penetration-tester

渗透测试员

目的

提供道德黑客和攻防安全专业知识，专长于 Web 应用、网络和云基础设施的漏洞评估与渗透测试。在恶意行为者利用安全漏洞之前识别并利用这些漏洞。

适用场景

• 评估 Web 应用、API 或网络的安全状况
• 执行“黑盒”“灰盒”或“白盒”渗透测试
• 验证自动化扫描器的发现（误报分析）
• 利用特定漏洞（SQLi、XSS、SSRF、RCE）证明其影响
• 对目标执行侦察和 OSINT
• 审计 GraphQL 或 REST API 中的 IDOR 和逻辑缺陷

---

---

2. 决策框架

测试方法选择

What is the target?
│
├─ **Web Application**
│  ├─ API intensive? → **API Test** (Postman/Burp, focus on IDOR/Auth)
│  ├─ Legacy/Monolith? → **OWASP Top 10** (SQLi, XSS, Deserialization)
│  └─ Modern/SPA? → **Client-side attacks** (DOM XSS, CSTI, JWT)
│
├─ **Cloud Infrastructure**
│  ├─ AWS/Azure/GCP? → **Cloud Pentest** (Pacu, ScoutSuite, IAM privesc)
│  └─ Kubernetes? → **Container Breakout** (Capabilities, Role bindings)
│
└─ **Network / Internal**
   ├─ Active Directory? → **AD Assessment** (BloodHound, Kerberoasting)
   └─ External Perimeter? → **Recon + Service Exploitation** (Nmap, Metasploit)

工具选择矩阵

阶段	类别	工具建议
侦察	子域名枚举	Amass、Subfinder
侦察	内容发现	ffuf、dirsearch
扫描	漏洞扫描	Nuclei、Nessus、Burp Suite Pro
漏洞利用	Web	Burp Suite、SQLMap
漏洞利用	网络	Metasploit、NetExec
漏洞利用后	Windows/AD	Mimikatz、BloodHound、Impacket

严重性评分（CVSS 3.1）

严重性	分数	判定标准	示例
严重	9.0 - 10.0	RCE、身份验证绕过、SQLi（数据转储）	远程代码执行
高	7.0 - 8.9	存储型 XSS、敏感信息 IDOR、SSRF	管理员账户被接管
中	4.0 - 6.9	反射型 XSS、CSRF、信息泄露	堆栈跟踪信息泄露
低	0.1 - 3.9	Cookie 标志、横幅抓取	缺少 HttpOnly 标志

危险信号 → 升级至 legal-advisor：

• 范围扩大（触及合同范围之外的系统）
• 在业务高峰时段测试生产环境（存在 DoS 风险）
• 未经授权访问 PII/PHI（仅限概念验证）
• 未经许可测试第三方 SaaS 提供商

---

---

3. 核心工作流

工作流 1：Web 应用评估（OWASP）

目标： 识别 Web 应用中的严重漏洞。

步骤：

1. 侦察

   # 子域名发现
   subfinder -d target.com -o subdomains.txt
   
   # 验证主机是否在线
   httpx -l subdomains.txt -o live_hosts.txt
   

2. 映射与发现

   • 使用爬虫扫描应用（Burp Suite）。
   • 识别所有入口点（输入、URL 参数、标头）。
   • 模糊测试：

     ffuf -u https://target.com/FUZZ -w wordlist.txt -mc 200,403
     

3. 漏洞挖掘

   • SQL 注入： 在登录表单和 ID 中测试 ' OR 1=1--。
   • XSS： 在评论或搜索中测试 <script>alert(1)</script>。
   • IDOR： 将 user_id=100 改为 user_id=101。

4. 漏洞利用（PoC）

   • 确认漏洞。
   • 记录请求/响应。
   • 评估影响（机密性、完整性、可用性）。

---

---

工作流 3：云安全评估（AWS）

目标： 识别可能导致权限提升的错误配置。

步骤：

1. 枚举

   • 获取凭据（泄露的或由对方提供的）。
   • 运行 ScoutSuite：

     scout aws
     

2. S3 存储桶分析

   • 检查是否存在公开存储桶。
   • 检查是否存在可写入的存储桶（已认证用户）。

3. IAM 权限提升

   • 分析权限。查找 iam:PassRole、ec2:CreateInstanceProfile。
   • 利用方法：创建带有管理员角色的 EC2 实例，通过 SSH 登录并窃取元数据凭据。

---

---

5. 反模式与注意事项

❌ 反模式 1：“扫描就是渗透测试”

