active-pentest

主动渗透测试（EXPLOIT 执行框架）

概述

这是 FIND/EXPLOIT 专项技能共用的执行框架。它们决定要测试什么——access-control-testing、authentication-testing、business-logic-testing、api-security-testing（以及注入、客户端、文件上传等 Tier-2 类别）。这项技能说明如何针对运行中的应用安全地执行测试：搭建实验环境／代理／扫描器、驱动工具，并以统一格式收集证据。

核心原则： 漏洞只有在复现后才算确凿。概念验证（PoC）能终结争论。专项技能负责攻击方案；这项技能负责安全执行和证据收集。

⚠️ 授权门槛 — 并非全部满足时请停止

除非全部满足，否则请勿继续：

• 目标归你所有，或你已获得对其进行测试的书面授权。
• 目标是实验环境／预发布环境／本地实例，而非第三方生产环境。
• 你不会执行破坏性或拒绝服务（DoS）技术，也不会接触真实用户数据。

如果有任何一项未勾选 → 请停止，并仅对你控制的代码继续使用 security-code-audit。

范围规范（默认采用非破坏性方式）

• 允许： 只读侦察、指纹识别、单请求 PoC、读取你自己的测试数据、使用你创建的两个测试账号证明 IDOR。
• 避免： 负载／压力／DoS 测试、大规模扫描、会写入／删除真实数据的自动化利用，以及唯一目的为规避监控的技术。限制扫描器速率；使用测试账号。

工作流（侦察 → 映射 → 验证 → 证明）

1. 侦察／指纹识别 — 暴露了哪些内容、使用什么技术栈、哪个版本。
2. 映射 — 枚举端点、参数、身份验证流程（与威胁模型保持一致）。
3. 验证 — 从相关的专项技能中获取攻击方案，并使用能证明漏洞的最小请求执行。（这项技能 = 工具；专项技能 = 载荷。）
4. 证明 — 将确切的请求／响应保存为 PoC；记录影响。

如何驱动各项工具，请参阅 references/tool-playbook.md。关于发送什么内容，请参考相应专项技能（例如，IDOR 方案 → access-control-testing，ATO 流程 → authentication-testing）。

快速参考 — 按目标选择工具

目标	工具
端口／服务／版本	nmap -sV
TLS 配置	testssl.sh、sslscan
Web 服务器快速排查	nikto
内容／端点发现	ffuf、gobuster、feroxbuster
手动构造请求	curl、httpie、Burp Repeater
拦截／爬取／扫描	OWASP ZAP、Burp Suite
SQLi 确认	sqlmap（仅限你自己的应用，使用 --batch，限定范围）
移动端流量	Burp/ZAP 代理 + 设备、Frida（证书固定）、objection
代码／二进制文件中的秘密	trufflehog、gitleaks、apktool+jadx

输出：已验证的发现

对每项已确认的问题：

• 发现 ID（链接回审计登记表）
• 复现方法：确切的命令／请求
• 证据：能证明影响的响应摘录（隐去真实数据）
• 已确认的严重性和影响
• → 交由 security-hardening 修复并重新测试。

常见错误

• “只是检查一下”就测试生产环境或第三方资产 — 这就是不可逾越的界线。
• sqlmap／扫描器全速运行，导致自己的预发布环境崩溃。
• 仅凭理论就断言某项内容可被利用 — 请实际复现。
• 保留噪声很大的 PoC — 请求越少越好，影响范围越小越好。