pentesting-everything

PentestingEverything

将此仓库用作经授权安全评估的实用、可引用工作流。优先依据仓库内容，而非记忆。不要捏造授权、范围或发现。

配套网站：

• 知识库：https://pentesting.m14r41.in
• 检查清单配套网站：https://checklist.m14r41.in
• 上游仓库：https://github.com/m14r41/PentestingEverything

基本原则

1. 仅限合法用途。 仅对用户获准测试的系统开展工作。
2. 绝不捏造授权。 如果测试范围、交战规则或书面许可不明确，须先询问，再提供任何主动测试指导。
3. 主动测试前先确认。 拟定计划或检查清单后，先请用户确认目标和限制，再建议开展实时攻击。
4. 高影响操作需明确授权。 对破坏性测试、拒绝服务或负载滥用、大规模撞库、针对真实人员的网络钓鱼或社会工程、持久化、超出约定主机范围的横向移动，或真实个人数据外泄，均须取得明确的书面授权范围。
5. 回答须以来源为依据。 在讲解方法、载荷或工具命令前，先阅读仓库中的 Markdown 文件（或在线网站页面）。注明所用路径和 URL。
6. 保持中立、专业的语气。 准确且实用；交付内容中不使用夸张措辞或表情符号。
7. 控制自动化请求频率。 作为自主 Agent 而非与交互式测试人员协作运行时，循环发送请求前，应遵守计划规定的速率限制和测试时间窗口。无人值守地洪泛请求，可能导致 Agent 运行触发 WAF 封禁，或违反人类测试人员本会本能遵守的计划规则。

适用场景

用户提出以下需求时使用：

• 规划或执行渗透测试、VAPT 或安全评估
• 为 Web、API、移动端、云、Active Directory、网络及相关领域编制检查清单
• 查询如何测试某类漏洞（SQL 注入、IDOR、SSRF 等）
• 根据此知识库起草漏洞发现、证据记录或报告章节
• 了解 PentestingEverything 文件夹或在线文档网站的结构

工作流

跟踪进度：

Engagement progress:
- [ ] 1. Confirm authorization and scope
- [ ] 2. Identify assessment domain(s)
- [ ] 3. Locate repository sources
- [ ] 4. Read source material
- [ ] 5. Produce plan + prioritized checklist
- [ ] 6. User confirms active testing
- [ ] 7. Provide non-destructive guidance with evidence capture
- [ ] 8. Draft report-ready findings

1. 确认授权和范围

收集或询问以下信息：

字段	示例
授权	书面交战规则、漏洞赏金计划、实验环境所有权
目标	域名、IP、应用、API、账户、云账户
环境	实验环境 / 预发布环境 / 生产环境
限制	时间、速率限制、排除的主机、数据处理方式
目标	绕过身份验证、数据泄露、权限提升等

如果主动测试所需的任何字段缺失，请停止并询问。仅限教育或实验环境的问题，可在明确标注假设的情况下继续。

示例：

假设：目标为实验环境 dvwa.local，不涉及任何生产系统、拒绝服务或网络钓鱼。

2. 确定评估领域

将请求对应到一个或多个顶层文件夹。完整列表请参阅 REPOSITORY_MAP.md。

快速定位：

用户意图	从此处开始
Web 应用 / OWASP / XSS / SQL 注入	Web Application Pentesting/
REST / GraphQL / BOLA	API Pentesting/
Android / iOS	Mobile Pentesting/
AWS / Azure / GCP	Cloud Pentesting/
内部主机 / 服务	Network Pentesting/
Active Directory / Kerberos / BloodHound	Active Directory Pentesting/
SAST / 源码审查	Secure Code Review/
LLM / MCP 应用	LLM Security Assessment/、MCP Security Assessment/

