+
+**关键参数**：`amount` / `total_fee` / `price` / `total` / `out_trade_no` / `trade_no` / `mch_id` / `sign` / `signature` / `appid` / `nonce_str` / `notify_url` / `return_url` / `attach`。
+
+### 4.2 手机银行 APP
+
+```
+APP 渗透流程：
+1. 抓包突破：绕过 SSL Pinning（Frida / Objection）
+2. 逆向分析：脱壳 → jadx 反编译 → 签名算法逆向 → 密钥提取
+3. Hook 测试：绕过人脸/指纹/手势校验、修改限额检测
+4. 接口比对：APP 接口 vs Web 接口的差异（APP 接口往往鉴权更弱）
+5. 内部 SDK：埋点/推送/客服 IM 的 SDK 是否暴露内部接口
+```
+
+**APP 鉴权常见缺陷**：
+- APP 接口仅校验 token，不校验角色
+- APP 接口跳过 Web 的 WAF / 风控
+- APP 接口的 user-agent / 客户端类型 校验可绕过（仿造 `User-Agent: BankApp/1.0`）
+
+详见 `playbooks/mobile.md`。
+
+### 4.3 提现 / 转账（83.1% 高危）
+
+```
+转账接口测试矩阵：
+1. 金额向负
+   amount = -1000  → 收款方扣款，发款方加款
+2. 限额绕过
+   - 改 amount 数据类型：number → string ("100")
+   - 用科学计数：1e10
+   - 用极小小数：0.001 × 1000 次（凑齐限额）
+3. 双花 / 竞态
+   并发提现 N 次余额额度
+4. 改收款方 (to_account / payee_id)
+   把转账目标改成攻击者控制的账户
+5. 状态机
+   - 改 status=SUCCESS（伪造已成功）
+   - 重放成功的转账回调
+```
+
+**红线**：
+- 不实际向陌生账户转账。所有金额测试用研究员自有账号 → 自有账号。
+- 极小金额（0.01 元）即停。
+- 任何"返还" / "撤回"操作都要立即截图存证，便于后续对账。
+
+### 4.4 余额 / 积分 / 卡券
+
+| 攻击 | 方法 |
+|------|------|
+| 负向转账 | `amount=-100` |
+| 余额计算绕过 | 客户端请求中改 `balance` 参数 |
+| 小数精度漏洞 | 提现 0.001 × 10000 次（舍入累积）|
+| 卡券生成 | 任意调发卡接口 |
+| 积分汇率 | 兑换接口里改"1 积分 = X 元"的值 |
+
+真实案例：
+- 神舟专车充值流程免输信用卡交易密码（套现绕过）
+- 鱼泡泡 APP 任意用户登录可影响余额（sign 绕过）
+- 宁波银行直销银行看任意卡余额
+- 中国平安某处验证逻辑问题导致管理商品价格
+
+### 4.5 验证绕过（金融行业特别版）
+
+#### 短信验证码
+
+```
+├── 爆破：4–6 位数字 + 100 线程，30 秒爆完
+├── 并发：绕过频率限制
+├── 复用：同一验证码用多次
+├── 回显：响应中泄露
+├── 万能：测试期 0000 / 1234
+└── 跨流程：注册流程的码用于重置
+```
+
+#### 人脸识别
+
+```
+├── 照片攻击：纸照 / 屏幕回放
+├── 视频攻击：眨眼 / 摇头视频
+├── Hook 返回值：Frida hook 人脸校验函数
+├── 接口重放：重放成功的人脸 API 响应
+└── 替换人脸数据：抓包修改 face_data 字段
+```
+
+#### U 盾 / 数字证书
+
+> 大多数 U 盾相关攻击在 2020 年后已被生物识别+硬件 TEE 取代，仅在企业网银仍少量在线。
+
+#### 交易签名
+
+```
+├── 签名密钥硬编码 / 通过 GitHub 找到
+├── 关键字段未参与签名（如改 amount，sign 不变也通过）
+├── 签名校验可选（删 sign 字段直接通过）
+└── 签名算法降级（RSA → HMAC → MD5 → 无）
+```
+
+---
+
+## 5. 高价值目标资产
+
+| 目标系统 | 价值 | 黑盒可见度 |
+|---------|-----|-----------|
+| 核心银行系统 | ⭐⭐⭐⭐⭐ | 极低（内网） |
+| 信贷系统 | ⭐⭐⭐⭐ | 中（部分对外暴露审批/查询接口） |
+| 风控系统 | ⭐⭐⭐⭐ | 低 |
+| 反洗钱系统 | ⭐⭐⭐⭐ | 低 |
+| CRM / KYC | ⭐⭐⭐ | 中 |
+| 客服 / 工单系统 | ⭐⭐ | 高（最容易突破） |
