pale-knight /web-attack — Web 漏洞利用
scope： 从 HTTP/Web 输入把当前链打到 服务器 Shell（或等价 OS 执行）。直连 1433/3306/6379 不是这里。WAF/上传过滤留本模块。▸ Shell 一旦拿到，记 notes；候选只认
~/.claude/skills/shared/modules.yaml（modules.py tail）。
工具：../shared/tools.md。产品 CVE 由 /web-recon 出；利用仍在本模块打到 shell。有精确版本才读 ../shared/cve-enrichment.md。
开局与收尾
开局第一件事：Read ./notes.md。没有则 python ~/.claude/skills/bin/notes.py init。只按已拿下/凭据继续。
走到哪条链，才 Read 一份 references/<file>.md。禁止开局全读、禁止凭记忆写 payload。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。
收尾：
- 追加
./notes.md python ~/.claude/skills/bin/modules.py tail <本模块名>Read 备用：~/.claude/skills/shared/modules.yaml禁止./modules.yaml和python ../bin/...- 优先
default_next；never_default不得当作默认（操作者点名除外） - 名册外的名字不许建议
- 停。等操作者选
/模块或/clear/edr-bypass半条链未完：打通后回本模块，不要 /clear。
0. 成功条件
Web 输入 / 功能 / API
↓
漏洞成立
↓
命令执行 / 可执行文件落地 / 管理身份 + 执行点
↓
服务器 Shell？
├─ NO → 继续当前 Web 链（SQLi→OS、XSS→后台→上传、SSRF→Redis）
└─ YES → /web-attack COMPLETE
不算： sqlmap 报 injection、alert(1)、能传 jpg、Nuclei MATCH。
0.4 不要吸收
| 东西 | 去哪 |
|---|---|
| 直连数据库/Redis 端口 | /recon /service-attack |
| 路径枚举 / 指纹 / 已知 CVE 发现 | /web-recon |
| 本机提权 | /privesc-* |
| JWT 弱密钥短字典 | 本模块 jwt_tool -C，爆了立刻签发继续打 shell |
| JWT 长时间 GPU / 全 rockyou | 仅操作者另开凭据作业 → 候选 /creds |
0.5 EDR
WAF / 上传过滤 / parser / cache = 本模块。
OS 上执行被 AV 杀 → /edr-bypass → 回本模块拿完 shell。
1. 决策树（按手上是什么，只读一份）
HTTP 参数像注入
→ SQLi：先 Read references/sqli.md 指纹 DBMS
再只读 sqli-mssql|mysql|postgresql|oracle-chain.md 之一
→ CMDi：Read references/cmdi.md
→ SSTI：Read references/ssti.md
→ NoSQL/ORM：Read references/auth-bypass.md 或 references/orm-leak.md
文件 / 包含 / 上传
→ 上传：Read references/upload.md（先问栈，不要默认 PHP）
→ 包含：Read references/lfi-rfi.md
服务端出站
→ XXE：Read references/xxe.md ；SSRF：Read references/ssrf.md ；Rogue MySQL：Read references/server-side-client-abuse.md
Token / SAML / JWT
→ JWT：Read references/jwt.md ；SAML：Read references/saml-security.md
序列化
→ PHP/.NET/pickle：Read references/deserialization.md
→ Java/Fastjson：Read references/java-deserialization.md
代理/CDN（recon 已确认才走）
→ desync / cache / parser / waf-bypass 各读当前那一份
API 逻辑
→ Read references/api-security.md ；XSS 接执行 Read references/xss.md
同一条链打穿再换。不要按课表把上表全跑一遍。
2. 注入类
sqlmap -r request.txt -p param --current-user --current-db --privileges --batch
确认 DBMS 后再 Read 对应 references/sqli-*-chain.md。不要一上来 --os-shell。
3. 文件 / 包含 / 上传
上传 → 现在 Read references/upload.md：定位 URL + 解释器执行 = getshell。IIS / Tomcat / Node，禁止默认 .phtml。
LFI → 现在 Read references/lfi-rfi.md。能 include 才走 filter chain。
4. 出站
XXE / SSRF 分别 Read。SSRF 拿到云密钥、Web 再走不动 → 候选 /cloud-recon。还能 gopher/Redis 拿 shell 就先打完 Web。
5. JWT / SAML
弱密钥 本模块砸：
jwt_tool <token> -C -d /usr/share/wordlists/rockyou.txt
hashcat -m 16500 jwt.txt wordlist.txt
jwt_tool <token> -S hs256 -p '<密钥>' -T
完整算法绕过现在 Read references/jwt.md。SAML 现在 Read references/saml-security.md。
6. 反序列化
头：PHP O:、Java rO0AB、.NET AAEAAAD、pickle \x80。按栈只读一份。
7. API / XSS
越权不是终点，接到执行。现在 Read references/api-security.md 或 references/xss.md。
8. 代理边界
仅 recon 已确认 CDN/反代时，才 Read desync/cache/parser/waf 中当前那一种。
9. 完成后
shell: host / user / 怎么拿到的
RESTORE: 删的马 / 还原的 web.config
写入 ./notes.md（shell 用户/路径/RESTORE）。候选只按「开局与收尾」跑 python ~/.claude/skills/bin/modules.py tail。