pentest-vulns

category	web
name	pentest-vulns
description	漏洞发现与验证 - 根据前期发现的功能点，针对性测试各类Web漏洞
when_to_use	信息收集、API发现、登录测试完成后

漏洞发现与验证

决策树

根据前期发现选择漏洞测试：

登录/认证接口 → SQL注入
查询/列表/搜索接口 → SQL注入 + IDOR + XSS + SSTI
文件上传 → 任意文件上传 + 路径穿越 + XXE
文件下载/预览 → 路径穿越/任意文件读取 + SSRF
URL/代理/预览/跳转 → SSRF + 命令注入 + Open Redirect
管理后台 → 垂直越权 + 命令注入 + SSRF
XML/SOAP接口 → XXE + 命令注入
表单/修改操作 → CSRF
重定向/Set-Cookie → CRLF注入
全接口通用 → CORS + 方法篡改
无参数输入 → 跳过，仅出信息收集报告
已识别产品/版本 → 历史漏洞/CVE（见下方）

核心规则

必须看响应内容，不能只看状态码。所有工具输出必须亲自读取分析逐条验证。

文件组织

tmp/<时间戳>/raw/vulns/
├── sqli/  ├── xss/  ├── ssrf/  ├── cmdi/
├── file_upload/  ├── path_traversal/  ├── xxe/
├── ssti/  ├── idor/  ├── cors/  ├── csrf/
├── open_redirect/  ├── crlf/  └── cve/

各漏洞测试

SQL注入

关注：GET参数(id/uid/orderId)、GET/POST搜索参数(keyword/q/search)、JSON参数(application/json经常被忽略)、排序(sort/order)、Header(Cookie/X-Forwarded-For/User-Agent/Referer)。

测试：数字型(1 AND 1=1)/字符型(' OR '1'='1)/时间盲注(SLEEP(3))→判断+闭合尝试('/"/')/")/;)→数据库识别(报错信息/@@version/banner)

WAF绕过：大小写/内联注释/双重URL编码/空字节截断。

XSS

关注：搜索回显/评论/富文本/JSONP回调/文件名回显/错误信息、URL参数反映在页面中。

禁止 alert()/prompt()/confirm()，改用 console.log() 或 DOM 操作验证。存储型用唯一标识符确认，不注入可见内容。

反射型：<script>console.log(1)</script>/<img src=x onerror=console.log(1)> → HTML属性突破(" onfocus=console.log(1))。 DOM型：Playwright访问源/沉入点追踪。 存储型：提交payload后用Playwright验证。

判断：HTML直接含未编码标签→存在；被<编码→尝试绕过。

SSRF

关注功能：URL预览/图片加载/文件导入/Webhook/PDF生成/代理/分享/OCR/OSS上传。 关注参数名：url/link/src/href/path/callback/redirect/imageURL/sourceURL。

测试：DNSLog确认→协议探测(file/dict/gopher)→内网探测(10/172/192/云元数据169.254)→进制绕过/域名绕过。

命令注入

关注功能：Ping/DNS/压缩备份/图片处理/PDF生成。关注参数名：ip/host/domain/cmd/path/file。

Payload：; id/| whoami/\id`/$(whoami)/%0a id/&& id。 空格绕过：${IFS}/$IFS$9；黑名单绕过：/bin/cat/c'a't`。

文件上传

扩展名绕过：.php5/.phtml/.jspx/.cer/.asa → 大小写/双写(.php.jpg)/00截断/末尾空格点/Windows ADS。 Content-Type绕过：file=@shell.php;type=image/jpeg。 路径控制：filename=../../../shell.php。

路径穿越/任意文件读取

关注功能：文件下载/预览/模板/导出/头像/日志。关注参数名：file/path/name/src/template。

Payload：../../../etc/passwd→URL编码→双重编码→Windows路径(..\..\..\win.ini)。 判断：响应含root:x:0:0(Linux)或[fonts](Windows)→确认。

XXE

关注：SOAP/WSDL、XML上传(DOCX/XLSX/SVG)、XML Content-Type API、SAML。

Payload：实体文件读取(<!ENTITY xxe SYSTEM "file:///etc/passwd">)→Blind XXE(dnslog)。

SSTI

引擎检测：{{7*7}}(Jinja2/Twig)→${7*7}(Freemarker)→#{7*7}(Thymeleaf)→<%= 7*7 %>(EJS)。 区分：{{7*'7'}} Jinja2=7777777/Twig=49。 判断：响应含49→确认SSTI。

越权

水平(IDOR)：替换ID参数(/api/user/1→/api/user/2)，修改POST body中ID。 垂直：普通用户cookie访问/api/admin/*，修改role/jwt payload。

CORS

测试：任意Origin→null Origin→子域名绕过。 高危：ACAO: 任意域名 + ACAC: true。低风险：ACAO: *无ACAC。 无ACAO头→安全。

CSRF

关注功能：修改密码/资料、转账、删除操作。检查：是否有CSRF Token、SameSite Cookie、自定义头。

验证：Playwright构造跨域POST请求，不携带Cookie，观察是否成功。

Open Redirect

关注参数名：redirect/url/next/returnUrl/back/r/ref/target。

测试：?redirect=https://evil.com、//evil.com、%2f%2fevil.com、\evil.com。

CRLF注入

关注功能：重定向、Set-Cookie、Location头反射。

测试：%0d%0aSet-Cookie:crlf=1、%0d%0a%0d%0a<script>、%0d%0aLocation:http://evil.com。

历史漏洞/CVE

触发条件：fingerprint.md 识别出具体产品+版本。

流程：

1. 联网搜索 — 根据产品名+版本号，搜索已知 CVE 和公开漏洞
2. 汇报用户 — 列出：CVE编号、影响版本、漏洞类型、危害等级。提示"可能存在以下历史漏洞"
3. 等待用户判断 — 不直接利用。原因：网上 exploit 常含危险命令（rm -rf/弹计算器/反弹shell），需用户审核
4. 用户确认后 — 用户可自行测试，或提供安全的 PoC 给 AI 执行

# TscanClient POC（按产品关键字）
"{{AITOOLS_DIR}}/TscanClient_windows_amd64_v2.9.5/TscanClient_windows_amd64_v2.9.5.exe" \
  -u <url> -m poc -pocname <product_keyword> -o <项目tmp>/vulns/cve/tscan_cve.txt

# Nuclei（仅用户明确要求，按CVE标签）
"{{AITOOLS_DIR}}/漏洞扫描/nuclei/nuclei.exe" \
  -u <url> -tags cve -severity medium,high,critical -o <项目tmp>/vulns/cve/nuclei_cve.txt

常见框架优先级：Spring Boot → Shiro → Fastjson → Log4j → Struts2 → ThinkPHP → Laravel → Django

自动化扫描

# TscanClient POC
"{{AITOOLS_DIR}}/TscanClient_windows_amd64_v2.9.5/TscanClient_windows_amd64_v2.9.5.exe" \
  -u <url> -m poc -pocname <keyword> -o <项目tmp>/vulns/tscan_poc.txt

# Nuclei（仅用户明确要求）
"{{AITOOLS_DIR}}/漏洞扫描/nuclei/nuclei.exe" \
  -u <url> -severity medium,high,critical -o <项目tmp>/vulns/nuclei_result.txt