killvxk/cybersecurity-skills-zh - 第 12 页

detecting-port-scanning-with-fail2ban

使用自定义过滤器和动作配置 Fail2ban，检测端口扫描活动、SSH 暴力破解尝试和网络侦察，自动封禁攻击 IP 并向安全团队告警可疑的网络探测行为。

detecting-process-injection-techniques

检测和分析恶意软件使用的进程注入技术，包括经典 DLL 注入、进程空洞化、APC 注入、线程劫持 和反射式加载。使用内存取证、API 监控和行为分析来识别注入痕迹。适用于进程注入检测、 代码注入分析、空洞化进程调查或内存威胁检测等请求场景。

detecting-rdp-brute-force-attacks

通过分析 Windows 安全事件日志中的失败认证模式（事件 ID 4625）、失败后的成功登录（事件 ID 4624）、NLA 失败以及源 IP 频率分析，检测 RDP 暴力破解攻击。

detecting-rootkit-activity

通过识别隐藏进程、被钩挂的系统调用、被修改的内核结构、隐藏文件和隐蔽网络连接， 检测受攻陷系统上的 Rootkit 存在情况，使用内存取证、交叉视图检测和完整性校验技术。 适用于 Rootkit 检测、隐藏进程发现、内核完整性校验或系统调用钩挂分析等请求场景。

detecting-s3-data-exfiltration-attempts

通过分析 CloudTrail S3 数据事件、VPC Flow Logs、GuardDuty 发现、Amazon Macie 告警和 S3 访问模式，检测 AWS S3 存储桶的数据泄露企图，识别未授权的批量下载和跨账户数据传输。

detecting-shadow-api-endpoints

通过流量分析、代码扫描和API发现平台，发现和清点在已记录规范之外运行的影子API（Shadow API）端点。

detecting-shadow-it-cloud-usage

通过使用 Python pandas 分析代理日志、DNS 查询日志和网络流数据，进行流量模式分析和域名分类，检测未授权的 SaaS 和云服务使用（影子 IT）。

detecting-sql-injection-via-waf-logs

分析 WAF（Web 应用防火墙，ModSecurity/AWS WAF/Cloudflare）日志，检测 SQL 注入（SQL Injection）攻击活动。 解析 ModSecurity 审计日志和 JSON WAF 事件日志，识别 SQLi 模式（UNION SELECT、OR 1=1、SLEEP()、BENCHMARK()）， 追踪攻击源，关联多阶段注入尝试，并生成带 OWASP 分类的事件报告。

detecting-stuxnet-style-attacks

本技能涵盖检测遵循Stuxnet攻击模式的复杂网络物理攻击——在修改PLC逻辑的同时欺骗传感器读数以向操作员隐藏操控行为。内容涉及PLC逻辑完整性监控、基于物理的过程异常检测、工程师工作站入侵指标、USB传播攻击向量，以及从IT到OT横向移动直至过程操控的多阶段攻击链检测。

detecting-supply-chain-attacks-in-ci-cd

扫描 GitHub Actions 工作流和 CI/CD 流水线配置，检测供应链攻击（Supply Chain Attack）向量， 包括未固定的 Action 版本、通过表达式的脚本注入、依赖混淆（Dependency Confusion）和密钥泄露。 使用 PyGithub 和 YAML 解析进行自动化审计。适用于加固 CI/CD 流水线或调查被攻击的构建系统。

detecting-suspicious-oauth-application-consent

使用 Microsoft Graph API、审计日志和权限分析，检测 Azure AD / Microsoft Entra ID 中的高风险 OAuth 应用授权同意，识别非法同意授权攻击。

detecting-wmi-persistence

通过分析 Sysmon 事件 ID 19、20 和 21 中的恶意 EventFilter、EventConsumer 和 FilterToConsumerBinding 创建，检测 WMI 事件订阅持久化。

evaluating-threat-intelligence-platforms

根据组织需求（包括推送集成能力、STIX/TAXII 支持、工作流自动化、分析师界面和总体拥有成本）评估和选择威胁情报平台（TIP）产品。适用于开展 TIP 采购、在 TIP 解决方案之间迁移，或评估当前 TIP 是否满足项目成熟度要求时。适用于涉及 ThreatConnect、MISP、OpenCTI、Anomali、EclecticIQ 或 TIP 采购决策的请求。

