pentest-recon-attack-surface

渗透测试侦察与攻击面

目的

通过关联三种数据源，全面绘制攻击面：外部网络扫描、已认证的浏览器探索和源代码分析。生成结构化的端点清单，其中包含授权元数据、角色／权限架构，以及按优先级排序的授权漏洞候选项，供后续代码审查和漏洞利用使用。

前提条件

授权要求

• 书面授权，明确侦察和源代码访问的范围
• 源代码访问权限，可访问目标应用（白盒测试）
• 测试账号，覆盖每个权限级别（匿名用户、普通用户、管理员、服务）
• 网络扫描许可——与目标所有者确认可接受的扫描强度

环境设置

• 使用 nmap、subfinder、httpx、whatweb 进行外部侦察
• 使用带有已认证浏览器上下文的 Playwright
• 使用 katana 或 gospider 进行 Web 爬取
• 使用 ffuf 发现内容
• 使用 semgrep 和 ripgrep 分析源代码
• 访问部署配置（Dockerfile、docker-compose、k8s 清单）

核心工作流

1. 技术指纹识别：运行 whatweb + httpx，识别框架、语言、服务器版本、WAF 是否存在，以及响应头特征。
2. 外部扫描关联：执行 nmap 服务扫描 + subfinder 子域名枚举。将发现的服务与部署配置（docker-compose 端口、k8s 服务定义）交叉比对，以识别对外暴露的服务和仅限内部访问的服务。
3. 交互式浏览器探索：使用已认证的 Playwright，在每个权限级别下进行爬取。捕获所有 XHR/fetch 请求、表单提交、WebSocket 连接和动态路由跳转。记录带有认证上下文的请求／响应对。
4. 路由映射器：解析源代码中的所有后端路由定义，并记录文件:行号指针。提取每个端点的 HTTP 方法、路径模式、中间件链和处理函数。
5. 授权检查器：追踪每条路由的中间件链，以识别认证／授权执行机制。标记缺少身份验证中间件或授权模式不一致的端点。
6. 输入验证器：分析每个参数的验证逻辑，识别缺少服务器端验证、仅有客户端验证或验证不完整（例如，检查了类型但未检查范围）的参数。
7. 会话处理器：追踪令牌从签发到验证再到过期的完整生命周期。映射会话存储机制、令牌轮换策略和注销失效行为。
8. 授权架构：综合源代码中的角色定义、权限分配和权限格。识别水平越权、垂直越权及工作流授权漏洞候选项。

交付成果

交付成果	描述
API 端点清单	表格：方法、路径、是否需要认证、允许的角色、验证摘要、文件:行号
网络交互图	外部服务、内部服务、暴露端口、子域名清单
角色与权限架构	角色层级、权限矩阵、权限提升路径
授权漏洞候选项	按优先级排列的可疑授权缺口端点列表
会话架构	令牌类型、存储方式、轮换、过期和失效行为

工具类别

类别	工具	用途
指纹识别	whatweb、httpx、wappalyzer	技术和框架识别
网络侦察	nmap、subfinder、amass	服务发现和子域名枚举
Web 爬取	Playwright、katana、gospider	已认证爬取和动态探索
内容发现	ffuf、feroxbuster	隐藏端点和目录发现
代码分析	semgrep、ripgrep、ast-grep	路由提取和中间件追踪
配置分析	人工审查	部署配置关联

参考资料

• references/tools.md - 工具函数签名和参数
• references/workflows.md - 侦察工作流定义和关联流程