opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/pentest-tools/src-hunter/references/dictionaries/default-credentials-cn.md

@@ -0,0 +1,274 @@
+# 国产服务 / OA / CMS / 网络设备默认凭据
+
+> 区别于国际通用字典（如 SecLists `default-passwords`），本表面向**国内 SRC 战场**：政企 OA、运营商网管、国产 CMS、国产监控、国产中间件。
+> 数据基于 22,132 个 WooYun 真实案例 + 公开厂商手册整理。
+> 使用：每条尝试 ≤ 5 次，单目标 ≤ 4 并发，≤ 50 次/小时——避免被风控锁号。
+
+---
+
+## 1. 国产 OA / 协同办公（核心战场）
+
+### 1.1 致远 OA（Seeyon）
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/seeyon/` | system / system | 致远 V5/V8 系统账号 |
+| `/seeyon/management/index.jsp` | `WLCCYBD@SEEYON` | 管理控制台超级密码 |
+| `/seeyon/main.do` | admin / 123456 / 000000 | 普通管理员 |
+| `/seeyon/htmlofficeservlet` | — | A8 RCE 路径（CVE-2020-...） |
+| `/seeyon/m/login` | 工号 / 工号 | 移动端登录 |
+
+**指纹**：响应头 `Server: SEEYON-OA`、登录页 logo、`/seeyon/common/`。
+
+**真实案例**：某单位致远 session 泄露 / 全公司通讯录 wooyun-2015-0157444、wooyun-2015-0163955。
+
+### 1.2 通达 OA（Tongda）
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/general/` | admin / admin | 默认管理员 |
+| `/general/login.php` | hr / 123456 | 人事账号 |
+| `/general/login.php` | jhadmin / 123456 | 集合管理员 |
+| `/mobile/auth_mobi.php` | — | 任意用户登录路径（历史漏洞）|
+
+**指纹**：`/general/login.php`、页面 `通达OA`、Cookie `PHPSESSID`。
+
+### 1.3 万户 ezOffice（Wanhu）
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/defaultroot/login.jsp` | admin / 123456 | 默认管理员 |
+| `/defaultroot/dragpage/upload.jsp` | — | 任意文件上传（截断） |
+| `/defaultroot/codesettree.jsp` | — | 信息泄露 |
+
+**真实案例**：万户 OA 截断绕过 wooyun-2014-064031、wooyun-2015-0126541。
+
+### 1.4 泛微 e-cology（Weaver）
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/login/Login.jsp` | sysadmin / 1 | 系统管理员 |
+| `/login/Login.jsp` | admin / 123456 | 普通管理员 |
+| `/weaver/bsh.servlet.BshServlet` | — | BeanShell RCE 端点 |
+
+**指纹**：响应包含 `e-cology`、`Weaver`、`/login/Login.jsp` 跳转。
+
+### 1.5 用友（Yonyou）协作平台 / NC
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/oaerp/` | admin / 123456 | 协作 OA |
+| `/oaerp/ui/sync/excelUpload.jsp` | — | 任意文件上传 |
+| `/nc/` | system / 1 | 用友 NC ERP |
+
+### 1.6 金蝶 GSiS / Apusic
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/kdgs/` | admin / 888888 | 金蝶 GSiS |
+| `/kdgs/core/upload/upload.jsp` | — | 任意上传（注册即可） |
+| `/admin/login` | apusic / apusic | Apusic 中间件 |
+
+### 1.7 蓝凌 OA（Landray）
+
+| 路径 | 默认凭据 | 备注 |
+|------|---------|------|
+| `/sys/login/login.do` | sysadmin / landray | 系统管理 |
+| `/sys/login/login.do` | admin / admin | 默认管理员 |
+
+---
+
+## 2. 国产中间件 / 数据库管理
+
