Pentest Workflow

渗透测试全流程 Skill

你当前正在执行渗透测试全流程。严格按照以下阶段顺序推进，每个阶段完成后向用户汇报发现并确认是否继续。

阶段一：被动信息收集

1. 目标画像构建

• 通过 Hermes web_extract / browser / terminal(curl) 工具访问目标首页，收集 HTTP 响应头信息
• 识别 Web 服务器类型和版本（如 nginx/1.24.0, Apache/2.4.x）
• 检测 WAF 指纹（分析响应头中的 WAF 标识）
• Cloudflare 後端真實伺服器指紋：Cloudflare 代理會在大部分回應中隱藏 origin server header（server: cloudflare），但以下端點常繞過此隱藏：

1. API 端點可能暴露 X-Powered-By: PHP/8.x（PHP 未設定 expose_php = Off）
2. 直接觸發 origin 403/404 頁面（非 Cloudflare 錯誤頁）可暴露真實 nginx 版本
3. 對不存在靜態檔案或 .git/HEAD 的 403 回應可能直接來自 origin nginx

• 记录所有发现到目标画像

1. 搜索引擎主动搜尋（OSINT-first）

• 在執行任何目錄枚舉或 wordlist 掃描之前，先用搜索引擎（TinyFish / web_search）搜尋索引的敏感路徑。 搜尋引擎會找到內部不連結的頁面，目錄掃描打不到。經驗證明 14 輪 wordlist 掃描不如一組 TinyFish dork 有效。
• 對政府/組織目標使用的搜尋模式：
• site:{domain} inurl:file OR inurl:download OR inurl:attachment
• site:{domain} inurl:api OR inurl:swagger OR inurl:graphql
• site:{domain} inurl:upload OR inurl:admin OR inurl:employee
• site:{domain} filetype:pdf OR filetype:doc OR filetype:xls OR filetype:zip
• site:{domain} intitle:"index of" backup database config
• site:{domain} "個人資料" OR "身分證" "名冊" （TW 政府 PII）
• 記下所有回傳的 URL，放入待測清單。這些是 wordlist 找不到的入口。

1. 技术栈识别

• 分析 HTML 源码中的框架标识（meta generator、JS 库、CSS 框架）
• 检测 CMS 类型（WordPress、Joomla、自定义等）
• 记录前端技术栈

1. 输出

• 目标画像文件（服务器、WAF、技术栈、开放面）

阶段二：主动信息收集

1. 端口与服务扫描

• 使用 Hermes web_extract / browser / terminal(curl) 工具探测常见端口（80, 443, 8080, 8443, 3000, 5000 等）
• 分析 HTTP 响应判断服务类型
• 记录所有可访问的 Web 端口

1. 關聯系統發現（OSINT 擴展）

• 搜尋目標組織的其他域名/subdomain（品牌名 + myds.me、upad12.com、edu.com.tw 等台灣補教常用 TLD）
• 對關聯系統快速指紋辨識（技術棧、框架、debug 模式）
• 若關聯系統為 Flask + Werkzeug Debugger 暴露：即使非主要目標，RCE 可跨系統取得共享資料庫密碼。詳見 -web-security-advanced 的 references/flask-werkzeug-debugger-rce.md。

1. 目录与路径枚举

• 通过 fetch 请求常见路径（/admin, /api, /login, /robots.txt, /sitemap.xml）
• 检查 /.git, /.env, /backup, /debug 等敏感路径
• 记录所有发现的端点和路径

1. API 端点发现

• 通过 js-reverse 工具分析 JS 文件中的 API 端点
• 检查 /api/, /v1/, /v2/, /swagger, /docs 等路径
• 记录所有发现的 API 端点

1. Session/Cookie 分析（框架識別為 Python/Flask 時必做）

• 解碼 Flask session cookie（base64 → zlib decompress → JSON）
• 檢查 user_id、role、is_admin 等欄位
• 記錄 session 結構，為後續提權攻擊做準備
• 詳見 references/flask-session-cookie-analysis.md

1. 输出

• 攻击面地图（开放端口、目录结构、API 端点）

阶段三：漏洞发现

1. 已知 CVE 匹配

• 基于已识别的服务版本，搜索已知 CVE
• 优先关注 Critical 和 High 级别的 CVE
• 记录匹配的 CVE 列表

1. Web 漏洞检测

• SQL 注入：在参数中测试 ' OR 1=1-- 等基础 payload
• XSS：在输入点测试 alert(1) 等基础 payload
• LFI/RFI：测试 ../../../etc/passwd 等路径穿越
• SSRF：测试内部地址请求
• 命令注入：测试 ;id |id 等基础 payload

1. 配置缺陷检测

• 默认凭据：测试 admin/admin, root/root 等常见组合
• 信息泄露：检查调试端点、错误信息、源码泄露
• 未授权访问：测试无需认证的敏感接口

1. 输出

• 漏洞列表（含类型、严重等级、验证方法）

阶段四：漏洞利用

1. PoC 构造

• 根据发现的漏洞类型构造验证 payload
• 确保 payload 仅用于验证，不产生破坏性影响
• 优先使用 WAF 绕过技巧（参考 waf-bypass Skill）
• Session 提權：若 Phase 2 已解碼 Flask session，嘗試修改 user_id 並重新編碼（無簽名 / 保留舊簽名 / 暴力破解 SECRET_KEY），詳見 references/flask-session-cookie-analysis.md

