知识库
开源安全工具
测试工具箱专业人员实际上一直在加载：扫描仪、嗅探器、破解器和网络代理解释了它们在实际操作中的使用方式 - 命令、标志、输出以及每个工具在方法中的位置。
25 主题 · 25 篇指南
- Nmap：启动它们的扫描仪
Nmap 回答了任何参与的第一个真正问题：那里有什么以及正在运行什么。主机发现、端口扫描、服务和版本检测、NSE 脚本编写以及十几种输出格式使其成为我们运行的几乎所有方法的前半部分。业余扫描和专业扫描之间的区别不在于工具，而在于工具。它是范围规则、有意选择的标…
- Wireshark：像专业人士一样读取数据包
Wireshark 获取捕获文件并使网络清晰可见：每个协议都经过剖析，每个流都可跟踪，每个过滤器都是您可以对数百万个数据包提出的问题。在参与中，它是数据包工作的分析端 - 在服务器上使用 tcpdump 捕获，然后在 Wireshark 中打开文件，其中 GU…
- tcpdump：永不离开服务器的数据包工具
tcpdump 是网络分析的捕获部分，它存在于我们接触的每台服务器上。当事件或交战需要证据并且盒子距离数百公里时，通过 SSH 的 tcpdump 会写入 Wireshark 稍后分析的文件。它是最小的、可靠的，并且以最好的方式有点荒谬：一次性安装，没有 GU…
- Maltego：映射攻击面
Maltego 是 OSINT 图：一端是域，另一端是子域、邮件服务器、证书名称、暴露的文档和人员，所有这些都连接成一张图片，分析师可以从一个实体向外构建。它转换（天空中的查找引擎）链接第三方数据源，其价值不是任何单一的查找，而是传播——组织的外部足迹的图片如…
- Metasploit：框架，而不是玩具
Metasploit 框架是一个用于利用的工作台：在一个控制台上用于查找、利用和后处理的数千个模块，并具有用于参与状态的适当数据库。它的声誉受损来自于脚本小子的使用，跳过了理解漏洞利用的工作，但从专业角度来说，它是一台时间机器——经过验证的模块、一致的有效负载…
- SearchSploit：离线漏洞利用索引
SearchSploit 是 Exploit-DB 的命令行镜像：笔记本电脑本地的完整漏洞利用和 shellcode 数据库，可离线搜索，只需用一个命令即可将漏洞利用文件复制到工作区。在参与过程中，它是从“服务 X 版本 Y”到候选漏洞利用的最快桥梁，无需离开…
- Burp Suite：Web 代理专业人员
Burp Suite 是用于 Web 测试的中间人工作台：一个拦截代理，可将每个浏览器会话请求转换为可编辑、可重播、可自动化的对象。它的组件逻辑是将 Burp 与一键扫描器区分开来的——用于观察的代理、用于深思熟虑的请求的中继器、用于结构化模糊测试的入侵者，以…
- sqlmap：在发现注入之前查找注入
sqlmap 自动化 SQL 注入测试：它对后端进行指纹识别，枚举数据库和模式，并且（带有您应该三思而后行的标志）可以转储表。如果使用得当，对于专业人员已经手工确认的技术来说，它可以节省时间；如果盲目使用，它就像一门针对生产系统的数据破坏性大炮。该工具位于测试…
- Nikto：值得保留的老旧 Web 扫描仪
Nikto 是一款 2001 年推出的老牌 Web 服务器扫描仪，从未消亡：它检查危险文件、过时的软件横幅字符串、配置缺陷和数百个一般问题，大声地检查自己的横幅。它不是现代的 DAST——没有 JavaScript 渲染，没有工作流程逻辑，其结果读起来像采石场…
- John the Ripper：密码审核做得正确
John the Ripper 是密码审核的原始主力：提取哈希值，将其输入，然后让 CPU 循环和单词列表规则大规模查找薄弱凭据。它的专业作用是报告的影响部分 - 证明密码策略存在于纸上，但在实践中失败，其中 John 运行的 rockyou.txt 将帐户故…
- hashcat：GPU 破解、规则和现实
hashcat 是 GPU 破解引擎：数百个哈希模式、单词列表和规则管道、掩码攻击和 --show/--left 簿记，使数百 GB 的密码工作可审计。在与恢复的哈希集进行交互时，它会生成董事会幻灯片所依据的政策影响结果，并且它以塑造现代密码策略的机器速度进行…
- THC-Hydra：跨协议的暴力破解
Hydra 是协议暴力破解：通过单个命令行对 SSH、FTP、HTTP 表单、RDP 和其他数十种服务进行用户名/密码测试。在一种方法中，它位于凭证访问阶段，在此阶段您有服务暴露（来自 Nmap）和关于弱密码的假设，而 Hydra 以协议本机速度测试该假设。其…
- Aircrack-ng：无线审核套件