+| 服务 | 默认端口 | 路径 | 凭据 |
+|------|---------|------|------|
+| Druid（阿里巴巴）| 8080 | `/druid/login.html` | admin / admin |
+| Druid（无认证）| 8080 | `/druid/sql.html` | — 直接访问 |
+| Apache Skywalking | 12800 | `/graphql` | — |
+| Nacos | 8848 | `/nacos/` | nacos / nacos |
+| Apollo 配置中心 | 8080 | `/portal/` | apollo / admin |
+| Sentinel Dashboard | 8080 | `/` | sentinel / sentinel |
+| XXL-JOB | 8080 | `/xxl-job-admin/` | admin / 123456 |
+| RuoYi 后台 | 80/8080 | `/login` | admin / admin123 |
+| JeeCG-Boot | 8080 | `/login` | jeecg / jeecg / admin / 123456 |
+| 若依 RuoYi-Cloud | 8080 | `/` | admin / 123456 / ry / admin123 |
+| Eureka | 8761 | `/` | — / `eureka:eureka` |
+| Apache DolphinScheduler | 12345 | `/dolphinscheduler/ui/` | admin / dolphinscheduler123 |
+
+---
+
+## 3. 国产监控 / 工单 / IT 运维
+
+| 系统 | 默认凭据 |
+|------|---------|
+| 蓝鲸智云（腾讯）| admin / blueking |
+| 网御星云 SOC | admin / leadsec.com.cn |
+| 启明天清 SOC | admin / venus.com.cn |
+| 安恒 EDR | admin / dbappsecurity |
+| 锐捷云桌面 | admin / ruijie / ruijie@123 |
+| H3C iMC | admin / admin |
+| H3C IRF / 设备 | admin / h3capadmin |
+| 网神 SecGate | admin / firewall |
+| 东软 NetEye | admin / neusoft |
+| 360 天擎 | admin / 360@admin |
+| 卡巴斯基中国版 | admin / kaspersky |
+
+---
+
+## 4. 国产 CMS
+
+| CMS | 默认凭据 | 备注 |
+|-----|---------|------|
+| DedeCMS | admin / admin | 老 PHP CMS |
+| PHPCMS | phpcms / phpcms | 教育站常见 |
+| 帝国 CMS（EmpireCMS）| admin / admin | 政府站常见 |
+| 海洋 CMS | admin / admin | 视频站 |
+| ECshop | admin / admin / consumer | 电商 |
+| 织梦 / DedeCMS | admin / admin | 默认 |
+| FineCMS | admin / admin123 | 竞争条件上传案例 wooyun-2014-063369 |
+| Jeecms | admin / password | wooyun 多次案例 |
+| Discuz! | admin / admin / 123456 | 论坛 |
+| MetInfo | admin / admin / 123456 | 企业站 |
+| ThinkCMF | admin / 123456 | 框架 CMS |
+| YzmCMS | admin / 123456 | 青苗 |
+| 赣企建站系统 | — | 统一密钥 `lstate=515csmxSi1aTO9ysxvJ1Gpmnj7hHuPxjMdfZdEP49lJZ`（wooyun-2014-062247） |
+| 逐浪 CMS | admin / admin123 | 后门 wooyun-2014-062607 |
+
+---
+
+## 5. 国产网络设备 / 网管系统（运营商场景）
+
+| 设备 / 系统 | 默认凭据 |
+|------------|---------|
+| 华为路由 / 交换 NE 系列 | admin / Admin@huawei / huawei / Huawei@123 |
+| 华为防火墙 USG | admin / Admin@123 |
+| 华为 iManager U2000 | admin / Changeme_123 |
+| 华为家庭网关（电信定制）| telecomadmin / nE7jA%5m |
+| 华为家庭网关（移动定制）| CMCCAdmin / aDm8H%MdA |
+| 华为家庭网关（联通定制）| CUAdmin / CUAdmin |
+| 华为 Echolife（光猫）| useradmin / useradmin |
+| 中兴路由 ZXR10 | admin / zxr10 |
+| 中兴 NetNumen | netnumen / netnumen |
+| 烽火 OTNM2000 | admin / admin |