1. 漏洞验证

• 执行 PoC，记录请求和响应
• 验证漏洞确实存在（基于响应特征判断）
• 记录完整的验证步骤

1. 输出

• 利用证据（请求、响应、回显）
• Python PoC 脚本（使用 requests 库）

阶段五：后渗透（可选）

1. 内网信息收集

• 收集内网网段、主机信息
• 检测容器环境（Docker/K8s）
• 收集数据库连接配置

1. 输出

• 内网拓扑信息
• 后渗透报告

阶段六：报告生成

1. 结构化报告

• 项目概述（目标、时间、范围）
• 执行摘要（高危发现、风险分布）
• 详细发现（每个漏洞的验证步骤和证据）
• 攻击路径（完整利用链）
• 修复建议

1. PoC 打包

• 每个 PoC 独立成文件
• 包含使用说明
• 参数化目标地址

1. 输出

• Markdown 渗透报告
• Python PoC 脚本

🛑 用戶意圖澄清（強制步驟）

當用戶說「取得所有密碼」「給我所有密碼」而未明確指定哪個端點的密碼時，必須先確認範圍。常見混淆：

• 用戶說「影片的密碼」→ 指 page.php POST password（課程頁面進入密碼），不是 admin 後台密碼、secret.php 暗語、或 MySQL 密碼
• 用戶說「網站的密碼」→ 可能指 admin 登入、FTP、DB、或所有 page 密碼

必須用 clarify 工具確認範圍再開始攻擊，避免浪費大量請求攻擊錯誤端點。

🛑 暴力破解前 Rate-Limit 測試（強制步驟）

在發動大規模字典攻擊前，先用 20 次連續快速請求測試目標是否有 rate limiting。若 20 次全部正常回應（無 429/Too Many Attempts），表示無速率限制，可全力攻擊。

Hermes 使用適配

• 來源為 專案技能，已匯入 Hermes 本地 skill。僅在已授權滲透測試、CTF、內部安全評估或防禦驗證範圍內使用。
• 原文若提到 fetch，在 Hermes 中優先使用 web_extract、browser 或 terminal(curl/HTTPie) 取得真實回應。
• 原文若提到 python_execute，在 Hermes 中使用 execute_code 或 terminal(python3 ...)；計算、編碼、hash、PoC 驗證必須用工具實測，不靠猜。
• 原文若提到 MCP/Burp/adb/frida/jadx/chrome_devtools 等外部工具：先確認本機是否安裝或可用；不可用時以 Hermes 現有 web、browser、terminal、file、vision 工具替代，並明確標註限制。
• 下一次滲透任務中，先載入 -pentest-flow 做總路由，再依場景載入本系列專項 skill（例如 -web-security-advanced、-osint-recon）。
• 使用者要求「繼續深挖」已授權目標時，優先採用低速、未登入、非破壞性 follow-up round：補強已確認漏洞的證據矩陣，保留 raw/summary/findings/report 多格式輸出，且避免把 generic 500、fallback list page、tmpName readback 失敗等控制組誤升級為新漏洞。詳見 references/hermes-followup-rounds.md。
• 資料發現與分頁繞過：當列表端點有分頁限制時，使用前綴搜尋繞過（如「復興301」「復興302」…），並交叉參考觀看紀錄、派課紀錄等輔助端點來發現主列表未顯示的紀錄。詳見 references/data-discovery-pagination-bypass.md。
• Session Cookie 分析：Flask session cookies 可透過 base64 + zlib 解碼取得 userid 等資訊；若取得 SECRETKEY 可偽造任意 session。詳見 -web-security-advanced 的 references/flask-session-analysis.md。
• IAM/身份存取控制攻擊參考：完整的 2015-2025 年 OAuth 2.0、SAML、JWT、OIDC、MFA、Session、Zero Trust Gateway 攻擊技術演化研究，包含完整 Payload、觸發條件、繞過方式、真實 CVE 案例。詳見 ../full-stack-vulnerability-research/references/iam-attacks-2015-2025.md。
• 高效暴力破解：登入表單的字典攻擊應使用 asyncio + raw socket（非 ThreadPool/requests/xargs），可達 9,500+ req/s。詳見 references/high-performance-web-brute-force.md。TLS + JSON API 驗證資料（含多端點並行攻擊、execute_code 封鎖 fallback、14,179 req/s 實測）詳見 references/asyncio-brute-force-tls-php-api-validated.md。
• 批次掃描模式：當需要測試大量 injection payload 或進行 multi-vector 探測時，優先使用單一 Python 腳本包裝 subprocess + curl 批次執行（而非逐個 terminal call），可大幅減少回合數。詳見 references/batch-vuln-scan-pattern.md。
• PHP procedural 補教平台 API 模式：當目標為 Vue.js 3 + Vite + PHP .php API 的補課平台時（index_data.php, page.php, stream.php, secret.php, admin_auth.php），/api/index_data.php 通常無認證返回完整課程目錄，page.php?slug=X 對 is_protected=false 課程直接返回伺服器檔案路徑。完整指紋與攻擊面分析詳見 -recon 的 references/php-tutoring-platform-pattern.md。
• Cloudflare + Vue.js SPA + PHP 後端偵察模式：當目標是 Cloudflare 代理的 Vue.js SPA 搭配 PHP API，依 references/cloudflare-vue-php-recon-patterns.md 進行：JS bundle API 路由提取、Content-Length SPA catch-all 判別、X-Powered-By 外洩、未保護 index_data.php 目錄洩露、TLS asyncio 暴力破解。

來源與維護

• 原始 skill 已保存於 references/upstream-skill.md；README/LICENSE 已保存於 references/。

Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

• Author: Wang200935
• Source: Wang200935/security-agent-skills
• License: MIT

Install and usage instructions live in the source repository linked above.