executing-active-directory-attack-simulation

对 Active Directory 环境执行授权攻击模拟，识别错误配置、弱凭据、危险特权路径以及可导致域沦陷的可利用信任关系。测试人员使用 BloodHound 进行攻击路径分析，使用 Mimikatz 进行凭据提取，使用 Impacket 进行协议级攻击，包括 Kerberoasting、AS-REP Roasting 和委派滥用。适用于 Active Directory 渗透测试、AD 攻击模拟、域沦陷测试或 Kerberos 攻击评估等请求场景。

executing-diamond-model-analysis

将入侵分析菱形模型应用于将对手活动结构化为四个核心顶点（对手、能力、基础设施、受害者），并识别它们之间的关系，以引导调查和归因活动。适用于分析已完成的入侵事件、将不同事件关联到共同威胁行为者，或构建用于威胁情报传播的结构化分析产品时。适用于涉及菱形模型、入侵分析、活动聚类或对手归因方法论的请求。

executing-phishing-simulation-campaign

执行授权的钓鱼模拟活动，评估组织对基于电子邮件的社会工程攻击的脆弱性。测试人员设计真实的钓鱼场景，构建凭据收集基础设施，发送定向钓鱼邮件，并追踪打开率、点击率和凭据提交率，以衡量人员安全意识水平。适用于钓鱼模拟、社会工程评估、电子邮件安全测试或安全意识测量等请求场景。

executing-red-team-exercise

执行全面的红队演练（Red Teaming），模拟真实世界对手针对组织的人员、流程和技术的攻击行动。红队以隐蔽性为主要目标，采用从初始侦察到目标完成的完整攻击生命周期，同时测试组织的检测和响应能力。与渗透测试不同，此技能聚焦于对手模拟而非漏洞识别。适用于红队演练、对手模拟、对手仿真或全范围攻击性安全评估等请求场景。

exploiting-api-injection-vulnerabilities

通过 API 参数、请求头和请求体，测试 API 的注入漏洞，包括 SQL 注入、NoSQL 注入、操作系统命令注入、LDAP 注入和服务端请求伪造（SSRF）。测试人员针对不同的后端技术和注入上下文构造恶意载荷，以提取数据、执行命令或访问内部服务。对应 OWASP API8:2023 安全错误配置和 API7:2023 SSRF。适用于 API 注入测试、API 中的 SQL 注入、NoSQL 注入、SSRF 测试或 API 输入验证评估等请求场景。

exploiting-bgp-hijacking-vulnerabilities

在授权实验室环境中分析和模拟 BGP 路由劫持场景，评估路由来源验证、RPKI 部署以及针对互联网路由基础设施前缀劫持和路由泄漏攻击的 BGP 监控防御。

exploiting-broken-function-level-authorization

测试 API 的函数级授权破坏（BFLA）漏洞，即普通用户可以通过直接调用来执行管理功能或访问特权 API 端点。测试人员识别管理员和特权端点，然后通过操纵 HTTP 方法、URL 路径和请求参数尝试使用普通用户凭据访问这些端点。对应 OWASP API5:2023 函数级授权破坏。适用于 BFLA 测试、管理员端点绕过、函数级访问控制测试或 API 权限提升等请求场景。

exploiting-broken-link-hijacking

通过识别对过期域名、已停用云资源和失效外部服务的引用，发现并利用断链劫持（Broken Link Hijacking）漏洞，攻击者可申领这些资源。

exploiting-excessive-data-exposure-in-api

测试 API 是否存在过度数据暴露，即端点返回的数据超出客户端应用程序实际需要的量，依赖前端过滤敏感字段。测试人员拦截 API 响应并分析其中泄露的 PII、内部标识符、调试信息或 UI 不显示但 API 传输的敏感业务数据。对应 OWASP API3:2023 对象属性级授权破坏。适用于 API 数据泄露测试、过度数据暴露、响应过滤绕过或 API 过度获取等请求场景。