+| 营销活动 / H5 | ⭐⭐ | 极高（最常见入口） |
+| 信用卡中心 | ⭐⭐⭐⭐ | 中 |
+
+**实战路径**：从营销活动 H5 / 客服系统 → 撞库 / 越权 → 客户 PII → 联动信用卡中心 → 信贷系统。
+
+---
+
+## 6. GetShell / 横向移动
+
+### 6.1 边界设备
+
+```
+VPN / 网关漏洞：
+├── Pulse Secure CVE-2019-11510
+├── Fortinet CVE-2018-13379
+├── Citrix CVE-2019-19781
+├── 深信服 VPN 任意密码重置
+└── 安恒 / 启明 / 天融信 设备弱口令
+
+CDN 回源：
+├── 找真实 IP（fofa "icon_hash" / 历史 DNS）
+├── 直接打回源
+└── 配置层：Host 头注入
+```
+
+### 6.2 第三方外包 / 供应链
+
+```
+供应链路径：
+├── 外包公司 → 开发测试环境 → 正式环境
+├── 设备供应商 → 预置账号
+├── 服务提供商 → 短信 / 身份核验 / 反欺诈 SDK
+└── 印刷厂 / 卡商 → 卡号 / 加密密钥
+```
+
+### 6.3 GetShell 优先级（金融场景）
+
+```
+1. Struts2 RCE（S2-045/046/048/052/057/059）── 银行老系统常见
+2. WebLogic 反序列化（CVE-2017-10271 / 2019-2725 / 2020-14882）
+3. Shiro 反序列化（rememberMe）── 国产 OA / 工单系统常见
+4. Fastjson RCE 1.2.x ── 接口层常见
+5. Log4Shell ── 内部日志框架
+6. 文件上传绕过 ── OA / CMS 编辑器
+```
+
+详见 `playbooks/rce.md` 和 `playbooks/file-upload.md`。
+
+---
+
+## 7. 实战 Checklist
+
+### 7.1 信息收集
+- [ ] 子域枚举（含 ipv6）
+- [ ] APP / 小程序 / 公众号下载分析
+- [ ] GitHub / Gitee / 码云代码搜索（公司名 + commitor 邮箱）
+- [ ] 历史接口 Wayback Machine
+- [ ] 微信小程序 + 公众号底部菜单的 H5
+- [ ] 营销活动页 / 双 11 / 春节红包活动页
+- [ ] 客服系统 / 工单系统的子域
+- [ ] 信用卡中心独立子站
+
+### 7.2 漏洞探测
+- [ ] 弱口令（运维后台 / OA / 邮件）
+- [ ] 业务逻辑（支付 / 转账 / 密码重置 / 信用卡分期）
+- [ ] 越权（横向 / 纵向）
+- [ ] 接口安全（签名 / 加密 / 重放）
+- [ ] APP 客户端安全（脱壳 / Pinning / 本地存储）
+- [ ] 第三方支付 notify_url 缺陷
+- [ ] 验证码（短信 / 图形 / 人脸）
+- [ ] 任意 X 子授权（任意账号 / 任意操作）
+
+### 7.3 深度利用
+- [ ] 支付金额篡改（自账→自账）
+- [ ] 验证码并发爆破
+- [ ] 人脸识别接口重放
+- [ ] 并发条件竞争（提现 / 优惠券）
+- [ ] 内部接口越权（仅限可证明）
+
+---
+
+## 8. 真实案例指纹（金融）
+
+| 案例 | 一句话指纹 | 漏洞分类 |
+|------|----------|---------|
+| 中原银行 GetShell（影响财付通 / 支付宝）| 边界 Web RCE → 内网 | 边界 RCE |
+| 通联支付文件遍历读取（Oracle EBS）| `/oracle.../read?path=` | 任意文件读 |
+| 某第三方支付机构 SOAP 注入（DBA + 9 库）| WSDL 暴露 + WS 注入 | SQLi |
+| 神舟专车充值免交易密码 | 客户端跳过 PIN | 支付绕过 |
+| 鱼泡泡 APP 任意账号 | sign 字段空值绕过 | 任意账号 |
+| 宁波银行直销银行看任意卡余额 | API 不校验账户归属 | IDOR |
+| 百姓大药房 2000W PII + 余额 | 弱口令 + 后台越权 | 弱口令 |
+| 中国平安 100W PII + 价格管理 | 鉴权 + 价格校验缺失 | 越权 |
+
+---
+
+## 9. 红线（金融行业 SRC 特别版）
+
+- **绝不**：转账给陌生账户。研究员账号自转自即停。
+- **绝不**：实测信用卡盗刷 / 套现 / 实物兑换。
+- **绝不**：使用真实客户的身份证 / 银行卡 / 手机号测试。准备 5+ 个研究员名下的测试卡。