Aircrack-ng 是经典的无线套件：airmon-ng 将卡置于监控模式，airodump-ng 调查和日志，aireplay-ng 生成数据包，aircrack-ng 破解捕获的内容。它的现代专业工作是 WPA2/WPA3 审计证据——从授权接入点捕获…
- Kismet：超越按钮的无线检测
Kismet 是被动无线检测：它监听、聚合和映射无线电范围内的每个接入点、客户端和蓝牙类设备，而无需传输单个帧。 Aircrack-ng 回答“我可以破解这个 AP”，而 Kismet 则回答“这里传输的是什么”——这是任何无线审计的第一个问题，也是防御团队运…
- Kali Linux：作为操作系统的操作员工具包
Kali Linux 是一个渗透测试发行版，预装了数百个安全工具，并且底层有一个滚动的 Debian 基础：它的存在是为了将操作员的工具包放在一个可启动的位置。它的诚实角色是一台专用的实验室机器，而不是一台日常笔记本电脑，其检测对应物与其攻击套件一样重要：Ka…
- Parrot Security OS：更安静的 Pentest 发行版
Parrot Security OS 是基于 Debian 的安全发行版，定位于攻击性工具和隐私态势之间：pentest 元包加上匿名工具（Tor 集成、一次性浏览），其资源占用量比 Kali 的默认值更轻。对于证据敏感的工作流程和低功耗硬件，它是诚实的替代方…
- BlackArch：Arch Pentest 存储库
BlackArch 是基于 Arch Linux 的安全发行版，其存储库涵盖数千个攻击性工具，可以零散地安装在现有 Arch 系统上或作为一套专门构建的 ISO。它将 Kali 的默认设置换成了 Arch 包管理器的速度和即时性：按包工具安装而不是按套件安装，…
- Snort：命名类别的开源签名引擎
Snort 是二十年前定义该类别的开源入侵检测系统：根据流量解码签名规则，对已知的利用模式发出警报，可选择阻止内联。 Snort 3 对引擎进行了现代化改造（多线程、Lua 可配置规则），并且规则生态系统仍然是网络防御中最大的生态系统之一。这是我们的 Snor…
- Suricata：默认采用 JSON 的多线程网络引擎
Suricata 是 OISF 支持的网络 IDS/IPS，从一开始就构建为多线程，具有协议解析（HTTP、DNS、TLS 元数据）和专为现代 SOC 管道设计的 EVE JSON 输出。它读取大多数 Snort 规则，从而保持生态系统共享，并且作为网络传感器…
- Snort 与 Suricata：哪个引擎监视您的电线？
Snort 和 Suricata 共享检测生态系统 DNA（规则语法、ET 规则、pcap 处理），但在架构和输出上有所不同。选择的重点不是哪个“更好”，而是团队管道的形状：Snort 的 Talos 血统和 IPS 历史，与 Suricata 的多线程吞吐量…
- Wazuh：实际团队运行的开源 SIEM
Wazuh 是基于 OSSEC 谱系构建的开源 SIEM/XDR 平台：收集日志和指标的端点上的代理、应用规则的管理器以及将其转变为工作 SOC 控制台的索引器和仪表板（基于 OpenSearch）。它提供 PCI/GDPR/HIPAA 合规性模块，并与现代检…
- Falco：容器运行时威胁检测
Falco 是 CNCF 运行时安全工具，用于监视系统调用；规则描述了永远不应该发生的行为（在 nginx 中生成的 shell、有人读取 /etc/shadow、挂载主机文件系统的容器），Falco 会在这些行为发生时发出警报。它与图像扫描相对应：Trivy…
- Trivy：用于图像和代码的一体化漏洞扫描器
Trivy 是 Aquasecurity 的开源扫描器，可以检查现代堆栈中的几乎所有内容：容器图像和文件系统、IaC 模板、git 存储库、Kubernetes 清单、机密和许可证合规性，并不断更新 CVE 数据。它在实践中的强大功能是成为 CI 管道实际上可…
- OpenVAS/Greenbone：开源漏洞扫描器
上运行 OpenVAS 扫描 OpenVAS 是 Greenbone 套件核心的开源漏洞扫描器：通过数以万计的漏洞测试源对实时服务进行网络级扫描，并使用比端口扫描更深的经过身份验证的探针（SSH、SMB）。它是 Nessus 级商业扫描的免费答案，其纪律在于扫…
- Lynis：用于单命令状态检查的 Linux 审核 CLI
Lynis 是主机配置审核员：一种便携式 CLI，可在一次运行中审核 Unix 主机的安全状况，对内核强化、身份验证实践、权限、日志和已安装软件进行数百次检查，最后以强化索引和报告文件结尾。没有代理，也没有守护进程：定期运行或可编写脚本，这是对 Linux 资…