渗透测试学习大纲

渗透测试流程

1. 环境安装：首先，您需要建立一个适合进行渗透测试的环境。这可能包括安装和配置虚拟机、操作系统、网络工具和其他必要的软件。
2. 渗透测试基础：在进行具体的渗透测试之前，您需要掌握一些基础知识，例如渗透测试方法学、常见漏洞类型和攻击技术。这将帮助您在后续的步骤中更好地理解和应用相应的技术。
3. 内网信息收集：在渗透测试中，信息收集是一个重要的阶段。您需要收集关于目标网络和系统的信息，例如IP地址、子网、域名、开放端口、服务版本等。这些信息将有助于您了解目标系统的脆弱性和攻击面。
4. 渗透测试框架：选择一个适合您的需求的渗透测试框架，例如Metasploit、Burp Suite、Nessus等。这些框架提供了一系列的工具和功能，帮助您执行渗透测试任务，包括漏洞扫描、攻击模块和远程访问工具。
5. 内网代理隧道搭建：在进行内网渗透测试时，您可能需要建立一个代理隧道，以便在目标网络中自由移动。这可以通过工具如SSH隧道、VPN连接或反向代理实现。
6. 权限提升：一旦进入目标网络，您可能需要提升自己的权限，以便获得更高的特权和更广泛的访问权限。这可以通过漏洞利用、提权脚本、弱密码破解等方法实现。
7. 内网横向移动：内网渗透测试的目标通常是在网络中移动，寻找其他主机和系统，以扩大攻击面并获取更多敏感信息。这可以通过漏洞利用、密码重用、漏洞扫描等方法实现。
8. 权限维持：一旦获得目标系统的高权限访问，您可能需要采取措施来维持这些权限，以便长期持续地进行渗透测试和数据收集。这可以包括后门安装、持久性脚本和隐藏身份等方法。
9. 痕迹清除：在渗透测试完成后，您需要清除留下的任何痕迹，以防止被检测和追踪。这可能涉及删除日志、清除网络痕迹、恢复文件属性等。

一、环境安装

（1）基础环境安装

1、工具与环境的安装：Java环境，python环境，burpsuite pro安装，sqlmap安装

2、虚拟机安装：VMware虚拟机安装，kali安装，Windows与windows server安装

3、 虚拟机配置与使用：快照使用，虚拟机配置详解（桥接模式，nat模式，仅主机模式）

4、Kali Linux基础使用：设置root密码，并切换为root登录，配置apt源，使用apt安装软件，Linux目录结构，设置中文显示，Linux基础命令讲解，vi/vim使用详解

（2）靶场环境搭建

1、内网环境搭建：CFS三层内网靶场搭建，vm tools安装使用，域内网环境搭建，Windows server服务器安装域服务，Windows server服务器安装dns服务

2、云服务器与Docker：vps云服务器介绍及选购指南（vps作用，各大厂商服务器对比，云服务器方案提供），Docker基础操作使用（启动停止操作，镜像操作，容器操作，docker基础使用命令），docker搭建漏洞靶场（docker-compose，搭建vulhub靶场，搭建vulApps靶场，搭建vulfocus靶场）

二、渗透测试基础

（1）渗透测试网络协议基础

1、网络协议分层（应用层，传输层，网络层，数据链路层，物理层）

2、IP协议

A:IP地址的基本认识（什么是IP地址，MAC地址与IP地址的关系）

B:IP地址（IP地址的定义，IP地址的分类，共有IP与私有IP，IP地址和路由控制，IP协议相关技术<DNS域名解析，ARP与RARP协议，DHCP协议，NAT网络地址转换，ICMP互联网控制报文协议）

3、HTTP协议

A:HTTP基础知识

1>HTTP是什么

2>统一资源标志符URL

3>HTTP客户端请求消息（请求行，请求头部，空行，请求正文）

4>HTTP服务端响应消息（状态行，消息报文，空行，响应正文）

B、HTTP请求方法理解（GET,POST,HEAD,OPTIONS,PUT,DELETE)