+| 上海贝尔 5620 SAM | admin / 5620sam |
+| H3C 系列 | admin / h3capadmin |
+| 锐捷路由 | admin / admin |
+| 思科 IOS | admin / cisco / cisco / cisco |
+| 飞塔 FortiGate | admin / "" / admin / fortinet |
+| 深信服 SSL VPN | admin / admin / sangfor |
+| 启明 SSL VPN | admin / venus / 123456 |
+| 安恒 SSL VPN | admin / dbappsecurity |
+
+---
+
+## 6. 国产数据库 / 缓存
+
+| 服务 | 端口 | 默认凭据 |
+|------|------|---------|
+| 达梦（DM）| 5236 | SYSDBA / SYSDBA |
+| 人大金仓（KingbaseES）| 54321 | system / 123456 |
+| 神舟通用（OSCAR）| 2003 | SYSDBA / szoscar55 |
+| 南大通用（GBase）| 5258 | gbasedba / gbase20110531 |
+| 阿里 PolarDB | 3306 | root / "" |
+| 腾讯 TDSQL | 3306 | mysql / "" |
+| GoldenDB | 3306 | admin / 123456 |
+| 国产时序数据库 TDengine | 6030 | root / taosdata |
+| Apache Pulsar | 6650 | — |
+| RocketMQ Console | 8080 | — / admin / admin |
+
+---
+
+## 7. 国产摄像头 / 物联网
+
+| 厂商 | 默认凭据 |
+|------|---------|
+| 海康威视 | admin / 12345 |
+| 大华 | admin / admin |
+| 宇视 | admin / 123456 |
+| 雄迈 | admin / "" |
+| 萤石（海康）| admin / Hik12345+ |
+| 普通 IPC（白牌）| admin / admin / admin / 123456 / root / admin |
+| 工业 PLC（西门子 S7）| — / "" / 100 |
+| 工业 HMI（昆仑通态）| admin / 123456 |
+
+---
+
+## 8. 国产开发 / 部署工具
+
+| 工具 | 默认凭据 |
+|------|---------|
+| Apache DolphinScheduler | admin / dolphinscheduler123 |
+| 阿里 Sentinel | sentinel / sentinel |
+| 阿里 Druid | admin / admin |
+| 蚂蚁 SOFAStack | admin / admin |
+| Tencent TARS | admin / tars |
+| 网易 Yanxuan PaaS | admin / admin |
+| 腾讯 Coding 旧版 | admin / admin |
+| 极狐 GitLab CN | root / 5iveL!fe（GitLab 通用） |
+| 国产 SonarQube 镜像 | admin / admin |
+| GoCD（极狐定制）| admin / badger |
+
+---
+
+## 9. 国产堡垒机 / 跳板
+
+| 堡垒机 | 默认凭据 |
+|--------|---------|
+| JumpServer | admin / admin |
+| 齐治堡垒机 | shterm / shterm |
+| 行云管家堡垒机 | admin / Admin@123 |
+| 梆梆安全堡垒机 | admin / bangcle |
+| 帕拉迪堡垒机 | admin / admin |
+
+---
+
+## 10. 国产手机银行 / 金融工具运维端
+
+> 银行后台默认凭据通常严格修改——以下为运维 / 测试环境常见，**仅在 SRC 授权资产中使用**。
+
+| 系统 | 默认凭据 |
+|------|---------|
+| 申万宏源统一认证 | hysec / 000000（wooyun-2015-0119587） |
+| 网银管理后台（多家股份制）| admin / 123456 / Admin@123 |
+| Pos 商户终端管理 | admin / pos@123456 |
+| 银联商务 ChinaUMS | admin / 12345678 |
+| TIPS（直联认证）| tips / tips |
+
+---
+
+## 11. 使用流程模板
+
+```bash
+# 1. 端口指纹
+nmap -sV -p 80,443,8080,8848,8761,12345,12800,8443,7001 target
+
+# 2. 路径指纹（先看返回内容判断厂商）
+curl -s http://target/ | grep -iE "(seeyon|tongda|weaver|yongyou|kingdee|landray|jeecg|ruoyi|nacos|druid)"
+
+# 3. 命中后只跑该厂商的默认凭据（不要无脑撒所有字典）
+hydra -l <user> -P <pass-list-for-vendor>.txt -t 4 -W 2 target http-post-form ...
