Imported from wudidike/pentest_skill (SKILL.md). Install upstream with npx skills add wudidike/pentest_skill. Copyright stays with the author.

Pentest Skill — 实战漏洞挖掘工作流

这是一个带强制 checkpoint 的工作流,不是参考手册。每个阶段有 MUST 输出,未通过不进下一阶段。详细 payload / playbook / H1 案例按需 Read,不准凭记忆生成。

数据规模、目录树见 README.md,本文件只管"做什么 / 何时做 / 何时去读哪个文件"。

触发条件

命中任一即进入:

• "src 挖洞 / 漏洞赏金 / bug bounty / 众测 / hackerone / Security Response Center"
• "如何挖 / 怎么测 / 怎么打 + 某目标 / 某接口 / 某参数"
• "WAF 绕过 / 任意账号 / 任意修改 / 密码重置 / 未授权访问 / 默认凭据"
• "渗透测试 / pentest / 安全扫描 / 漏洞验证"
• 用户给一个 URL / API endpoint / APK 让你测

不应触发:纯白盒源码审计;漏洞修复问答;CTF。

反幻觉硬约束(全程适用)

1. 不准凭记忆出 payload。要给任何 payload 前,先 Read 对应 references/playbooks/<type>.md(或 <type>/00-index.md + 具体子文件)。payload 必须能在文件里查到出处。
2. 不准编造案例编号。引用 H1 案例前必须 Read references/h1-reports/by-weakness/ 下的实际文件。说不出文件路径就别引。
3. 无证据不下结论。无 HTTP 包/截图时只能写"待验证",不写"已确认 / 发现漏洞"。
4. 出 scope 立即停。资产不在 Phase 1 已确认的 in-scope → 立即停手,回 Phase 1 重核。
5. 差分证明。盲注要真/假/baseline 三包;IDOR 要自己200+他人200+不存在404。
6. 合规红线。SQLi 探到库名即停;IDOR 取1-3条样本;RCE 只跑 id/whoami;不真发短信/扣款。详见 references/compliance.md。
7. 报告必须含 PoC,双格式。每个 finding 必须附可执行 PoC,且必须同时给两种格式:
   • curl 格式: 单条 curl 命令,复制到终端直接执行即可复现 (含完整 URL/Header/Body/参数)
   • Burp 格式: HTTP 原始请求报文 (请求行+头+空行+Body),复制粘贴到 Burp Repeater 即可发送
   • 给不出 PoC 的 finding 不得写入报告 — 要么补证据,要么降级为"待验证"。

Phase 1 · Intake(接单)

进入条件:用户首次给出目标 / 程序名 / URL。

MUST 输出 checkpoint(四项缺一不进 Phase 2):

• In-scope:可测域名 / IP 段 / app / endpoint(逐条列)
• Out-of-scope:禁测项(逐条列)
• 规则:payout tier / disclosure window / safe-harbor / 测试 header
• 时间盒:6h / 单日 / HVV / 月度

确认后写入 config.yaml 的 target.scope。越界急停:任何 Phase 中发现资产不在 in_scope → 立即停。

仅当用户问"哪个最值得先测" → Read references/methodology/05-srctimebox-priority.md。

Phase 2 · Recon(被动侦察)

进入条件:Phase 1 checkpoint 四项全过。禁止主动发包。

MUST 输出:不发包得到的资产清单 + 历史信息,来源 ≥3 种(CT日志/Wayback/GitHub dorks/FOFA/Shodan/SecurityTrails/ASN)。

Phase 3 · Enum(主动探测)

进入条件:Phase 2 资产清单非空。

MUST 输出:活资产矩阵——域 → 端口 → 服务 → 指纹 → JS endpoint。

自动化工具(按需调用,非自动管道):

• 指纹/WAF: python scripts/phase0_fingerprint.py --target URL --output-dir DIR
• 页面渲染/JS提取: python scripts/phase4_render.py --target URL --output-dir DIR
• 目录枚举: python scripts/phase5_dir_enum.py --target URL --output-dir DIR
• JS深度分析: python scripts/phase6_js_analysis.py --target URL --output-dir DIR
• 工具状态: python scripts/tool_manager.py status

条件触发 Read(命中就必读):

方法论 Checkpoint(每次必走,不进 Phase 4 不得跳过):

1. Read references/methodology/01-attack-priority.md(攻击优先级)
2. 按 §9 Checkpoint 输出攻击面优先级清单:候选攻击面四维评分 + P0/P1 排序 + 升级链 + 对应探针
3. 时间盒明确时,额外 Read references/methodology/05-srctimebox-priority.md 按 §6 输出时间盒计划
4. 读完后把优先级清单作为 Phase 4 的候选目标顺序

Phase 4 · Hunt(漏洞探测)

进入条件:Phase 3 矩阵 ≥1 个候选目标。

强制流程(每个候选目标走一遍):

1. 看目标信号,从下表选 playbook
2. Read 该 playbook(不准跳过、不准凭记忆替代)
3. 按 playbook 的参数频率表挑入口
4. 按 playbook 的 payload 库探测——payload 来自文件,不来自记忆
5. 被 WAF 拦 → Read references/methodology/02-bypass-toolkit.md 并按 §Checkpoint 输出绕过记录
6. 卡壳/找不到漏洞点 → Read references/methodology/04-control-gap-hunting.md 并按 §Checkpoint 输出控制缺口清单
7. 命中后保存 HTTP 包, Read references/methodology/03-evidence-discipline.md 按 §Checkpoint 核对证据(三包/原貌/复现率) → 进 Phase 5

两步 Read 模式:目录形式 playbook 先 Read 00-index.md(路由表),再 Read 具体子文件。单文件直接 Read。

通用方法论(卡壳时 Read):

• 不知打什么 → references/methodology/01-attack-priority.md
• 被 WAF 拦 → references/methodology/02-bypass-toolkit.md
• 检查证据链 → references/methodology/03-evidence-discipline.md
• 找不到漏洞点 → references/methodology/04-control-gap-hunting.md

验证与证据(命中后):

• 自动验证: python scripts/phase7a_auto_verify.py --output-dir DIR
• SQLi验证: python scripts/phase7d_sqli_verify.py --target URL
• 证据汇总: python scripts/phase7e_evidence.py --output-dir DIR

Phase 5 · Report(提交)

进入条件:Phase 4 至少一个 finding 有可重现 HTTP 包。

MUST 流程:

1. Read references/compliance.md 核对合规红线
2. Read references/templates/report-submission.md 取提交模板
3. 自动报告: python scripts/phase8_report.py --output-dir DIR
4. 每个 finding 附 PoC(双格式): curl 可执行命令 + Burp raw 报文,缺一不进报告
5. PoC 校验门: python scripts/check_report_poc.py <report.md> — 任何 high/medium finding 缺 curl 或 HTTP 报文 → 校验失败,报告不可提交
6. 三段式输出: 标题(≤80字) + 重现步骤(带HTTP包+PoC) + 影响+修复(CVSS+业务影响)

脚本工具索引

48 个 Python 脚本,按需调用。非自动管道——你判断方向,需要时调脚本。

公共参数: --target --output-dir --config --verbose 降级: nuclei→Python, ffuf→fuzz_engine.py, subfinder→crt.sh, nmap→socket

MCP 工具集成

默认 mcp__jshook__search_tools + mcp__jshook__activate_tools 按需激活。完整索引 Read references/tools-src-hunter/mcp-jshook.md。