web-vuln-scan

# 单目标 Web 深度漏洞扫描方法论 与 `recon-full`（广度优先、资产发现）不同，本技能是**深度优先**——对已确定的单个 Web 目标做全面漏洞测试。 ## Phase 1: 技术栈驱动的扫描策略 先做指纹识别，然后根据结果选择针对性扫描路线： ```bash # 指纹识别 curl -sI http://target | grep -i "Server\|X-Powered-By\|X-AspNet" httpx -u http://target -tech-detect -silent ``` | 技术栈 | 自动化扫描重点 | 手动测试重点 | |--------|---------------|-------------| | PHP (WordPress/Laravel/ThinkPHP) | CMS 专用 POC、PHP 反序列化 | LFI/文件上传/`include()` 参数 | | Java (Spring/Struts/Tomcat) | Log4j/Spring4Shell/Struts2 | 反序列化入口、Actuator 泄露 | | Python (Flask/Django) | SSTI、Debug 模式 | Pickle 反序列化、Secret Key 泄露 | | Node.js (Express/Koa) | 原型链污染 | 依赖漏洞、`eval()` 注入 | | .NET (ASP.NET/IIS) | ViewState 反序列化 | web.config 泄露 | 不同技术栈的漏洞分布差异巨大——盲目全扫浪费时间。 ## Phase 2: 自动化扫描 ### 2.1 已知漏洞扫描 ```bash # Nuclei 扫描（按严重等级过滤，节省时间） nuclei -u http://target -severity critical,high ``` 如果指纹明确，可以缩小范围： - WordPress → `nuclei -u http://target -tags wordpress` - 已知 CVE → `nuclei -u http://target -t cves/` ### 2.2 默认口令检测 ```bash nuclei -u http://target -t default-logins/ -silent ``` 很多应用装完就忘改密码——这是最"便宜"的攻击路径。 ### 2.3 目录和敏感文件 ```bash # spray 目录爆破（推荐，智能过滤 + 高性能） spray -u http://target -d /pentest/AboutSecurity/Dic/web/directory/common.txt # 或用 ffuf ffuf -u http://target/FUZZ -w /pentest/AboutSecurity/Dic/web/directory/common.txt -mc 200,301,302,403 ``` 重点不是跑大字典，而是看结果中有没有： - **管理后台** (`/admin`, `/manager`, `/console`) → 直接尝试登录 - **配置泄露** (`.env`, `config.php`, `web.config`) → 可能有数据库密码 - **源码泄露** (`/.git`, `.svn`, `backup.zip`) - **调试端点** (`/actuator`, `/debug`, `/phpinfo.php`) → 大量内部信息 ## Phase 3: 手动测试（自动化扫不到的） 自动化工具覆盖不了逻辑漏洞和需要上下文理解的漏洞。对每个功能点做针对性测试： ### 3.1 输入点测试矩阵 | 功能点 | 优先测试 | 参考技能 | |--------|----------|----------| | 搜索/查询 | SQL 注入 | `sql-injection-methodology` | | 登录表单 | 弱密码、SQL注入、暴力破解 | `hydra-brute`, `cred-spray` | | 文件上传 | 类型绕过、路径穿越 | `file-upload-methodology` | | 用户输入回显 | XSS、SSTI | `xss-methodology`, `ssti-methodology` | | 评论/留言 | 存储型 XSS | `xss-methodology` | | URL/文件路径参数 | LFI/SSRF | `lfi-rfi-methodology`, `ssrf-methodology` | | XML 输入/SOAP/文件上传 | XXE | `xxe-injection-methodology` | | API 端点 | IDOR、认证绕过 | `api-fuzz`, `idor-methodology` | | JWT Token | 算法绕过、密钥爆破 | `jwt-attack-methodology` | ### 3.2 测试优先级 1. **直接可 RCE 的** → 命令注入、反序列化、SSTI、文件上传 2. **可读取敏感数据的** → SQL注入、LFI、IDOR 3. **可获取凭据的** → 默认口令、信息泄露、弱加密 4. **需要用户交互的** → XSS、CSRF（CTF 中通常不考） ## Phase 4: 结果分析与攻击路径规划 扫描完成后，不是列一堆漏洞就完了——要评估**哪些漏洞能组合出攻击路径**： **直接路径**（一步到位）： - RCE 漏洞 → 直接拿 shell - 管理后台弱密码 → 后台功能利用 **组合路径**（多步链式）： - 信息泄露 → 获取凭据 → 登录后台 → 后台文件上传 → webshell - SQL 注入 → 读配置文件 → 获取密钥 → 伪造 JWT → 管理员权限 - SSRF → 读取云元数据 → 云凭据 ## 注意事项 - 自动化扫描是起点不是终点——真正的高危漏洞往往需要手动发现 - 指纹识别准确度直接影响后续效率，花 1 轮做好指纹值得 - 发现一个低危漏洞时，想想它能不能和其他发现组合出高危攻击链 ## 测试优先级 - RCE 优先：命令执行漏洞可直接拿 flag - 默认凭据第二：后台权限可快速获取更多信息 ## 深入参考 - Web 漏洞检查清单与 wfuzz 高级用法 → [references/scan-methodology.md](references/scan-methodology.md)