优先选择该类别下匹配度最高的细分主题文件夹。

3. 定位仓库源文件（优先本地）

如有本地克隆，优先使用此仓库：

1. 分类首页：<Category>/README.md（大小写可能不同：readme.md）
2. 主题或漏洞文件夹：通常为 <Category>/Vulnerabilities/<Topic>/README.md
3. 专用速查表（*Cheatsheet*.md、Handy-command.md）：当用户要求“给我命令”而非“解释技术”时使用——请参阅 REPOSITORY_MAP.md 中的速查表
4. <Category>/References/ 下的 PDF——标记并记录；仅在需要时提取内容

未打开克隆时的远程备用来源：

• GitHub 目录树：https://github.com/m14r41/PentestingEverything/tree/main/
• 在线文档：https://pentesting.m14r41.in

在本地工作区中的搜索策略：

1. 搜索分类 README 表格中的漏洞或主题名称
2. 在该分类下使用 Glob 搜索 **/<Topic>/**/*.md
3. 在总结前完整阅读主题 README
4. 仅当相邻说明会改变检查清单时，才查阅这些说明

4. 先阅读，再指导

对于每项建议的技术：

1. 打开相关 Markdown 文件
2. 提取符合用户范围的方法、测试用例和命令
3. 将真实机密和目标替换为占位符：<TARGET>、<USER_ID>、<TOKEN>
4. 优先进行非破坏性验证（侦察、身份验证映射、使用自有对象测试 IDOR、安全探测）
5. 如果指导已过时、不完整或受版本影响，请补充一手来源（OWASP、供应商文档、CVE 公告），并说明哪些内容来自仓库，哪些来自外部资料

切勿整篇粘贴仓库 PDF。请总结并提供链接。

5. 交付成果

使用 OUTPUT_TEMPLATES.md 中的模板。默认交付内容：

1. 测试假设——范围、约束、范围外事项
2. 优先级检查清单——根据该目标可能造成的影响和所需工作量排序
3. 安全命令示例——仅使用占位符；注明所需工具
4. 证据计划——需收集的内容（请求/响应、截图、ID）
5. 漏洞草稿——仅针对已确认的问题，或明确标记为假设

确保检查清单可执行。每个复选框对应一项可测试的断言。

6. 主动测试门槛

在建议实时攻击步骤前，请用户确认：

• 范围内的目标
• 允许使用的账号和角色
• 是否包含生产环境
• 是否允许执行上述高影响操作

如果用户拒绝或不确定，请继续提供规划、仅限侦察的指导或实验室练习。

7. 证据与报告

起草任何漏洞报告前，先排除常见误报模式：WAF 或代理回显了载荷但未执行、将时序噪声误认为盲注信号、行为已公开披露或已修补，以及针对同一项目的重复报告。如果该信号无法通过第二次独立复现，请将其标记为假设，而非漏洞发现。

对于每项已确认的漏洞，请收集：

• 标题、严重性（附理由）、受影响资产
• 复现步骤（精简并编号）
• 证据（已清理敏感信息）
• 影响和修复建议
• 引用的仓库和外部参考资料

没有用户提供的证据或用户执行的授权测试，不得声称漏洞已确认。推测性内容应标记为假设。

引用格式

务必引用所用来源：

Sources:
- `Web Application Pentesting/Vulnerabilities/SSRF/readme.md`
- https://owasp.org/www-community/attacks/Server_Side_Request_Forgery

使用克隆仓库时，请注明精确的仓库相对路径。

此技能的范围外事项

• 不授予或暗示攻击系统的授权
• 不取代书面的交战规则或漏洞赏金政策
• 不会自动对远程目标运行漏洞利用
• 不会新增仓库内容，除非用户另行提出要求（请参阅 CONTRIBUTING.md）

附加资源

• 域名索引和查找规则：REPOSITORY_MAP.md
• 计划、检查清单、证据和发现模板：OUTPUT_TEMPLATES.md
• 贡献指南：https://github.com/m14r41/PentestingEverything/blob/main/CONTRIBUTING.md