+
+# 4. 命中后立即停 + 截图 + 不进入业务操作
+```
+
+---
+
+## 12. 与 playbook 的链接
+
+```
+playbooks/unauth-access.md       →  国际通用部分（Tomcat/Redis/Mongo/Actuator）
+playbooks/file-upload.md         →  本字典补充 OA 上传路径（万户、用友、金蝶）
+playbooks/sqli.md                →  本字典补充 OA SQL 注入入口
+playbooks/info-disclosure.md     →  本字典补充国产组件信息泄露
+industry/banking-finance.md      →  本字典补充金融运维默认凭据
+industry/telecom-isp.md          →  本字典补充网管 / 网元 / 家庭网关凭据
+```
+
+---
+
+## 13. 红线
+
+- **禁**：用国际字典里的"暴力撞库"模式打国产系统。国产 SOC / 风控敏感度高，撞库会立即触发账号锁定。
+- **禁**：登录后做任何写操作（建用户、改配置、跑命令）。仅截图证明可登录 + 看到核心功能。
+- **禁**：在政府 / 国企 / 银行 / 运营商系统使用本字典而无 SRC 授权。这些行业属于关键基础设施。
+- **限速**：单目标 ≤ 4 并发、≤ 50 次/小时；命中即停。

package/bundled-skills/pentest-tools/src-hunter/references/industry/00-index.md

@@ -0,0 +1,66 @@
+# 行业垂直 playbook 总目录
+
+> 按行业组织的"目标定向"playbook，对应不同行业的资产清单 + 高价值漏洞分布。
+> 与 `playbooks/` 的关系：
+> - `playbooks/` 按**漏洞类型**组织（IDOR / RCE / SSRF / …）。
+> - `industry/` 按**目标行业**组织（银行 / 电信 / …）→ 拿到目标先看本目录定打法，再翻对应类型 playbook。
+
+---
+
+## 怎么用
+
+```
+拿到目标 → 判断行业  →  打开对应 industry playbook
+                          │
+                          ├─ 攻击面分层图（资产清单）
+                          ├─ 行业特有的高价值漏洞类型
+                          └─ 行业特有的探测路径
+
+  目标资产已在攻击面图上 → 跳到对应类型 playbook 落实利用
+  目标资产不在 → 子产品测绘扩面（GitHub / APP / 微信小程序 / 子域）
+```
+
+---
+
+## 行业目录
+
+| 文件 | 主要资产 | 主打漏洞类型 | 高危占比段 |
+|------|---------|-------------|----------|
+| `banking-finance.md` | 网银 / 手机银行 / 微信银行 / 直销银行 / 信用卡中心 / 第三方支付 / 聚合支付 | 金额篡改 (83%) / 支付绕过 (68.7%) / 密码重置 (88%) | 顶段 |
+| `telecom-isp.md` | 网厅 / 掌厅 / BOSS / SP-CP 平台 / 短信网关 / 物联网卡平台 / 网管(NMS) | 越权 (62.3%) / 弱口令 (58.2%) / 未授权访问 / 边界设备 | 中–高段 |
+
+---
+
+## 行业打法的共同骨架
+
+每个行业 playbook 都按这个结构写：
+
+```
+1. 攻击面分层模型（互联网 / 接口通道 / 内部系统 三层资产）
+2. 行业特有高危漏洞类型（带 WooYun 案例数）
+3. 行业特有的攻击面（不易在 OWASP / H1 通用 playbook 上找到的）
+4. GetShell / 横向移动路径（按优先级）
+5. 实战 Checklist（信息收集 / 漏洞发现 / 深度利用）
+```
+
+---
+
+## 与 SRC 平台的关系
+
+| 行业 | 对应 SRC 入口 |
+|------|--------------|
+| 银行 / 金融 | 各行 SRC（招行 / 建行 / 平安 / 蚂蚁 / 支付宝 / 银联 / 财付通） + 补天金融专项 + HVV 金融行业 |
+| 电信 / ISP | 各运营商 SRC（移动 / 联通 / 电信 / 广电）+ HVV 运营商行业 |
+
+**红线**：金融、电信都属于关键基础设施，证据纪律比通用 SRC 更严格——不写、不删、不改、不留 webshell。详见 `methodology/03-evidence-discipline.md`。
