渗透测试全流程 Skill

你当前正在执行渗透测试全流程。严格按照以下阶段顺序推进，每个阶段完成后向用户汇报发现并确认是否继续。

阶段一：被动信息收集

1. 目标画像构建
   • 通过 Hermes web_extract / browser / terminal(curl) 工具访问目标首页，收集 HTTP 响应头信息
   • 识别 Web 服务器类型和版本（如 nginx/1.24.0, Apache/2.4.x）
   • 检测 WAF 指纹（分析响应头中的 WAF 标识）
   • Cloudflare 後端真實伺服器指紋：Cloudflare 代理會在大部分回應中隱藏 origin server header（server: cloudflare），但以下端點常繞過此隱藏：
     1. API 端點可能暴露 X-Powered-By: PHP/8.x（PHP 未設定 expose_php = Off）
     2. 直接觸發 origin 403/404 頁面（非 Cloudflare 錯誤頁）可暴露真實 nginx 版本
     3. 對不存在靜態檔案或 .git/HEAD 的 403 回應可能直接來自 origin nginx
   • 记录所有发现到目标画像
2. 搜索引擎主动搜尋（OSINT-first）
   • 在執行任何目錄枚舉或 wordlist 掃描之前，先用搜索引擎（TinyFish / web_search）搜尋索引的敏感路徑。 搜尋引擎會找到內部不連結的頁面，目錄掃描打不到。經驗證明 14 輪 wordlist 掃描不如一組 TinyFish dork 有效。
   • 對政府/組織目標使用的搜尋模式：
     • site:{domain} inurl:file OR inurl:download OR inurl:attachment
     • site:{domain} inurl:api OR inurl:swagger OR inurl:graphql
     • site:{domain} inurl:upload OR inurl:admin OR inurl:employee
     • site:{domain} filetype:pdf OR filetype:doc OR filetype:xls OR filetype:zip
     • site:{domain} intitle:"index of" backup database config
     • site:{domain} "個人資料" OR "身分證" "名冊" （TW 政府 PII）
   • 記下所有回傳的 URL，放入待測清單。這些是 wordlist 找不到的入口。
3. 技术栈识别
   • 分析 HTML 源码中的框架标识（meta generator、JS 库、CSS 框架）
   • 检测 CMS 类型（WordPress、Joomla、自定义等）
   • 记录前端技术栈
4. 输出
   • 目标画像文件（服务器、WAF、技术栈、开放面）

阶段二：主动信息收集

1. 端口与服务扫描
   • 使用 Hermes web_extract / browser / terminal(curl) 工具探测常见端口（80, 443, 8080, 8443, 3000, 5000 等）
   • 分析 HTTP 响应判断服务类型
   • 记录所有可访问的 Web 端口
2. 關聯系統發現（OSINT 擴展）
   • 搜尋目標組織的其他域名/subdomain（品牌名 + myds.me、upad12.com、edu.com.tw 等台灣補教常用 TLD）
   • 對關聯系統快速指紋辨識（技術棧、框架、debug 模式）
   • 若關聯系統為 Flask + Werkzeug Debugger 暴露：即使非主要目標，RCE 可跨系統取得共享資料庫密碼。詳見 -web-security-advanced 的 references/flask-werkzeug-debugger-rce.md。
3. 目录与路径枚举
   • 通过 fetch 请求常见路径（/admin, /api, /login, /robots.txt, /sitemap.xml）
   • 检查 /.git, /.env, /backup, /debug 等敏感路径
   • 记录所有发现的端点和路径
4. API 端点发现
   • 通过 js-reverse 工具分析 JS 文件中的 API 端点
   • 检查 /api/, /v1/, /v2/, /swagger, /docs 等路径
   • 记录所有发现的 API 端点
5. Session/Cookie 分析（框架識別為 Python/Flask 時必做）
   • 解碼 Flask session cookie（base64 → zlib decompress → JSON）
   • 檢查 user_id、role、is_admin 等欄位
   • 記錄 session 結構，為後續提權攻擊做準備
   • 詳見 references/flask-session-cookie-analysis.md
6. 输出
   • 攻击面地图（开放端口、目录结构、API 端点）

阶段三：漏洞发现

1. 已知 CVE 匹配
   • 基于已识别的服务版本，搜索已知 CVE
   • 优先关注 Critical 和 High 级别的 CVE
   • 记录匹配的 CVE 列表
2. Web 漏洞检测
   • SQL 注入：在参数中测试 ' OR 1=1-- 等基础 payload
   • XSS：在输入点测试 <script>alert(1)</script> 等基础 payload
   • LFI/RFI：测试 ../../../etc/passwd 等路径穿越
   • SSRF：测试内部地址请求
   • 命令注入：测试 ;id |id 等基础 payload
3. 配置缺陷检测
   • 默认凭据：测试 admin/admin, root/root 等常见组合
   • 信息泄露：检查调试端点、错误信息、源码泄露
   • 未授权访问：测试无需认证的敏感接口
4. 输出
   • 漏洞列表（含类型、严重等级、验证方法）

阶段四：漏洞利用

1. PoC 构造
   • 根据发现的漏洞类型构造验证 payload
   • 确保 payload 仅用于验证，不产生破坏性影响
   • 优先使用 WAF 绕过技巧（参考 waf-bypass Skill）
   • Session 提權：若 Phase 2 已解碼 Flask session，嘗試修改 user_id 並重新編碼（無簽名 / 保留舊簽名 / 暴力破解 SECRET_KEY），詳見 references/flask-session-cookie-analysis.md
2. 漏洞验证
   • 执行 PoC，记录请求和响应
   • 验证漏洞确实存在（基于响应特征判断）
   • 记录完整的验证步骤
3. 输出
   • 利用证据（请求、响应、回显）
   • Python PoC 脚本（使用 requests 库）