C、HTTPS与HTTP（HTTP与HTTPS的区别，HTTPS解决的问题）

4、burp suite分析HTTP实战

（2）信息收集

1、信息收集简介

A:什么是信息收集

B:信息收集的意义

C:信息收集分类

D:收集哪些信息

2、域名信息收集

A:域名介绍

B:域名分类

C:Whois

D:备案信息

E:Whois反查

F:子域名（子域名简介，goole hacking语法，第三方Web接口，JS文件发现子域名，子域名工具自动收集）

G:SSL证书查询

3、IP及端口信息收集

A:IP信息收集（IP反查域名，域名查询IP，C段存活主机探测）

B:端口信息收集

1>端口简介

2>协议端口

3>端口类型

4>常见端口介绍：FTP-21、SSH-22，WWW-80、MySQL-3306、RDP-3389、Redis-6379、Weblogic-7001、Tomcat-8080

5>端口扫描：NMAP

a:NMAP简介

b:功能介绍

c:端口状态

d:基础用法

e:NMAP漏洞扫描

C:CDN

1>CDN简介

2>CDN判断:多地ping ,国外访问

3>CDN绕过:查询子域名的IP、MX记录邮件服务、查询历史DNS记录、网站指纹识别

4、网站指纹识别

A:操作系统

1>ping判断

2>nmap -O参数

3>windows大小写不敏感，linux则区分大小写

B:网站服务、容器类型

1>F12查看响应头Server字段

2>whatweb

3>wappalyer

C:脚本类型

1>php

2>jsp

3>asp/aspx

4>python

D:数据库类型

1>mysql

2>sqlserver

3>access

4>Oracle

E:CMS识别

1>CMS：内容管理系统，用于网站内容文章管理

2>常见CMS：dedecms(织梦)、Discuz、phpcms等。

3>在线识别工具

4>Onlinetools

5、网站目录探测：敏感文件、目录

1>Github泄露

2>.git泄露

3>.svn泄露

4>网站备份文件

5>目录探测

6>网站WAF识别

6、网络空间安全搜索引擎使用

1>fofa

2>shodan

3>hunter

4>zoomeye

7、自动化工具使用

1>ARL灯塔使用

（3）WEB安全基础

1、环境搭建

A：WAMP环境搭建：WAMP介绍、搭建步骤、搭建靶场

B:LAMP环境搭建：LAMP相关介绍、搭建步骤、搭建靶场

2、SQL注入

A:数据库简介

1>什么是数据库

2>什么是SQL

3>MySQL数据库结构：库，表，列，数据

4>MySQL基础：增，删，改，查，查看状态版本信息

5>MySQL系统表：information_schema（SCHEMATA 表、TABLES 表、COLUMNS 表）

6>SQL语句：SELECT 语句、INSERT INTO 语句、DELETE 语句、Update 语句、Order by语句、Where语句、Limit控制输出、MySQL注释符。

B:SQL注入简介

1>SQL注入原理：SQL注入介绍、SQL注入过程分析

2>SQL注入危害：获取敏感数据、绕过登录验证、文件系统操作、注册表操作、执行系统命令

3>SQL注入判断

4>SQL注入的分类：

a:参数类型分类：数字型、字符型、搜索型

b:数据库返回结果分类：回显注入、报错注入、盲注（基于布尔的盲注、基于时间的盲注）

c:注入点位置分类：GET注入，POST注入，Cookie注入，Header注入

C:SQL注入漏洞测试

1>GET显错注入

a:GET显错注入流程：获取字段数、获取显示位、获取数据库信息、获取当前数据库、获取所有数据库、获取数据库表、获取所有字段、获取数据

b:运算逻辑符：and（1=1 and 2=2 真，1=1 and 1=2 假）、or（或者，前后两条语句一条为真，就为真。），!=（不等于），–+（注释符）

c:注入步骤：判断漏洞、判断字段数量、获取显示位、获取当前数据库、获取所有数据库、获取当前数据库表名、获取users表所有字段、获取表所有字段、获取表所有字段内容