exploiting-http-request-smuggling

检测并利用由前端和后端服务器之间 Content-Length 与 Transfer-Encoding 解析差异引起的 HTTP 请求走私漏洞。

exploiting-idor-vulnerabilities

通过操纵 API 请求和 URL 中的对象标识符，识别并利用不安全的直接对象引用（IDOR）漏洞以访问未授权资源。

exploiting-insecure-deserialization

在授权渗透测试中识别并利用 Java、PHP、Python 和 .NET 应用程序中的不安全反序列化漏洞以实现远程代码执行。

exploiting-ipv6-vulnerabilities

识别并利用 IPv6 特有漏洞，包括 SLAAC 欺骗、路由器通告泛洪和 IPv6 隧道， 在授权评估中测试双栈安全控制和 IPv6 感知网络防御。

exploiting-jwt-algorithm-confusion-attack

利用 JWT 算法混淆漏洞，该漏洞存在于服务器令牌验证库接受 JWT 头中指定的算法而非强制使用固定算法的场景。测试人员通过操纵 alg 头将 RS256 切换为 HS256（以 RSA 公钥作为 HMAC 密钥），将 alg 设置为 none 以绕过签名验证，或利用 kid/jku/x5u 头注入来提供攻击者控制的密钥。适用于 JWT 算法混淆、alg none 攻击、密钥混淆攻击或 JWT 签名绕过等请求场景。

exploiting-mass-assignment-in-rest-apis

发现并利用 REST API 中的批量赋值漏洞，通过在 API 请求中注入意外参数来提升权限、修改受限字段并绕过授权控制。

exploiting-oauth-misconfiguration

在安全评估期间识别并利用 OAuth 2.0 和 OpenID Connect 错误配置，包括重定向 URI 操纵、令牌泄漏和授权码窃取。

exploiting-prototype-pollution-in-javascript

检测并利用客户端和服务器端应用程序中的 JavaScript 原型链污染漏洞，通过属性注入实现 XSS、RCE 和身份验证绕过。

exploiting-race-condition-vulnerabilities

使用 Turbo Intruder 的单包攻击技术检测并利用 Web 应用程序中的竞态条件漏洞，绕过速率限制、重复交易以及利用检查时间与使用时间（TOCTOU）缺陷。

exploiting-server-side-request-forgery

在授权渗透测试中识别并利用 SSRF 漏洞，访问内部服务、云元数据及受限网络资源。

exploiting-smb-vulnerabilities-with-metasploit

在授权渗透测试中，使用 Metasploit Framework 识别并利用 SMB 协议漏洞， 演示企业网络中未打补丁的 Windows 系统、错误配置的共享和弱认证带来的风险。

exploiting-sql-injection-vulnerabilities

在授权渗透测试中，使用手动技术和 sqlmap 等自动化工具识别并利用 Web 应用程序中的 SQL 注入漏洞。测试人员通过基于错误、基于联合、布尔盲注和时间盲注技术，在所有主要数据库引擎（MySQL、PostgreSQL、MSSQL、Oracle）中检测注入点，以演示数据提取、认证绕过和潜在的远程代码执行。

exploiting-sql-injection-with-sqlmap

在授权渗透测试中使用 sqlmap 检测并利用 SQL 注入漏洞以提取数据库内容。

exploiting-template-injection-vulnerabilities

检测并利用 Jinja2、Twig、Freemarker 等模板引擎中的服务器端模板注入（SSTI）漏洞，实现远程代码执行。

exploiting-type-juggling-vulnerabilities

利用 PHP 宽松比较运算符导致的类型转换漏洞，通过类型强制攻击绕过身份验证、规避哈希验证并操纵应用程序逻辑。

exploiting-websocket-vulnerabilities

在授权安全评估中测试 WebSocket 实现的身份验证绕过、跨站劫持、注入攻击和不安全消息处理。

extracting-browser-history-artifacts

从 Chrome、Firefox 和 Edge 中提取并分析浏览器历史记录、Cookie、缓存、下载记录和书签，以获取用户网络活动的取证证据。

extracting-credentials-from-memory-dump

使用 Volatility 和 Mimikatz 从内存转储中提取缓存的凭据、密码哈希、Kerberos 票据和身份验证令牌，用于取证调查。