+
+---
+
+## 与方法论 / 字典的关联
+
+```
+methodology/05-srctimebox-priority.md   →  按时间盒选行业内的优先漏洞
+playbooks/<具体类型>.md                  →  落实漏洞类型的探测/利用
+dictionaries/default-credentials-cn.md   →  行业内 CN 厂商默认凭据
+dictionaries/chinese-srcfingerprints.md  →  行业组件指纹与默认路径
+```

package/bundled-skills/pentest-tools/src-hunter/references/industry/banking-finance.md

@@ -0,0 +1,338 @@
+# 银行 / 金融行业渗透 playbook
+
+> 视角：黑盒，针对国内银行（国有/股份制/城商/民营）+ 第三方支付 + 聚合支付 + 互金平台。
+> 数据基础：金融领域 2,919 个真实案例，68%–88% 高危占比。
+
+---
+
+## 1. 一句话定位
+
+银行/金融业的漏洞特点：**资金类漏洞占比小但单发价值高**，**鉴权层 + 接口层是主战场**。一个支付绕过的赏金可以等于普通 SaaS 一年的全部收益。
+
+不要盯着"网银 RCE"——那是十年前的玩法。今天值钱的是：
+- 第三方支付 / 聚合支付的接口签名缺陷
+- 手机银行 APP 的接口（鉴权往往比 Web 弱）
+- 直销银行 / 微信银行的"轻量化"业务系统
+- 信贷 / 风控管理后台的越权
+
+---
+
+## 2. 攻击面分层模型
+
+```
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第一层：互联网边界                              │
+├─────────────────────────────────────────────────────────────────────────┤
+│  网银系统 │ 手机银行 │ 微信银行 │ 直销银行 │ 信用卡中心 │ 官网/活动页    │
+│  小程序   │ APP      │ H5       │ 公众号   │ 营销活动   │ 客服系统       │
+└─────────────────────────────────────────────────────────────────────────┘
+                                    │
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第二层：接口/通道层                             │
+├─────────────────────────────────────────────────────────────────────────┤
+│  支付接口 │ 银联通道 │ 快捷支付 │ 代扣代付 │ 聚合支付 │ 开放银行 API     │
+│  发卡接口 │ 风控接口 │ 短信网关 │ 二次认证 │ 数字证书 │ 人脸识别         │
+└─────────────────────────────────────────────────────────────────────────┘
+                                    │
+┌─────────────────────────────────────────────────────────────────────────┐
+│                          第三层：内部系统层                              │
+├─────────────────────────────────────────────────────────────────────────┤
+│  核心银行 │ 信贷系统 │ 风控系统 │ 反洗钱   │ 客户管理 CRM │ 报表系统    │
+│  对账系统 │ 清算系统 │ 票据系统 │ 衍生品   │ 内部 OA      │ 邮件系统    │
+└─────────────────────────────────────────────────────────────────────────┘
+```
+
+---
+
+## 3. 高危漏洞类型分布（金融特化）
+
+### 3.1 第一梯队：资金类（68%–88% 高危）
+
+| 漏洞类型 | 高危占比 | 银行特有场景 | 主要 playbook |
+|---------|---------|-------------|--------------|