2>GET盲注

a:GET盲注基本流程:获取当前数据库长度、获取当前数据库名、获取当前数据库表总数、获取当前数据库表的长度、获取当前数据库表名、获取当前数据库表的字段总数、获取当前数据库表的字段第N个长度、获取当前数据库表的字段第N个字段名、获取当前数据库表的字段内容长度、获取当前数据库表的字段内容

b:前置知识：截取字符串函数{substr()、mid()}、截取字符串长度对应的值{left()、right()}、截取字符串长度{length()}

c:注入步骤：判断注入点、获取当前数据库长度、获取当前数据库版本、获取当前数据库名、获取当前数据库表总数、获取当前数据库表字符、获取第表得字段总数、获取表字段内容长度

3>报错注入：

a:报错注入原理

b:报错注入函数：

常见报错函数：updatexml()、extractvalue()、floor()、exp()

geometrycollection()

multipoint()

polygon()

multipolygon()

linestring()

multilinestring()

D:SQL注入自动化利用工具-SQLMAP

1>SQLMAP简介

2>SQLMAP支持的注入模式

3>SQLMAP支持的数据库

4>SQLMAP安装

5>SQLMAP参数详解

6>SQLMAP --os-shell原理

7>SQLMAP实例

3、文件上传

A:文件上传简介

1>什么是文件上传

2>什么是文件上传漏洞

3>文件上传产生漏洞的原因:服务器配置不当、文件上传限制被绕过、开源编辑器的上传漏洞、文件解析漏洞导致文件执行、过滤不严或被绕过、文件上传漏洞危害、文件上传检测方式

4>文件上传漏洞危害

5>文件上传检测方式：客户端JavaScript检、服务端MIME类型检测、服务端目录路径检测、服务端文件扩展名检测、服务端文件内容检测

B:Webshell

1>Webshell简介

2>常用一句话Webshell:php一句话木马、asp一句话木马、aspx一句话木马、jsp一句话木马、内存马

3>Webshell原理

4>Webshell管理工具：中国菜刀、蚁剑-AntSword、冰蝎-Behinder、哥斯拉-Godzilla

C:文件上传绕过

1>绕过客户端检测(JS检测)

2>绕过服务端检测:绕过MIME类型检测、绕过文件后缀检测-黑名单、绕过文件后缀检测-白名单、绕过文件内容检测

3>解析漏洞:Apache解析漏洞、Nginx解析漏洞、IIS 6.0解析漏洞、IIS 7.0/7.5解析漏洞

D:文件上传漏洞总结

E:文件上传漏洞防御

1>文件上传的目录设置为不可执行

2>判断文件类型

3>使用随机数改写文件名和文件路径

4>单独设置文件服务器的域名

F:文件上传实战

4、命令执行Getshell

A:命令执行漏洞简介

1>原因

2>危害(继承Web服务程序的权限去执行系统命令或读写文件、反弹shell，获得目标服务器的权限、进一步内网渗透）

3>远程代码执行

B:PHP代码执行函数

1>eval

2>assert

3>preg_replace

4>array_map

5>create_function

6>call_user_func

7>call_user_func_array

8>array_filter

9>双引号

C:系统命令执行

D:PHP系统命令执行函数

1>exec

2>system

3>passthru

4>shell_exec

5>popen()

6>windows com对象

E:命令执行常用特殊字符

1>cmd1|cmd2

2>cmd1;cmd2

3>cmd1||cmd2

4>cmd1&&cmd2

5>cmd2$(cmd)

6>‘cmd’

7>>(cmd)：<(ls)

8><(cmd)：>(ls)