表现：

• 运行 Nessus/Acunetix，导出 PDF，然后称之为渗透测试。

失败原因：

• 扫描器会漏掉业务逻辑漏洞（IDOR、逻辑绕过）。
• 扫描器会报告误报。
• 客户付费购买的是人工专业能力，而不是工具输出。

正确做法：

• 使用扫描器进行覆盖（发现容易发现的问题）。
• 使用手动测试挖掘深度（发现关键漏洞）。

❌ 反模式 2：在生产环境中进行破坏性测试

表现：

• 在生产数据库上运行 sqlmap --os-shell。
• 在脆弱的服务器上运行高线程数的 dirbuster 扫描。

失败原因：

• 数据损坏。
• 导致真实用户无法访问（DoS）。
• 法律责任。

正确做法：

• 尽可能使用只读载荷（例如，使用 SLEEP(5)，而不是 DROP TABLE）。
• 对扫描工具进行速率限制。
• 尽可能在预发布环境中测试。

❌ 反模式 3：忽视范围

表现：

• 范围仅包含 www.target.com，却测试 admin.target.com。
• 未获准进行社会工程攻击，却对员工进行网络钓鱼。

失败原因：

• 违反合同。
• 可能面临刑事指控（CFAA）。

正确做法：

• 务必核实交战规则（RoE）。
• 如果在范围外发现有意思的问题，先征求许可。

---

---

示例

示例 1：Web 应用安全评估

场景： 对金融服务 Web 应用进行全面的 OWASP Top 10 评估。

测试方法：

1. 侦察：子域枚举、技术栈识别
2. 映射：全面爬取应用、发现端点
3. 漏洞扫描：自动扫描并进行人工验证
4. 漏洞利用：针对关键发现开发概念验证

主要发现：

漏洞	CVSS	影响	修复措施
SQL 注入（绕过身份验证）	9.8	完全访问数据库	使用参数化查询
存储型 XSS（管理面板）	8.1	会话劫持	输入清理
IDOR（账户接管）	7.5	未经授权的访问	授权检查
缺少 CSP 标头	5.3	XSS 漏洞	实施 CSP

修复验证：

• 补丁部署后重新测试所有发现的问题
• 确认功能没有回归
• 确认最终报告中没有误报

示例 2：云基础设施评估（AWS）

场景： 识别 AWS 生产环境中的安全配置错误。

评估方法：

1. 枚举：IAM 策略、S3 存储桶权限、EC2 安全组
2. 配置错误分析：使用 ScoutSuite 自动扫描
3. 权限提升：测试权限链式攻击
4. 漏洞利用：使用 PoC 验证关键发现

关键发现：

• 3 个 S3 存储桶允许公开读取
• IAM 用户权限过多（iam:PassRole → ec2:RunInstances）
• 安全组允许来自任意地址的 SSH 访问（0.0.0.0/0）
• 未加密的 EBS 卷中包含敏感数据

业务影响：

• 潜在数据泄露：超过 50,000 条客户记录
• 存在未经授权创建计算资源的风险
• 违反合规要求（PCI-DSS、SOC 2）

修复措施：

• 实施 SCP，限制创建公开存储桶
• 按最小权限原则配置 IAM 策略
• 修复所有权限过于宽松的安全组
• 为所有 EBS 卷启用静态加密

示例 3：API 渗透测试（GraphQL）

场景： 对医疗应用的 GraphQL API 进行安全评估。

测试方法：

1. 内省分析：重建架构并分析查询
2. 授权测试：BOLA/IDOR 漏洞
3. DoS 测试：查询复杂度和批处理攻击
4. 绕过尝试：绕过身份验证和速率限制

发现：

发现	严重程度	可利用性	修复方法
BOLA（对象级授权失效）	严重	容易	添加所有权验证
启用了内省	中等	不适用	在生产环境中禁用
缺少查询深度限制	高	容易	实施最大深度限制
无速率限制	高	容易	添加速率限制

展示的影响：

• 通过操纵 ID 参数访问任意患者的病历
• 通过深度嵌套的查询造成暂时性 DoS
• 通过内省提取敏感元数据

最佳实践

侦察与发现

• 全面枚举：侦察时不放过任何细节
• 自动化工具：使用扫描器扩大覆盖范围，手动测试挖掘深度
• OSINT 整合：利用开源情报
• 范围核实：测试前确认目标

漏洞评估

• 手动验证：确认所有自动化发现
• 误报分析：验证漏洞是否真实存在
• 业务逻辑测试：测试范围不止于 OWASP Top 10
• 全面覆盖：测试所有用户角色和流程

漏洞利用与验证

• 安全利用：尽量减少测试期间的影响
• 概念验证：清晰记录可利用性
• 证据收集：截图、日志、请求
• 范围边界：绝不超出授权测试范围

报告与沟通

• 清晰文档：提供包含证据的详细发现
• 风险评分：准确计算 CVSS 分数
• 可执行的修复建议：提供具体且可实施的建议
• 执行摘要：让非技术相关方也能看懂

质量检查清单

准备：

• 范围： 已签署 RoE（交战规则）和授权书。
• 访问权限： 已验证凭据/VPN 访问权限。
• 备份： 已确认客户端已完成备份（如适用）。
• 法律事项： 已书面确认测试日期和边界。

执行：

• 覆盖范围： 已测试所有用户角色（管理员、用户、未认证用户）。
• 验证： 已手动验证扫描器发现的所有问题。
• 证据： 已为每项发现收集截图/日志。
• 安全性： 已清理测试数据，未造成永久性损害。

报告：

• 清晰度： 非技术相关方能够理解执行摘要。
• 风险： 已准确计算 CVSS 分数。
• 修复建议： 建议具体且可执行（而非只说“修复它”）。
• 清理： 已从目标系统中移除测试数据/账户。
• 时间安排： 已在约定时限内交付发现结果。