+| 密码重置 | 88.0% | 网银/手机银行登录密码、交易密码、支付密码 | `logic-flaws.md` §3.1 |
+| 提现 | 83.1% | 转账限额绕过、提现校验缺陷 | 本篇 §4.3 |
+| 金额篡改 | 83.0% | 转账金额、理财金额、还款金额 | `logic-flaws.md` §3.4 |
+| 余额篡改 | 77.9% | 账户余额、积分、虚拟卡 | 本篇 §4.4 |
+| 订单篡改 | 74.2% | 信用卡订单、理财下单 | `logic-flaws.md` §3.4 |
+| 价格篡改 | 74.3% | 理财产品价格、增值服务 | `logic-flaws.md` §3.4 |
+| 支付绕过 | 68.7% | 快捷支付、代扣代付、跨行转账 | 本篇 §4.1 |
+
+### 3.2 第二梯队：鉴权 / 信息类
+
+| 漏洞类型 | 案例数 | 银行特化场景 |
+|---------|-------|------------|
+| 弱口令 | 7,513 | 网银运维后台、ATM 监控、行内 OA |
+| 越权 | 1,705 | 查看他人账户 / 流水 / 客户信息 |
+| 验证码 | 334 | 登录、转账、密码重置、人脸识别 |
+| 信息泄露 | 4,858 | 客户 PII / 交易记录 / 信贷资料 |
+
+### 3.3 第三梯队：客户端 / 移动端
+
+银行特有，通用 SRC 库少有覆盖：
+
+- **手机银行 APP 加固绕过**：Frida / Objection 反调试
+- **SSL Pinning 绕过**：Frida hook
+- **本地存储敏感数据**：sqlite / sharedPrefs / 内存中的明文密码
+- **签名算法逆向**：交易请求签名（HMAC / RSA）
+- **小程序密钥硬编码**：微信小程序包内的 AppSecret / 签名 key
+
+---
+
+## 4. 银行特有攻击场景
+
+### 4.1 第三方/聚合支付接口（重点矿区）
+
+```
+攻击面：
+├── 商户密钥泄露（GitHub/Gitee/外包代码）
+├── 异步通知（notify_url）签名缺陷
+├── 同步回调（return_url）参数可控
+├── 金额二次校验缺失
+├── 商户号越权（A 商户的 mch_id 用 B 商户密钥）
+└── 测试支付网关凭据（沙箱密钥用于生产）
+```
+
+**探针清单**：
+
+```bash
+# 1. notify_url 重放
+curl -X POST https://target/pay/notify \
+  -d "out_trade_no=ORDER001&total_fee=100&trade_status=SUCCESS&sign=XXX"
+# 看是否多次发货
+
+# 2. 签名校验缺失测试
+# 删除 sign / 置空 sign / 用错误 sign
+curl -X POST https://target/pay/notify -d "out_trade_no=ORDER001&trade_status=SUCCESS"
+
+# 3. 修改 total_fee 但保持 sign
+# （多数实现是先校 sign 再处理金额，但有少数实现把 sign 算法暴露在前端）
+```
+
+**关键参数**：`amount` / `total_fee` / `price` / `total` / `out_trade_no` / `trade_no` / `mch_id` / `sign` / `signature` / `appid` / `nonce_str` / `notify_url` / `return_url` / `attach`。
+
+### 4.2 手机银行 APP
+
+```
+APP 渗透流程：
+1. 抓包突破：绕过 SSL Pinning（Frida / Objection）
+2. 逆向分析：脱壳 → jadx 反编译 → 签名算法逆向 → 密钥提取
+3. Hook 测试：绕过人脸/指纹/手势校验、修改限额检测
+4. 接口比对：APP 接口 vs Web 接口的差异（APP 接口往往鉴权更弱）
+5. 内部 SDK：埋点/推送/客服 IM 的 SDK 是否暴露内部接口
+```
+
+**APP 鉴权常见缺陷**：
+- APP 接口仅校验 token，不校验角色
+- APP 接口跳过 Web 的 WAF / 风控
+- APP 接口的 user-agent / 客户端类型 校验可绕过（仿造 `User-Agent: BankApp/1.0`）
+
+详见 `playbooks/mobile.md`。
+
+### 4.3 提现 / 转账（83.1% 高危）
+
+```
+转账接口测试矩阵：
+1. 金额向负
+   amount = -1000  → 收款方扣款，发款方加款