F:Windows反弹shell

1>反弹Shell简介（什么是正向shell、什么是反向shell）

2>NC（NC正向Shell、NC反向Shell）

3>Mshta

4>Rundll32

5>Regsvr32

6>Certutil

7>Powershell

8>Msiexec

9>Metasploit

G:Linux反弹Shell

1>Linux标准文件描述符：更改标准输出的位置、更改标准输入的位置、/dev/null

2>重定向：输入重定向、输出重定向、管道

3>反弹shell的本质：什么是反弹shell、实现控制端和被控端之间的交互

4>反弹shell方法：NC、Bash、Perl、Curl、Python、PHP、Ruby、Telnet、OpenSSL、Refer

5、web漏洞扫描器

A:漏洞扫描之XRAY

1>XRAY简介

2>XRAY安装

3>XRAY破解

4>XRAY使用:爬虫模式、被动扫描

5>AWVS联动XRAY

6>BurpSuite联动XRAY

7>Rad联动XRAY

8>XRAY脚本编写

B:Goby漏扫工具

1>Goby简介

2>Goby安装

3>Goby使用：资产收集扫描、漏洞扫描

4>Goby联动fofa

5>Goby代理扫描

6>Goby联动awvs

7>Goby联动xray

8>Goby漏洞脚本添加

三、内网信息收集

（1）渗透测试内网环境分析

1、内网环境分析

A:内网外网简介：内网外网概念、内网与外网区别

B:机器位置判断：DMZ区、办公区、核心区

C:角色判断：Web服务器、测试服务器、公共服务器、文件服务器、代理服务器、DNS服务器、存储服务器

D:连通性判断：协议的判断、端口判断、代理服务器

2、windows工作组与域环境

A:工作组和域：

1>工作组：工作组简介、工作组的加入和退出

2>域：

a:域简介

b:域的功能和特点

c:域网络结构特点

d:域控DC

e:AD活动目录:NTDS.dit、Ntdsutil.exe、逻辑结构、活动目录主要功能、AD域服务

f:DNS域名服务器

g:域结构：单域、域树、父域与子域、域林、域信任关系、域的原理、域渗透思路

B:windows常用cmd和powershell指令:cmd常用命令、Powershell介绍

（2）域信息收集

1、常规信息类收集，应用、服务、权限等：用户信息收集、系统信息收集、网络信息收集、防火墙信息收集、其他信息收集、自动信息收集、msf自动信息收集

2、架构信息类收集-网络、用户、域控等：网络信息收集、dsquery信息收集、探测域内存活主机

3、工具信息收集LadanGO、Adfind：工具使用Ladongo、工具使用之Adfind、BloodHound域分析使用

（3）工作组密码凭证获取

1、Windows认证方式

A:Windows HASH:HASH简介、windows HASH简介

B:LM-HASH：LM-HASH简介、LM-HASH生成原理、LM-HASH缺点

C:NTLM-HASH：NTLM-HASH简介、NTLM-HASH生成原理、HASH格式、HASH存储位置

D:Windows认证基础：Windows本地认证、Windows网络认证、net-ntlm hash破解

2、密码凭证获取方法

A:Windows密码凭证获取,系统用户凭证获取:mimikatz、Powershell脚本、procdump+mimikatz、注册表导出Hash、LaZagne、Meterpreter获取Hash、CobaltStrike获取Hash

B:其他密码凭证获取

1>RDP连接密码解密：mimikatz、Powershell脚本获取RDP连接记录、Cobaltstrike

2>Mysql数据库密码破解：MYSQL数据库文件类型、Mysql加密方式、获取Mysql数据库密码hash值、Hash破解

3>其他应用程序密码破解

（4）域环境密码凭证获取（域内认证方式）

1、活动目录

2、kerberos认证

A:Kerberos认证协议的基础概念：票据(Ticket)、AD(Account Database)、KDC(Key Distribution Center)、AS(Authentication Server)、TGS(Ticket Granting Server)、TGT(Ticket Granting Ticket)