+- **绝不**：扫描银行公开 IP 段（涉嫌违反《关键信息基础设施安全保护条例》）。仅扫漏洞奖励计划明确授权的资产。
+- **绝不**：在生产环境留 webshell / cron / SSH 公钥。证明到 RCE 即停，立即清理 + 在报告中说明清理时间。
+- **绝不**：数据外泄（即使是给厂方）。报告中只贴 1–3 条脱敏样本。
+
+---
+
+## 10. 与方法论 / 字典链接
+
+```
+methodology/05-srctimebox-priority.md   →  金融行业的 88% / 83% 重点漏洞
+playbooks/logic-flaws.md                 →  支付 / 订单 / 密码重置详细
+playbooks/arbitrary-x-authz.md           →  任意账号（86.4%）/ 任意操作
+playbooks/oauth-saml-jwt.md              →  SSO / JWT / 联邦身份
+playbooks/mobile.md                      →  手机银行 APP
+playbooks/race-conditions.md             →  并发提现 / 优惠券
+dictionaries/default-credentials-cn.md   →  网银 / OA / 监控的国产默认凭据
+dictionaries/chinese-srcfingerprints.md  →  金融常见组件指纹（致远 OA / 用友 / 金蝶等）
+```
--- a/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/telecom-isp.md
+++ b/reverse-skill-repo/skills/pentest-tools/src-hunter/references/industry/telecom-isp.md
@@ -0,0 +1,315 @@
+# 电信 / 运营商 / ISP 渗透 playbook
+
+> 视角：黑盒，针对国内三大运营商（移动 / 联通 / 电信）+ 广电 + 各地 ISP + 物联网卡服务商。
+> 数据基础：运营商行业 WooYun 案例聚焦弱口令 (7,513) / 越权 (1,705) / 未授权 (1,891) 三大类。
+
+---
+
+## 1. 一句话定位
+
+运营商系统的特点：**资产规模大 + 系统老 + 内部接口多**。
+- 入口多：网厅 / 掌厅 / H5 / 公众号 / 小程序 / SP-CP / 各省分公司站。
+- 后台多：BOSS / OA / NMS / AAA / 短信网关 / 物联网卡平台。
+- 漏洞多：以**弱口令 + 越权 + 未授权**为主，金融业的支付篡改在运营商场景里换成"话费/流量充值"。
+
+**金矿点**：省分公司、SP/CP 第三方接入平台、物联网卡管理平台。
+
+---
+
+## 2. 攻击面全景图
+
+```
+                          运营商攻击面
+                                │
+    ┌─────────┬─────────┬───────┴───────┬─────────┬─────────┐
+    ▼         ▼         ▼               ▼         ▼         ▼
+ 互联网门户  移动APP   增值业务平台   内部系统   物联网平台 供应链
+    │         │         │               │         │         │
+ ├─网厅    ├─掌厅    ├─SP/CP 接入   ├─OA       ├─IoT 卡  ├─外包
+ ├─积分商城 ├─H5     ├─短信网关     ├─邮件     ├─M2M     ├─设备商
+ ├─营业厅  ├─SDK     ├─计费接口     ├─VPN      ├─车联网   ├─运维商
+ └─营销活动           └─代理商门户   └─NMS                └─印刷厂
+```
+
+---
+
+## 3. 高危漏洞类型分布
+
+### 3.1 弱口令（7,513 案例，58.2% 高危）
+
+> 运营商最大矿区——内部系统 + 工号制后台 + 老旧厂商设备。
+
+| 目标系统 | 常见弱口令 | GetShell 可能 |
+|---------|----------|---------------|
+| BOSS 后台 | admin/admin、工号/123456、工号/工号 | ⭐⭐⭐⭐⭐ |
+| 网管平台 / NMS | root/root、huawei/huawei、admin/Huawei@123 | ⭐⭐⭐⭐⭐ |