+2. 限额绕过
+   - 改 amount 数据类型：number → string ("100")
+   - 用科学计数：1e10
+   - 用极小小数：0.001 × 1000 次（凑齐限额）
+3. 双花 / 竞态
+   并发提现 N 次余额额度
+4. 改收款方 (to_account / payee_id)
+   把转账目标改成攻击者控制的账户
+5. 状态机
+   - 改 status=SUCCESS（伪造已成功）
+   - 重放成功的转账回调
+```
+
+**红线**：
+- 不实际向陌生账户转账。所有金额测试用研究员自有账号 → 自有账号。
+- 极小金额（0.01 元）即停。
+- 任何"返还" / "撤回"操作都要立即截图存证，便于后续对账。
+
+### 4.4 余额 / 积分 / 卡券
+
+| 攻击 | 方法 |
+|------|------|
+| 负向转账 | `amount=-100` |
+| 余额计算绕过 | 客户端请求中改 `balance` 参数 |
+| 小数精度漏洞 | 提现 0.001 × 10000 次（舍入累积）|
+| 卡券生成 | 任意调发卡接口 |
+| 积分汇率 | 兑换接口里改"1 积分 = X 元"的值 |
+
+真实案例：
+- 神舟专车充值流程免输信用卡交易密码（套现绕过）
+- 鱼泡泡 APP 任意用户登录可影响余额（sign 绕过）
+- 宁波银行直销银行看任意卡余额
+- 中国平安某处验证逻辑问题导致管理商品价格
+
+### 4.5 验证绕过（金融行业特别版）
+
+#### 短信验证码
+
+```
+├── 爆破：4–6 位数字 + 100 线程，30 秒爆完
+├── 并发：绕过频率限制
+├── 复用：同一验证码用多次
+├── 回显：响应中泄露
+├── 万能：测试期 0000 / 1234
+└── 跨流程：注册流程的码用于重置
+```
+
+#### 人脸识别
+
+```
+├── 照片攻击：纸照 / 屏幕回放
+├── 视频攻击：眨眼 / 摇头视频
+├── Hook 返回值：Frida hook 人脸校验函数
+├── 接口重放：重放成功的人脸 API 响应
+└── 替换人脸数据：抓包修改 face_data 字段
+```
+
+#### U 盾 / 数字证书
+
+> 大多数 U 盾相关攻击在 2020 年后已被生物识别+硬件 TEE 取代，仅在企业网银仍少量在线。
+
+#### 交易签名
+
+```
+├── 签名密钥硬编码 / 通过 GitHub 找到
+├── 关键字段未参与签名（如改 amount，sign 不变也通过）
+├── 签名校验可选（删 sign 字段直接通过）
+└── 签名算法降级（RSA → HMAC → MD5 → 无）
+```
+
+---
+
+## 5. 高价值目标资产
+
+| 目标系统 | 价值 | 黑盒可见度 |
+|---------|-----|-----------|
+| 核心银行系统 | ⭐⭐⭐⭐⭐ | 极低（内网） |
+| 信贷系统 | ⭐⭐⭐⭐ | 中（部分对外暴露审批/查询接口） |
+| 风控系统 | ⭐⭐⭐⭐ | 低 |
+| 反洗钱系统 | ⭐⭐⭐⭐ | 低 |
+| CRM / KYC | ⭐⭐⭐ | 中 |
+| 客服 / 工单系统 | ⭐⭐ | 高（最容易突破） |
+| 营销活动 / H5 | ⭐⭐ | 极高（最常见入口） |
+| 信用卡中心 | ⭐⭐⭐⭐ | 中 |
+
+**实战路径**：从营销活动 H5 / 客服系统 → 撞库 / 越权 → 客户 PII → 联动信用卡中心 → 信贷系统。
+
+---
+
+## 6. GetShell / 横向移动
+
+### 6.1 边界设备
+
+```
+VPN / 网关漏洞：
+├── Pulse Secure CVE-2019-11510
+├── Fortinet CVE-2018-13379
+├── Citrix CVE-2019-19781
+├── 深信服 VPN 任意密码重置
+└── 安恒 / 启明 / 天融信 设备弱口令
+
+CDN 回源：
+├── 找真实 IP（fofa "icon_hash" / 历史 DNS）
+├── 直接打回源
+└── 配置层：Host 头注入
+```
+
+### 6.2 第三方外包 / 供应链
+
+```
+供应链路径：
+├── 外包公司 → 开发测试环境 → 正式环境
+├── 设备供应商 → 预置账号
+├── 服务提供商 → 短信 / 身份核验 / 反欺诈 SDK
+└── 印刷厂 / 卡商 → 卡号 / 加密密钥
+```
+
+### 6.3 GetShell 优先级（金融场景）
+
+```
+1. Struts2 RCE（S2-045/046/048/052/057/059）── 银行老系统常见
+2. WebLogic 反序列化（CVE-2017-10271 / 2019-2725 / 2020-14882）