B:Kerbreros认证流程：用户登录、请求身份认证、请求服务授权、发送服务请求

C:票据伪造的原理

3、域内密码凭证获取:Ntds.dit、活动目录数据库、Volume Shadow Copy、Ntdsutil、Vssadmin、Vshadow、NinjaCopy、解密NTDS.DIT文件

四、渗透测试框架

（1）Metasploit渗透框架（msf框架使用详解）

1、常见名词解释：POC、EXP、Payload、Shellcode、Client、Team Server、Beacon、C2

2、Metasploit简介：

3、Metasploit使用基础：Kali-metasploit框架目录路径、kali Metasploit更新、进入metasploit、Msfconsole、内网主机发现、信息收集、常用命令

4、Metasploit模块使用：Auxiliary 模块、Exploit 模块、payloads模块、post模块、encoders模块、evasion模块、nops模块

5、Msfvenom生成Payload：Msfvenom简介、Msfvenom基本参数、Msfvenom生成windows可执行程序、Msfconsole开启监听

6、Meterpreter扩展模块：Meterpreter介绍、如何进入Meterpreter、开启摄像头、Shell转meterpreter、Meterpreter基本利用、Meterpreter常用命令、Metasploit攻击实战

（2）Metasploit图形工具（viper的使用详解）

1、 Viper安装配置：简介、通过docker进行安装、设置登录密码、https://vpsip:60000

2、Viper基础使用：反溯源配置、权限信息、文件管理、命令终端、运行模块、WebDelivery、凭证管理、内网代理

（3）CobaltStrike渗透框架（cs渗透框架的使用以及攻击方式讲解）

1、Cobaltstrike框架介绍：Cobalt Strike是什么？、Cobalt Strike 目录结构

2、Cobaltstrike基本使用：CS安装、CS启动

3、CS界面介绍：工具栏、CobaltStrike菜单、View菜单、Attack菜单

4、Cobaltstrike监听器详解：

A:Beacon介绍:内部beacon、外部beacon

B:创建 Listeners：Beacon HTTP/HTTPS、Beacon DNS、Beacon SMB、Beacon TCP

C:Beacon工作原理：HTTP Beacon、DNS Beacon、SMB Beacon、TCP Beacon

5、Cobaltstrike上线Beacon

A:远程加载上线:生成HTML应用程序(HTA)文件、使用Host File提供文件下载服务、通过命令执行加载payload

B:生成木马上线:生成Windows可执行程序木马文件、上传木马到目标机器、执行上线

C:Beacon使用

D:Office钓鱼:

1>CS开启listener

2>点击攻击——>生成后门——>MS Office Macro ——>选择一个监听器，点击Generate

3>复制生成的vb恶意代码

4>打开word编辑器，在工具栏中找到视图，查看宏

5>创建宏名进入

6>找到ThisDocument，并将CS生成的代码复制进去保存

7>然后保存为doc或者启用宏的word文档

8>打开后启用宏即可上线

E:Cobaltstrike实战演示:

1>当我们拥有webshell或者有命令执行权限时，我们可以通过远程加载或者生成木马上线

2>远程加载上线一

3>远程加载上线二

4>通过生成后门上线

5>Powershell本地加载上线CS

F:通过DNS beacon上线:端口占用解决方法

（4）渗透框架进阶之流量隐藏（使用msf和cs时需要注意的流量影藏）

1、Metasploit域名上线隐藏IP：概述、域名上线原理、通过CDN上线MSF、CDN上线具体实现、流量分析

2、CobaltStrike上线隐藏IP：CDN非法接入、隧道转发代理、转发重定向、隐藏cs流量

（5）渗透框架进阶之拓展应用（msf与cs的联动及cs上线linux机器方式）

1、CobaltStrike扩展脚本：后渗透插件：梼杌、免杀插件：bypassAV、上线linux主机：CrossC2

2、CS上线linux主机

3、CS联动MSF：通过CS内置socks代理将本地MSF带入目标内网执行操作、CS beacon反弹给公网MSF、MSF meterpreter反弹给CS

（6）Powershell渗透框架（powershell渗透框架的使用）

1、PowerShell基础

2、PowerSploit

A:PowerSploit的安装

B:PowerSploit各模块:AntivirusBypass、CodeExecution、Exfiltration、Mayhem、Persistence、Recon、ScriptModification