+| OA 系统 | admin/admin、工号/123、123/123 | ⭐⭐⭐⭐ |
+| 数据库 | sa/空、root/root、postgres/postgres | ⭐⭐⭐⭐⭐ |
+| Docker API | 无认证 | ⭐⭐⭐⭐⭐ |
+| 中间件 | tomcat/tomcat、weblogic/weblogic、admin/123 | ⭐⭐⭐⭐⭐ |
+| 监控 | admin/zabbix、admin/admin（Grafana / Prometheus）| ⭐⭐⭐⭐ |
+| 网络设备 | huawei/huawei、admin/admin、cisco/cisco | ⭐⭐⭐⭐ |
+
+**检测方法**：
+```bash
+# 速率控制（运营商 SRC 严禁高频爆破）
+hydra -L users.txt -P top200.txt -t 4 -W 2 target ssh
+hydra -l admin -P passwords-cn.txt -t 4 target http-post-form "/login:user=^USER^&pwd=^PASS^:F=失败|invalid"
+
+# 注意：单 IP 速率控制 4 线程，≤ 50 次/小时
+```
+
+详见 `dictionaries/default-credentials-cn.md`。
+
+### 3.2 越权（1,705 案例，62.3% 高危）
+
+**运营商特有越权点**：
+
+| 功能点 | 关键参数 | 影响 |
+|-------|---------|-----|
+| 话费查询 | `phone`, `mobile`, `mob` | 查任意用户话费 |
+| 通话记录 / 详单 | `cust_id`, `user_id`, `acc_nbr` | 任意用户通话记录（涉及隐私） |
+| 套餐变更 | `order_id`, `pkg_id` | 修改他人套餐 |
+| 实名信息 | `id_card`, `cert_no` | 泄露身份证扫描件 |
+| 流量包订购 | `phone`, `productId` | 给他人订购付费包 |
+| 充值记录 | `phone`, `month` | 查充值历史 |
+
+**绕过技巧**：
+```
+参数污染：?uid=自己&uid=目标
+数组注入：uid[]=目标
+JSON 嵌套：{"user":{"id":目标}}
+GET / POST 切换：GET 鉴权 / POST 不鉴权
+省份参数：?provinceCode=改成全省
+```
+
+### 3.3 未授权访问（1,891 案例）
+
+**高频暴露路径**：
+
+```
+后台
+/admin           /manager          /console
+/manage          /manager/html     /jmx-console
+
+监控
+/zabbix          /grafana          /nagios
+/server-status   /nginx_status
+
+中间件
+/weblogic-console  /actuator      /druid
+/dubbo-admin       /nacos         /xxl-job-admin
+
+API 文档
+/swagger-ui       /api-docs       /v2/api-docs
+/openapi.json
+
+数据库
+/phpmyadmin      /pma            /myadmin
+/adminer         /eshore-mongo
+
+定制系统（运营商常见）
+/seeyon          /seeyon/m       /seeyon/management
+/oa              /oa/login       /portal
+/web-bbs         /sso-server     /CRM
+/u2000           /eMaster        /M2000
+```
+
+详见 `dictionaries/chinese-srcfingerprints.md`。
+
+---
+
+## 4. 不常见但高价值的攻击面
+
+### 4.1 SP / CP 增值业务平台
+
+```
+特征：
+├── 第三方接入，安全要求往往低于运营商主站
+├── 与计费系统直接对接（找一个就能影响计费）
+├── SP 接口含 mobile / spid / accessNumber 参数
+└── 多数采用老旧 SOAP / WebService 协议
+
+切入点：
+├── 短信 / 彩信下发平台（短信网关）
+├── 流量加油包接口
+├── 视频 / 音乐 SP 接入接口
+└── WAP 推送平台