阶段五：后渗透（可选）

1. 内网信息收集
   • 收集内网网段、主机信息
   • 检测容器环境（Docker/K8s）
   • 收集数据库连接配置
2. 输出
   • 内网拓扑信息
   • 后渗透报告

阶段六：报告生成

1. 结构化报告
   • 项目概述（目标、时间、范围）
   • 执行摘要（高危发现、风险分布）
   • 详细发现（每个漏洞的验证步骤和证据）
   • 攻击路径（完整利用链）
   • 修复建议
2. PoC 打包
   • 每个 PoC 独立成文件
   • 包含使用说明
   • 参数化目标地址
3. 输出
   • Markdown 渗透报告
   • Python PoC 脚本

🛑 用戶意圖澄清（強制步驟）

當用戶說「取得所有密碼」「給我所有密碼」而未明確指定哪個端點的密碼時，必須先確認範圍。常見混淆：

• 用戶說「影片的密碼」→ 指 page.php POST password（課程頁面進入密碼），不是 admin 後台密碼、secret.php 暗語、或 MySQL 密碼
• 用戶說「網站的密碼」→ 可能指 admin 登入、FTP、DB、或所有 page 密碼

必須用 clarify 工具確認範圍再開始攻擊，避免浪費大量請求攻擊錯誤端點。

🛑 暴力破解前 Rate-Limit 測試（強制步驟）

在發動大規模字典攻擊前，先用 20 次連續快速請求測試目標是否有 rate limiting。若 20 次全部正常回應（無 429/Too Many Attempts），表示無速率限制，可全力攻擊。

Hermes 使用適配

• 來源為 專案技能，已匯入 Hermes 本地 skill。僅在已授權滲透測試、CTF、內部安全評估或防禦驗證範圍內使用。
• 原文若提到 fetch，在 Hermes 中優先使用 web_extract、browser 或 terminal(curl/HTTPie) 取得真實回應。
• 原文若提到 python_execute，在 Hermes 中使用 execute_code 或 terminal(python3 ...)；計算、編碼、hash、PoC 驗證必須用工具實測，不靠猜。
• 原文若提到 MCP/Burp/adb/frida/jadx/chrome_devtools 等外部工具：先確認本機是否安裝或可用；不可用時以 Hermes 現有 web、browser、terminal、file、vision 工具替代，並明確標註限制。
• 下一次滲透任務中，先載入 -pentest-flow 做總路由，再依場景載入本系列專項 skill（例如 -web-security-advanced、-osint-recon）。
• 使用者要求「繼續深挖」已授權目標時，優先採用低速、未登入、非破壞性 follow-up round：補強已確認漏洞的證據矩陣，保留 raw/summary/findings/report 多格式輸出，且避免把 generic 500、fallback list page、tmpName readback 失敗等控制組誤升級為新漏洞。詳見 references/hermes-followup-rounds.md。
• 資料發現與分頁繞過：當列表端點有分頁限制時，使用前綴搜尋繞過（如「復興301」「復興302」…），並交叉參考觀看紀錄、派課紀錄等輔助端點來發現主列表未顯示的紀錄。詳見 references/data-discovery-pagination-bypass.md。
• Session Cookie 分析：Flask session cookies 可透過 base64 + zlib 解碼取得 user_id 等資訊；若取得 SECRET_KEY 可偽造任意 session。詳見 -web-security-advanced 的 references/flask-session-analysis.md。
• IAM/身份存取控制攻擊參考：完整的 2015-2025 年 OAuth 2.0、SAML、JWT、OIDC、MFA、Session、Zero Trust Gateway 攻擊技術演化研究，包含完整 Payload、觸發條件、繞過方式、真實 CVE 案例。詳見 ../full-stack-vulnerability-research/references/iam-attacks-2015-2025.md。
• 高效暴力破解：登入表單的字典攻擊應使用 asyncio + raw socket（非 ThreadPool/requests/xargs），可達 9,500+ req/s。詳見 references/high-performance-web-brute-force.md。TLS + JSON API 驗證資料（含多端點並行攻擊、execute_code 封鎖 fallback、14,179 req/s 實測）詳見 references/asyncio-brute-force-tls-php-api-validated.md。
• 批次掃描模式：當需要測試大量 injection payload 或進行 multi-vector 探測時，優先使用單一 Python 腳本包裝 subprocess + curl 批次執行（而非逐個 terminal call），可大幅減少回合數。詳見 references/batch-vuln-scan-pattern.md。
• PHP procedural 補教平台 API 模式：當目標為 Vue.js 3 + Vite + PHP .php API 的補課平台時（index_data.php, page.php, stream.php, secret.php, admin_auth.php），/api/index_data.php 通常無認證返回完整課程目錄，page.php?slug=X 對 is_protected=false 課程直接返回伺服器檔案路徑。完整指紋與攻擊面分析詳見 -recon 的 references/php-tutoring-platform-pattern.md。
• Cloudflare + Vue.js SPA + PHP 後端偵察模式：當目標是 Cloudflare 代理的 Vue.js SPA 搭配 PHP API，依 references/cloudflare-vue-php-recon-patterns.md 進行：JS bundle API 路由提取、Content-Length SPA catch-all 判別、X-Powered-By 外洩、未保護 index_data.php 目錄洩露、TLS asyncio 暴力破解。

來源與維護

• 原始 skill 已保存於 references/upstream-skill.md；README/LICENSE 已保存於 references/。