C:PowerSpolit模块运用：Invoke-Shellcode、Invoke-Portscan、Invoke-DllInjection、Invoke-Mimikatz、Get-Keystrokes

3、Empire

A:Empire简介:服务端、客户端

B:Empire 的安装基础使用：基础命令、监听器

C:生成木马

D:后渗透利用：内网信息收集、端口扫描、主机存活探测、权限维持、提权

E:联动msf

五、内网代理隧道搭建

（1）文件传输（windows和linux的文件下载传输命令方法）

1、Windows文件传输：

Certutil、Certutil 清除缓存、BitsAdmin、Powershell-下载文件到本地、Powershell-载入内存执行、SCP下载文件、SCP上传文件、文件共享-net use

2、Linux文件传输：

wget、curl、netcat、sftp、dns传输数据、脚本语言（PHP、Python、Perl、Ruby）

（2）Socks代理（socks代理详解，以及常用的代理工具）

1、Socks代理介绍

A:Socks代理简介

1>什么是代理

2>正向代理

3>反向代理

4>透明代理

5>什么是Socks

6>什么是socks代理

7>使用Socks代理

8>Socks代理与VPN区别

B:Socks代理工具:FRP、ProxyChains、Other

2、Socks代理实战一(Metasploit)、渗透场景介绍

3、Socks代理实战二(FRP)

4、Socks代理实战三(Stowaway)

（3）HTTP代理（http代理工具讲解）

1、Neo-reGeorg

2、Pystinger

（4）ICMP、DNS隧道（dns、icmp协议代理工具讲解）

Dnscat2、Icmpsh、Pingtunnel

六、权限提升

（1）操作系统提权（windows和linux的提权方式与提权的概念）

1、权限提升介绍

A:权限提升概述

B:什么是提权

C:提权分类

D:提权条件

E:Windows提权思路

2、提权信息收集

A:WMIC信息收集

B:自动信息收集

3、Windows系统提权

A:提权工具脚本

B:Windows内核漏洞提权

C:Windows系统服务漏洞

4、Linux系统提权

A:Linux提权信息收集

B:Linux内核提权漏洞

C:linux本地提权

（2）渗透测试框架提权（通过渗透测试框架进行提权的方法）

1、Metasploit提权

A:Meterpreter自动提权命令

B:bypassUAC:进程注入、内存注入、Eventvwr注册表项、COM处理程序劫持

C:kernel漏洞提权

D:unquoted_service_path

E:service_permissions

F:always_install_elevated

G:Kernel privilege escalation

H:ms14_058提权

2、命名管道提权原理

3、CobaltStrike自动提权

4、CobaltStrike提权扩展插件

（3）域环境权限提升

1、域内权限提升介绍

2、Netlogon域提权

3、域提权漏洞：CVE-2020-1472、MS14-068、cve-2021-42287/cve-2021-42278

（4）应用程序提权

1、Mysql UDF提权

2、Mssql xp_cmdshell提权：Mssql角色用户权限、Mssql常用命令、xp_cmdshell

七、内网横向移动

（1）内网横向移动

1、 横向移动简介

2、横向移动-内置工具篇

A:IPC$

B:IPC+AT+Schtasks

C:IPC+SC

D:WMIC

E:WinRM

F:Winrs执行命令

3、横向移动-外部工具篇

A:Smbexec

B:Psexec

C:Wmiexec

D:WMI-HACKER

E:pth-winexe

F:Metasploit

G:Token窃取

H:Cobaltstrike:凭证获取、扫描存活主机、Psexec

I:SharpRDP

J:impacket套件

（2）域横向移动

1、哈希传递攻击(PTH)