+3. Shiro 反序列化（rememberMe）── 国产 OA / 工单系统常见
+4. Fastjson RCE 1.2.x ── 接口层常见
+5. Log4Shell ── 内部日志框架
+6. 文件上传绕过 ── OA / CMS 编辑器
+```
+
+详见 `playbooks/rce.md` 和 `playbooks/file-upload.md`。
+
+---
+
+## 7. 实战 Checklist
+
+### 7.1 信息收集
+- [ ] 子域枚举（含 ipv6）
+- [ ] APP / 小程序 / 公众号下载分析
+- [ ] GitHub / Gitee / 码云代码搜索（公司名 + commitor 邮箱）
+- [ ] 历史接口 Wayback Machine
+- [ ] 微信小程序 + 公众号底部菜单的 H5
+- [ ] 营销活动页 / 双 11 / 春节红包活动页
+- [ ] 客服系统 / 工单系统的子域
+- [ ] 信用卡中心独立子站
+
+### 7.2 漏洞探测
+- [ ] 弱口令（运维后台 / OA / 邮件）
+- [ ] 业务逻辑（支付 / 转账 / 密码重置 / 信用卡分期）
+- [ ] 越权（横向 / 纵向）
+- [ ] 接口安全（签名 / 加密 / 重放）
+- [ ] APP 客户端安全（脱壳 / Pinning / 本地存储）
+- [ ] 第三方支付 notify_url 缺陷
+- [ ] 验证码（短信 / 图形 / 人脸）
+- [ ] 任意 X 子授权（任意账号 / 任意操作）
+
+### 7.3 深度利用
+- [ ] 支付金额篡改（自账→自账）
+- [ ] 验证码并发爆破
+- [ ] 人脸识别接口重放
+- [ ] 并发条件竞争（提现 / 优惠券）
+- [ ] 内部接口越权（仅限可证明）
+
+---
+
+## 8. 真实案例指纹（金融）
+
+| 案例 | 一句话指纹 | 漏洞分类 |
+|------|----------|---------|
+| 中原银行 GetShell（影响财付通 / 支付宝）| 边界 Web RCE → 内网 | 边界 RCE |
+| 通联支付文件遍历读取（Oracle EBS）| `/oracle.../read?path=` | 任意文件读 |
+| 某第三方支付机构 SOAP 注入（DBA + 9 库）| WSDL 暴露 + WS 注入 | SQLi |
+| 神舟专车充值免交易密码 | 客户端跳过 PIN | 支付绕过 |
+| 鱼泡泡 APP 任意账号 | sign 字段空值绕过 | 任意账号 |
+| 宁波银行直销银行看任意卡余额 | API 不校验账户归属 | IDOR |
+| 百姓大药房 2000W PII + 余额 | 弱口令 + 后台越权 | 弱口令 |
+| 中国平安 100W PII + 价格管理 | 鉴权 + 价格校验缺失 | 越权 |
+
+---
+
+## 9. 红线（金融行业 SRC 特别版）
+
+- **绝不**：转账给陌生账户。研究员账号自转自即停。
+- **绝不**：实测信用卡盗刷 / 套现 / 实物兑换。
+- **绝不**：使用真实客户的身份证 / 银行卡 / 手机号测试。准备 5+ 个研究员名下的测试卡。
+- **绝不**：扫描银行公开 IP 段（涉嫌违反《关键信息基础设施安全保护条例》）。仅扫漏洞奖励计划明确授权的资产。
+- **绝不**：在生产环境留 webshell / cron / SSH 公钥。证明到 RCE 即停，立即清理 + 在报告中说明清理时间。
+- **绝不**：数据外泄（即使是给厂方）。报告中只贴 1–3 条脱敏样本。
+
+---
+
+## 10. 与方法论 / 字典链接
+
+```
+methodology/05-srctimebox-priority.md   →  金融行业的 88% / 83% 重点漏洞
+playbooks/logic-flaws.md                 →  支付 / 订单 / 密码重置详细
+playbooks/arbitrary-x-authz.md           →  任意账号（86.4%）/ 任意操作
+playbooks/oauth-saml-jwt.md              →  SSO / JWT / 联邦身份
+playbooks/mobile.md                      →  手机银行 APP
+playbooks/race-conditions.md             →  并发提现 / 优惠券
+dictionaries/default-credentials-cn.md   →  网银 / OA / 监控的国产默认凭据
+dictionaries/chinese-srcfingerprints.md  →  金融常见组件指纹（致远 OA / 用友 / 金蝶等）
+```