leonardespi/pentesting-for-dummies

# 渗透测试入门指南（面向新手与初学者） 一份涵盖渗透测试所有层级的开放教育资源，采用 AI 辅助工作流，专为在白帽和漏洞赏金原则下运作的初级网络安全工程师编写。 ## 这是什么？ 这是一份结构化、逐层递进的道德渗透测试指南——从侦察到报告。每个主题都围绕白帽原则构建，并包含即用型 AI prompt 模板，让你在工作中更高效，并在实践中学习。 专为希望获得清晰方法论而不是满篇专业术语的初级安全工程师打造。 ## 七个层级 | 阶段 | 层级 | 主题 | |-------|-------|--------| | 01 | 侦察 | 被动 OSINT、子域名枚举、技术栈指纹识别、Google dorking、隐秘技术 | | 02 | 网络 | 端口扫描、服务检测、防火墙规则测试、SSL/TLS 审查 | | 03 | 应用 | SQL 注入、XSS、身份验证缺陷、API 测试、业务逻辑、配置错误 | | 04 | 身份验证与会话 | 登录流程审查、token 处理、MFA 绕过、会话固定 | | 05 | 业务逻辑 | 竞态条件、IDOR、价格篡改、通过功能链实现的权限提升 | | 06 | 基础设施与云端 | 云配置错误、元数据服务、容器逃逸、服务端漏洞 | | 07 | 报告与披露 | CVSS 评分、发现模板、高管摘要、负责任的披露 | ## 技术栈 - [Astro](https://astro.build) — 静态网站框架 - [Vue 3](https://vuejs.org) — 交互式组件（导航下拉菜单、主题切换、移动端菜单） - [Shiki](https://shiki.style) — 支持双亮/暗主题的语法高亮 - [Mermaid](https://mermaid.js.org) — 从代码块在客户端渲染的图表 - 使用带有 YAML frontmatter 的 Markdown 编写内容 - 整站配置由一个单独的 `src/content.yml` 文件驱动 ## 本地开发 **前置条件：** Node.js 18+ ``` npm install npm run dev # dev server at http://localhost:4321 npm run build # production build → dist/ npm run preview # preview the production build locally npm run check # TypeScript / Astro type checking ``` ### 部署基础路径 该站点默认部署到 `/`。若要托管在 GitHub Pages 子目录中，请在 `astro.config.mjs` 中更改 `base` 字段： ``` base: '/your-repo-name/', ``` 所有内部链接均使用 `src/utils/url.ts` 中的 `url()` / `layerUrl()` 辅助函数，并将自动更新。 ## 项目结构 ``` src/ ├── content/ │ └── layers/ # one .md file per pentest layer ├── content.yml # all site copy, nav, layers config — edit here ├── components/ # Astro + Vue components ├── layouts/ │ └── BaseLayout.astro ├── pages/ │ ├── index.astro │ ├── learn/ │ │ ├── index.astro │ │ └── [layer].astro │ └── contribute.astro ├── styles/ │ └── global.css └── utils/ └── url.ts # base-aware link helpers ``` ### 添加主题 1. 打开 `src/content/layers/` 中的相关文件 2. 在文件的 frontmatter（`topics:` 数组）中添加一个主题条目 3. 在 Markdown 正文中编写该主题部分 4. 无需更改 `astro.config.mjs` 或其他文件 ### 添加新层级 1. 按照现有格式创建 `src/content/layers/.md` 2. 在 `src/content.yml` 的 `learn.layers` 下注册它 3. 设置 `enabled: true` 使其可见 完整的行为准则和 PR 检查清单请参见 [CONTRIBUTING.md](CONTRIBUTING.md)。 ## 许可证 [CC BY-NC-SA 4.0](https://creativecommons.org/licenses/by-nc-sa/4.0/) — 注明出处即可分享，非商业用途，采用相同许可证。

标签：AI辅助, Astro, CISA项目, CVSS评分, ESC4, IP 地址批量处理, Junior工程师, MITM代理, OSINT, Ruby, StruQ, Vue3, Web安全, Windows内核, XSS, 子域名枚举, 安全合规, 安全工具库, 安全报告, 安全指南, 安全教育, 实时处理, 容器逃逸, 密码管理, 开源教育资源, 插件系统, 数据统计, 漏洞情报, 白帽子, 知识库, 端口扫描, 系统安全, 网络代理, 网络安全, 蓝队分析, 被动侦察, 越权漏洞, 逻辑漏洞, 防御加固, 隐私保护, 静态网站