A:PTH简介

B:Metasploit psexec模块

C:psexec_psh

D:Mimikatz Hash传递攻击

E:CobaltStrike Hash传递攻击

F:Powershell Hash传递攻击

G:Impacket Hash传递攻击

2、密钥传递攻击(PTK):PTK简介、mimikatz

3、域内密码喷射

八、权限维持

（1）Windows权限维持（通过服务、注册表、计划任务等方式进行windows权限维持操作，维持控制权限）

1、权限维持简介

2、Meterpreter权限维持

A:Persistence

B:Metsvc模块

C:exploit/windows/local/persistence

D:Autorunscript

3、系统工具替换后门

A:简介

B:原理

C:常用辅助功能

D:例子

4、开机自启动注册表项

A:Run

B:RunOnce

C:RunServicesOnce

D:RunServices

E:RunOnceEx

F:Load

G:Load

H:Winlogon

I:NC

5、schtasks计划任务

6、快捷方式劫持

7、账户隐藏

A:RID劫持

B:隐藏用户

8、文件夹启动

9、服务后门

（2）Linux权限维持（通过ssh，定时任务、rootkit等形式留下linux后门进行权限维持操作）

1、SSH后门

A:软链接 sshd

B:SSH Key

C:SSH Server Wrapper

D:SSH Keylogger

E:SSH隐身登录

2、Linux PAM后门:简介、原理、利用

3、Crontab后门：简介、原理、利用

4、Alias后门：简介、原理、利用

5、Rootkit后门：简介、原理、利用

（3）域环境维持（域环境下进行权限维持保持控制权限的方式方法）

1、PTT：黄金票据伪造原理、黄金票据伪造条件、利用步骤

2、GPO：GOP简介、原理、利用

3、SSP：SSP简介、原理、利用

4、Skeleton key：Skeleton Key简介、利用

5、SID history：SID简介、利用

6、DSRM：DSRM介绍、NTLM获取、漏洞利用

九、痕迹擦除

（1）痕迹擦除简介

（2)windows痕迹擦除（windows主机入侵成功后，进行清理痕迹操作）

Web日志、Windows日志、Meterpreter清理日志、停止日志记录

（3）Linux痕迹清除（linux主机入侵成功后进行的清理操作）

ssh登录日志、登录日志清理、Web日志清理、定时任务日志、Secure日志、操作历史记录

十、绕过杀毒软件

（1）常用免杀工具使用（杀软的查杀过程分析以及常见的绕过手法）

1、免杀测试环境：

A:免杀概念

B:免杀测试环境

C:常见查杀方式(杀软检测技术介绍)

1>基于签名的检测

2>静态程序分析

3>动态程序分析

4>沙盒分析技术

5>启发式分析

6>信息熵检测

7>其他常见检测技术

2、常用免杀方式：特征码免杀、花指令免杀、加壳免杀、分离免杀、资源修改

3、常见免杀工具：shellcode-launch、darkarmour、AV_Evasion_Tool

（2)ShellCode免杀

A:shellcode简介

B:shellcode loader

C:C++加载shellcode

1>C++loader-1

2>C++loader-2

3>C++loader-3

4>C++loader-4

5>C++loader-5

6>C++loader-6

7>asm_loader_c

8>asm_loader_cpp

9>InjectShellcodeXor

D:shellcodeLoder-Python

E:shellcodeLoder-go

F:shellcodeLoder-nim

G:Python加载Shellcode

1>base_loader.py

2>loader_ms.py

3>loader_b64.py

4>loader_http.py

5>loader_png.py

6>loader_reg.py

7>loader_re.py

H:Shellcode混淆免杀

I:Shellcode分离免杀