network-penetration-testing

Files (1)

• SKILL.md

SKILL.md (first lines)

# 网络渗透测试深度技能（红队攻击链版）

> **AI LOAD INSTRUCTION**: 红队网络渗透全流程专家打法。聚焦攻击链规划与 TTP 映射→外网打点→隧道→内网横向→EDR 对抗→域控接管的阶段决策；细分漏洞面交给对应细分 skill，报告对齐 pentest-output-standards。

## 概述

网络渗透与红队对抗是攻防演练的核心战场。本技能站在**资深攻防专家/红队队长视角**，系统化覆盖**红队攻击链整体规划→高级外网打点→隧道代理→内网信息收集→AD域渗透→权限提升→域控接管→持久化→报告复盘**完整攻击链，并融入 2025-2026 年最新攻击技术情报（ADCS ESC1-ESC16 全谱、Certighost CVE-2026-54121、NTLM Reflection 新原语 CVE-2025-33073、BloodHound CE v8 OpenGraph、混合身份 Golden SAML、AI 自主渗透平台等）。

与 `intranet-penetration-testing` 技能（内网阶段高频实操细节：本地信息收集、凭证窃取、隐藏隧道、提权矩阵、免杀C2）**互补定位**：本技能负责**全局攻击链规划、高级对抗维度与攻防方法论**（TTP 映射、目标建模、高级打点、EDR 横向、AD 高级攻击、攻击模拟自动化、AI 结合、报告复盘）；内网实操的"颗粒度细节"见 `intranet-penetration-testing`，两技能配合可覆盖从外网资产到域控接管的完整闭环。

### 核心概念
- **攻击链（Kill Chain）**：侦察→打点→立足→隧道→横向→提权→域控→持久化，非线性、可迭代的网状过程
- **Tier 0 资产**：域控、ADFS、Entra Connect、CA（证书服务器）、备份系统等"控制一切"的资产，是红队最高优先级目标
- **Assume Breach**：以"已被攻破"为前提设计攻击路径，内网阶段从"标准域用户被攻破"起步
- **TTP（MITRE ATT&CK）**：战术/技术/过程的标准语言，红队用它规划路径、蓝队用它检测响应
- **OPSEC**：作战安全——减少触警面（低噪音优先被动技术，再主动技术）
- **BloodHound 图论**：把 AD 提权抽象为图遍历问题，路径 = 从"已拥有节点"到"Tier 0 节点"的可达边
- **混合身份（Hybrid Identity）**：本地 AD 与 Azure AD/Entra ID 通过 Entra Connect/ADFS 联动，信任继承使"本地域管=云端主钥匙"

## 一、红队攻击链整体规划与 TTP 映射

### 1.1 完整攻击链总览

```
Phase 0  目标建模与情报准备     → 资产梳理、Tier 0 识别、决策树
Phase 1  高级外网打点           → Web/VPN/邮件/钓鱼联动/供应链/云资产
Phase 2  隧道代理与 C2          → SOCKS5/HTTP/DNS/ICMP 隧道、流量隐蔽
Phase 3  内网信息收集           → 存活/端口/服务/AD 枚举/BloodHound 图分析
Phase 4  凭据获取               → Kerberoast/AS-REP/内存提取/DCSync/网络抓取
Phase 5  横向移动               → PTH/PTT/WMI/WinRM/DCOM/SMB/EDR 对抗
Phase 6  权限提升               → 本地提权/域内提权/ADCS/ACL 滥用
Phase 7  域控接管               → DCSync → 黄金票据/白银票据/证书伪造
Phase 8  持久化                 → ACL 后门/DCShadow/黄金证书/混合身份后门
Phase 9  报告复盘               → 攻击链复现/证据链/TTP 映射/检测规则输出
```

### 1.2 目标建模与攻击路径决策树

**资产价值分级（决定攻击优先级）：**
| 等级 | 资产类型 | 攻击价值 |
|------|---------|---------|
| Tier 0 | 域控、ADFS、Entra Connect、CA、备份、密码管理器 | 拿到即全域接管 |
| Tier 1 | 域管理员/服务器管理员账户、特权工作站 | 通向 Tier 0 的桥 |
| Tier 2 | 服务器、数据库、应用管理员 | 扩大横向面 |
| 低值 | 普通工作站、普通用户 | 攻击链起点/跳板 |

**决策树（拿到一个立足点后）：**
```
立足点 → 本地管理员？ ──否──→ 本地提权（内核/服务/Token）
        └──是──→ 能访问域控？ ──否──→ 域枚举 → BloodHound 找路径
                          └──是──→ DCSync 一步到位
内网可达 ADCS？ ──是──→ Certipy 审计 ESC1-ESC16
内网可达 ADFS/Entra Connect？ ──是──→ 证书提取/Golden SAML/同步账户滥用
域间有信任？ ──是──→ 信任攻击（SID History/跨域枚举）
```