+```
+
+**典型案例**：
+- 三大运营商 SP 平台（涉及 wooyun-2015-0131337 等多起）
+- 某省电信商企平台大量注入（wooyun-2015-0134241，参数 `PARENTTYPEID`）
+- 某通信厂商 SQL + 任意文件下载（wooyun-2016-0205773，参数 `token, sameName, selfilePath, fileName, siteId`）
+
+### 4.2 物联网卡管理平台
+
+```
+攻击面：
+├── IoT 设备管理后台（卡片激活 / 状态查询）
+├── 批量开通接口（API 鉴权弱）
+├── M2M 平台 API
+├── 车联网（T-Box）回连接口
+└── 工业 IoT 平台
+```
+
+**关键参数**：`iccid`, `imsi`, `imei`, `customerId`, `terminalId`, `cardId`。
+
+### 4.3 网管系统（NMS）
+
+```
+华为系列：
+├── U2000  ── 城域网/接入网网管
+├── M2000  ── 移动核心网网管
+├── eMaster── 设备主管理器
+└── iManager U2000  ── 默认 admin/Changeme_123
+
+中兴 / 烽火 / 上海贝尔：
+├── NetNumen  ── 中兴网管
+├── OTNM2000  ── 烽火光网网管
+└── 5620 SAM  ── 上海贝尔
+```
+
+> **一旦突破网管 → 可控制核心网络设备 → 极高价值，但红线极严**。
+
+### 4.4 计费系统
+
+WooYun 案例：中国铁通计费系统 GetShell + 生成充值卡（任意发卡）。
+特征：
+- 接口路径含 `/billing/`、`/recharge/`、`/payment/`
+- 关键参数：`phone`、`amount`、`cardNo`、`cardPwd`、`recordId`
+
+---
+
+## 5. GetShell / 横向移动路径
+
+### 5.1 路径一：Web RCE 直入
+
+```
+优先级排序：
+1. Struts2 RCE（S2-045/046/048/052/057/059）
+   ── 大量省分公司老系统在用
+2. WebLogic 反序列化（CVE-2017-10271 / 2019-2725 / 2020-14882）
+   ── BOSS 系统常见
+3. Shiro rememberMe 反序列化
+   ── 内部 OA / 工单系统
+4. Fastjson 1.2.x RCE
+   ── SP 接入平台
+5. 文件上传绕过（FCKeditor / eWeb / UE / Kind）
+   ── 大量老 OA + 政企系统
+6. SQL 注入 → xp_cmdshell / into outfile
+   ── ASP / JSP 老站
+7. JBoss / WebLogic / Tomcat 默认凭据 → war 部署
+```
+
+### 5.2 路径二：边界设备
+
+```
+VPN：
+├── Pulse Secure CVE-2019-11510
+├── Fortinet CVE-2018-13379
+├── Citrix CVE-2019-19781
+└── 深信服 / 启明 / 天融信 / 安恒 设备
+
+网络设备：
+├── 华为 NE / S 系列默认密码（部分在用）
+├── 思科 Smart Install 协议滥用
+├── SNMP Community String 泄露（public / private / 厂家固定）
+└── 各类 RouterOS / Mikrotik 旧版漏洞
+```
+
+### 5.3 路径三：供应链
+
+```
+切入：
+├── 外包开发 → 测试环境 → 正式环境
+├── 运维终端 → AD 凭据 → 域控
+├── 第三方设备 → 预置默认账号
+└── 印刷厂 → 充值卡密 / 物联网卡密
+```
+
+---
+
+## 6. 横向移动目标
+
+| 目标系统 | 价值 | 难度 |
+|---------|-----|------|
+| BOSS 系统 | 用户数据、计费控制 | 高 |
+| AAA 认证中心 | 全网用户凭证 | 高 |
+| 短信网关 | 短信劫持（接管验证码） | 高 |
+| 核心网设备（HSS / MME） | 网络控制面 | 极高 |
+| DNS 服务器 | 流量劫持 | 中 |
+| 计费 / 营账 | 任意发卡 / 套餐 | 高 |
+| 实名系统 | 身份证 / 人脸数据库 | 极高 |
+
+> 短信网关、核心网、AAA、实名 — 这四个属于"敏感目标禁区"，即使 SRC 授权也不要深入。证明可访问即停。
+
+---
+
+## 7. 实战 Checklist
+
+### 7.1 信息收集
+- [ ] 子域枚举（含各省 / 城市分公司，如 *.10086.cn 下的省级子域）
+- [ ] 端口扫描（非标准端口，运营商常用 8085 / 8089 / 8443 / 8161）
+- [ ] GitHub / Gitee 代码泄露（运营商外包占比高）
+- [ ] 网络空间测绘（Shodan / Fofa / 360 Quake）
+- [ ] APP / 小程序 / 公众号下载（注意：每个省可能有独立 APP）
+- [ ] H5 营销活动 / 流量送礼活动
+
+### 7.2 漏洞发现
+- [ ] 弱口令爆破（注意限速）
+- [ ] 越权测试（手机号 / 工号 / 客户 ID 遍历）
+- [ ] 未授权访问（参考 `playbooks/unauth-access.md`）
+- [ ] 框架漏洞扫描（Struts2 / WebLogic / Shiro / Fastjson）
+- [ ] 接口未授权（Swagger 抓 → 无 token 调）
+- [ ] SP / CP 接入平台（鉴权弱）
+- [ ] 物联网卡平台
+
+### 7.3 GetShell 后
+- [ ] 权限维持（仅证明，不长留）
+- [ ] 内网信息收集（仅 IP / 主机名级别）
+- [ ] 凭证获取（仅截图，不外泄）
+- [ ] 横向证明（最多打到第二台机器即停）
+- [ ] 立即清理 + 报告中说明清理时间
+
+---
+
+## 8. 真实案例指纹
+
+| 案例 | 一句话指纹 | 类型 |
+|------|----------|------|
+| 涉及三大运营商某站 wooyun-2015-0131337 | `/FrameAction/index.do` + 工号 / 123456 | 弱口令 |
+| 某省电信商企平台 wooyun-2015-0134241 | 参数 `PARENTTYPEID` SQL 注入 | SQLi |
+| 某通信厂商 17W 用户 wooyun-2016-0205773 | `token / sameName / selfilePath` 多参 | SQLi + 文件下载 |
+| 中国铁通计费系统 | 计费接口任意发卡 | 任意操作 |
+| e 信 wifi 多系统 100W 用户 + 100W 充值卡 | 多漏洞链 | 信息泄露 |
+| 国家电网某站点 wooyun-2016-0193221 | admin/123 + 合闸/拉闸 | 弱口令 |
+| 某社交平台核心机房漫游 wooyun-2015-095043 | OTNM2000 网管 8089 | 配置不当 |
+
+---
+
+## 9. 红线（电信 / 运营商行业特别版）
+
+- **绝不**：触碰短信网关 / 短信发送接口（即使可调）。任何短信发送都属于实测，违反通信法规。
+- **绝不**：实测合闸 / 拉闸 / 工业控制接口（电力、燃气、水务关联）。证明可达即停。
+- **绝不**：调用核心网命令（HSS、MME、网元配置）。
+- **绝不**：在网管系统执行任何写操作（即使 root 权限）。
+- **绝不**：扫描运营商公网 IP 段。仅授权资产 + 已知子域。
+- **绝不**：实名系统数据外泄。任意截图必须脱敏到无法识别个人。
+- **测试限速**：单目标 ≤ 4 并发，path fuzzing ≤ 5 rps。
+- **GetShell 即停**：证明 RCE → 立即清理 → 报告中标注清理 hash + 时间。
+
+---
+
+## 10. 与方法论 / 字典链接
+
+```
+methodology/05-srctimebox-priority.md   →  弱口令/越权/未授权 时间盒
+playbooks/unauth-access.md               →  默认凭据 / Redis / Mongo / Actuator
+playbooks/arbitrary-x-authz.md           →  任意操作（充值卡 / 套餐订购）
+playbooks/sqli.md                        →  老 ASP/JSP 站 SQL
+playbooks/file-upload.md                 →  FCKeditor / eWeb / UE / Kind
+playbooks/rce.md                         →  Struts2 / WebLogic / Shiro / Fastjson
+dictionaries/default-credentials-cn.md   →  华为 / 中兴 / OA / 网管默认凭据
+dictionaries/chinese-srcfingerprints.md  →  致远 / 通达 / 万户 / SP 平台路径
+```