### 1.3 MITRE ATT&CK TTP 映射表

| 攻击阶段 | 战术（Tactic） | 代表性技术（Technique） |
|---------|--------------|------------------------|
| 情报收集 | TA0043 侦察 | T1595 主动扫描 / T1596 公开数据 |
| 外网打点 | TA0001 初始访问 | T1190 利用暴露应用 / T1566 钓鱼 |
| 隧道 C2 | TA0011 命令与控制 | T1572 协议隧道 / T1090 代理 |
| 内网收集 | TA0007 发现 | T1018 远程系统发现 / T1087 账户发现 |
| 凭据获取 | TA0006 凭证访问 | T1558.003 Kerberoast / T1003.006 DCSync |
| 横向移动 | TA0008 横向移动 | T1021.001 SMB-WinRM / T1550.002 PTH |
| 权限提升 | TA0004 权限提升 | T1134 Token 操纵 / 域内提权 |
| 持久化 | TA0003 持久化 | T1098 账户操作 / T1556.001 Skeleton Key |
| 防御绕过 | TA0005 防御绕过 | T1055 进程注入 / T1036 伪装 |

> **实战价值**：用 ATT&CK 编号写报告（如 `T1558.003 Kerberoasting`），蓝队可直接对照检测规则；红队可据此设计"低检测覆盖面"路径。

### 1.4 红队战役设计要素
- **RoE（交战规则）**：明确授权范围、禁打资产、允许时间窗口、破坏性操作边界、应急止损联系人
- **场景定义**：从外部攻破 / 从内部模拟 / 双场景混合；是否模拟特定 APT 的 TTP
- **OPSEC 基线**：操作者日志留痕、禁用未授权动作、每次横向后自查触警情况
- **时间管理**：侦察与利用分离、高峰时段通信降低检测概率、关键动作前做影响评估

### 1.5 与 intranet-penetration-testing 技能的分工
- 本技能：**端到端攻击链规划 + 高级维度**（本文件）
- `intranet-penetration-testing`：内网阶段**实操颗粒度**（本地信息收集命令矩阵、mimikatz 细节、隐藏隧道搭建、提权矩阵、免杀 C2、内网 AI 资产攻击面 Ollama/vLLM/RAG/MCP）
- 建议用法：攻防演练中"全局规划"参照本技能，"进入内网后的每一步操作细节"参照 intranet 技能，本章 3.2/五~九 与 intranet 章节互见

## 二、高级外网打点

### 2.1 攻击面测绘（四层法）

```
Layer 1: 域名/IP资产
  subfinder -d corp.com -all -o subs.txt
  amass enum -passive -d corp.com
  masscan -p1-65535 --rate 10000 -iL ip.txt -oL ports.txt
  nmap -sV -sC -p $(cat ports.txt | tr ',' ' ') -iL ip.txt -oA scan

Layer 2: 证书透明日志（找隐藏子域/入口）
  curl -s "https://crt.sh/?q=%25.corp.com&output=json" | jq -r '.[].name_value' | sort -u
  # owa/adfs/mail/webmail/vpn/rdweb/citrix/sslvpn 等关键词优先

Layer 3: 互联网测绘（Shodan/Censys/Fofa）
  shodan search "ssl.cert.subject.cn:corp.com" --fields ip_str,port,org
  shodan search "http.title:login country:CN org:'corp'" 
  # 找暴露的 OWA/ADFS/Exchange/VPN/RDP/数据库

Layer 4: 组织情报（钓鱼准备+口令猜测语料）
  theHarvester -d corp.com -b all
  # Hunter.io/snov.io：企业邮箱格式 (名.姓@corp.com)
  # 招聘网站：技术栈推断（Java/PHP/.NET → 对应漏洞面）
  # dehashed/haveibeenpwned：历史泄露凭据（拼凑弱口令字典）
```

### 2.2 常见外网入口利用深化

| 入口 | 攻击向量 | 要点 |
|------|---------|------|
| Web 应用 | SQLi/RCE/SSRF/文件上传/反序列化 | 参考 `sql-injection-testing`/`fastjson-exploitation` 等专项技能 |
| VPN（SSL VPN/Fortinet/Pulse） | 历史 RCE、默认口令、会话固定 | 关注厂商 CVE 公告，2024-2026 多家 VPN 出过高危 RCE |
| 邮件系统 OWA/ECP | 口令喷洒、Exchange RCE 链 | **喷洒注意锁定策略**，慢速低并发 |
| ADFS/RDWeb | 口令喷洒、ADFS 配置滥用 | `/adfs/ls/idpinitiatedsignon` 页面常被遗忘暴露 |
| RDP/VNC/SSH | 弱口令、协议漏洞 | Hydra 慢速爆破，配合 Honeypot 感知 |

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC