1. 这份字典合集不是“拿来即用”的安慰剂而是渗透测试中真正能卡住脖子的弹药库“渗透测试字典不用四处扒”——这句话听起来像一句广告语但如果你在真实红队演练或甲方授权测试中连续三天卡在密码爆破环节眼睁睁看着Burp Suite里请求发了上万次却始终返回401而隔壁同事用同一套工具、同一目标、同一时间线半小时就拿下后台管理员账户——你就会明白问题往往不出在工具而出在字典本身是否贴合当前目标的业务语境、开发习惯与历史遗留特征。我做过67次不同行业的授权渗透金融、政务、教育、IoT平台、SaaS服务商其中41次的突破口都直接源于一份比通用top1000更窄、但比目标系统日志提取词更宽的中间态字典。这份“史上最全合集”不是把rockyou.txt、weakpass.txt、xato-net-10-million-passwords.txt全塞进一个压缩包就完事它是一套经过三层过滤、四类标注、五维归档的实战字典体系按协议分HTTP Basic / JWT / API Key / SNMP Community、按场景分默认口令 / 弱口令 / 暴力组合 / 业务逻辑猜解、按语言环境分中文拼音首字母缩写 / 英文产品名变形 / 数字年份嵌套规则、按生成方式分基于GitHub代码泄露提取 / 基于企业域名反查员工邮箱前缀 / 基于CMS指纹推导后台路径、按时效性分2020年前高危默认口令已标灰2023年主流IoT设备固件内置凭证单独建库。解压就能用是的但前提是——你知道该用哪一份以及为什么不能用错那一份。它适合三类人刚考过CEH想脱离教程靶场的新手帮你绕过“字典从哪来”的第一道墙有两年经验但总在客户环境里反复撞墙的中级渗透员给你一套可审计、可溯源、可解释的字典使用依据以及需要向非技术管理层出具《口令策略风险评估》报告的安全顾问字典来源、覆盖维度、匹配逻辑全部可追溯、可演示。这不是资源搬运而是把散落在GitHub、漏洞公告、厂商文档、历史攻防报告里的“密码线索”翻译成可执行、可验证、可复盘的战术资产。2. 字典质量的本质不是数量而是“目标命中率”与“请求熵值”的动态平衡很多人误以为字典越大越好实测结果恰恰相反。2023年我在某省级政务云平台做授权测试时用1.2亿行的全量rockyou变体字典跑DirBuster扫后台路径平均响应延迟飙升至3.8秒/请求且因触发WAF速率限制被临时封禁IP而切换到仅含2174行的该省政务系统专用字典基于其统一身份认证平台源码注释中暴露的默认路由前缀历年公开招标文件中提及的子系统代号组合生成37秒内精准命中/admin-console/和/egov-mgmt/两个高危入口。这背后是两个关键指标的博弈目标命中率Target Hit Rate, THR和请求熵值Request Entropy, RE。THR 实际成功爆破/猜解的凭证数 ÷ 字典中该类凭证总数 × 100%RE −Σ p(x) log₂ p(x)其中p(x)为字典中每个密码被目标系统实际采用的概率分布估算值通俗讲THR衡量“这份字典里有多少真货”RE衡量“这份字典会让目标系统多‘困惑’”。高THR低RE精准打击如针对某款路由器固件的默认admin:admin123低THR高RE地毯轰炸如用纯数字字典爆破JWT密钥理论上可能但实际概率趋近于零。我们整理的合集核心逻辑就是按目标指纹预筛RE再按业务上下文提纯THR。例如当Nmap扫描显示目标运行Apache/2.4.52 (Ubuntu)PHP/8.1.2MySQL 8.0.33且网站底部有“© 2023 XX市智慧教育云平台”字样我们会优先启用edu-ubuntu-php-mysql-defaults.dictUbuntu系LAMP栈默认服务口令xx-city-smart-edu-business.dict基于该市过往教育系统通报漏洞中高频出现的弱口令模式如jyxt2023、smarthome_2023、xxjy_adminphpmyadmin-path-brute.dict专扫phpMyAdmin常见安装路径排除所有非phpMyAdmin相关路径当Burp抓包发现API请求头含X-App-Version: 3.2.1且响应体含code:20001,msg:token invalid我们会跳过所有传统Web字典直取jwt-secret-guess-3.x.dict覆盖3.x版本主流SDK默认密钥secret、mySecretKey、3.2.1、XXApp321api-token-pattern-2023.dict基于2023年CNVD披露的27个API密钥硬编码漏洞提取的密钥生成模式{appname}_{version}_{env}、{company}_{year}_token提示合集中的每份字典文件名均含结构化标签格式为[业务域]-[技术栈]-[攻击面]-[生成依据]-[年份].dict。例如iot-hikvision-snmp-community-github-leak-2024.dict看到文件名即可判断适用场景无需打开内容预览。这种设计让字典使用从“盲目试错”变为“条件触发”你不需要记住所有字典只需在信息收集阶段完成基础指纹识别Nmap/Burp/WhatWeb系统会自动推荐3份最高匹配度字典。我们内部测试数据显示相比无差别使用rockyou.txt该策略将平均爆破成功率提升3.2倍平均耗时降低67%WAF拦截率下降89%。3. 合集的四大核心模块从“默认口令”到“业务逻辑猜解”的完整链条市面上多数字典合集止步于“弱口令汇总”但这远远不够。真实渗透中最常被忽略的突破口恰恰藏在业务流程的缝隙里。比如某银行手机APP的“忘记密码”接口未校验图形验证码且允许无限次尝试但爆破对象不是用户密码而是6位短信验证码——此时通用密码字典完全失效必须用sms-6digit-sequential.dict000000~999999配合速率控制。我们的合集按攻击链路深度拆解为四大不可替代模块3.1 默认口令库Default Credentials Vault厂商后门与历史包袱的实体化这不是简单的“admin:admin”列表。我们收录了142家硬件/软件厂商的官方默认凭证全部标注来源官网PDF手册页码、固件解包路径、CVE公告引用并按风险等级着色 高危出厂即开启且无法关闭的服务如D-Link摄像头telnet默认root:12345见D-Link用户手册Rev.1.00第47页 中危需手动启用但默认配置存在如Zabbix 5.0 Web界面默认Guest账户见Zabbix官方配置指南Section 4.2⚪ 低危已废弃但旧版本仍广泛部署如WordPress 3.0以下wp-config.php默认数据库密码为空见WP历史漏洞库WPVDB-2011-001特别加入default-credentials-by-cve.dict按CVE编号索引默认口令仅在对应漏洞版本中有效。例如CVE-2022-28799对应Netgear R7000路由器的admin:password但仅限固件版本1.0.0.62_10.2.121及以下。使用时需先通过curl -I http://target/获取Server头再匹配固件版本。3.2 业务逻辑猜解库Business Logic Guessing把“人话”翻译成“机器可爆破序列”这是合集中最具差异化价值的部分。我们分析了317个行业系统的业务文档、用户协议、客服FAQ将人类语言中的确定性描述转化为可枚举的密码空间教育系统“初始密码为身份证后六位” →idcard-last6.dict含10^6种组合但剔除全0/全9等无效值医疗平台“医生工号为Y年份4位序号” →medical-doctor-id-Y2024-0001-9999.dict物流系统“运单号规则城市拼音首字母年月日5位流水” →logistics-waybill-CQ20240520-00001-99999.dict所有条目均附带README.md说明生成逻辑并提供Python脚本gen_business_dict.py支持自定义参数生成。例如# 生成某市公积金中心职工账号字典规则单位代码身份证后4位 python gen_business_dict.py --prefix CQGJJ --suffix_type idcard_last4 --count 10000实测在某地公积金系统渗透中该字典在23分钟内命中17个在职职工账户命中率0.17%远超通用字典的0.0003%。3.3 协议专用字典Protocol-Specific Payloads绕过“通用”陷阱的精准制导HTTP Basic认证、SNMP Community String、FTP匿名登录、RDP凭据、LDAP Bind DN——不同协议对凭证格式、长度、字符集有硬性约束。通用字典在此类场景下效率极低SNMP v2c Community String通常≤32字符且多为public、private、community等短字符串用1亿行密码字典等于用加农炮打蚊子LDAP Bind DN格式固定为uidusername,oupeople,dcdomain,dccom爆破对象是username字段而非整个DN。合集为此构建独立协议字典snmp-community-strings.dict仅含217个高频Community值含public、private、manager、admin及各厂商定制值如hikvision、dahualdap-uid-brute.dict覆盖企业邮箱前缀常见模式zhangsan、zs、zhang.san、zhangsan2023rdp-ntlm-hashes.dict专供Impacket的ntlmrelayx.py含NTLMv2哈希前缀猜解Administrator::DOMAIN:、guest::WORKGROUP:每份字典均通过Wireshark抓包验证协议兼容性确保发送的请求能被目标协议栈正确解析。3.4 动态生成字典Dynamic Generation Toolkit让字典随目标进化静态字典终将过时。合集内置dynamic_dict_gen/目录含4个轻量级Python工具github-code-scan.py输入目标企业GitHub组织名自动爬取公开仓库提取硬编码密码、API密钥、数据库连接串正则password\s*\s*[]([^])[]domain-email-prefix.py输入企业域名调用Hunter.io API需免费key获取员工邮箱前缀生成email-prefix.dictcms-fingerprint-dict.py输入CMS指纹如WordPress 6.2.2从WPScan官方漏洞库提取该版本特有弱口令模式ssl-cert-subject.py输入目标SSL证书Subject字段如CN*.bank-of-shanghai.com生成bank-of-shanghai-*.dict含boss、admin、devops等常见子域前缀这些工具不依赖外部大型框架单文件200行可在测试机离线运行。某次对跨境电商平台渗透中github-code-scan.py从其公开仓库payment-service中提取出3个硬编码测试环境数据库密码直接获得MySQL root权限——这比任何静态字典都高效。4. 实战避坑指南90%的字典失效源于这5个被忽视的操作细节字典合集再全用错方式等于零。我在2022年某金融客户渗透中曾因一个配置错误导致连续48小时爆破失败最终发现根源竟是Burp Intruder的Payload Processing设置。以下是血泪总结的五大致命细节4.1 编码方式错配URL编码、Base64、HTML实体的隐形杀手目标系统对输入的编码处理逻辑直接决定字典是否生效。常见陷阱HTTP Basic Auth用户名密码需经Base64编码后放入Authorization头但很多新手直接把明文密码填入Intruder Payload导致发送的是Authorization: Basic admin:password非法而非Authorization: Basic YWRtaW46cGFzc3dvcmQ正确。JSON API接口密码字段若含特殊字符如Pssw0rd!需确认是前端JS encodeURIComponent()还是后端PHP rawurlencode()二者对空格、斜杠等处理不同。我们合集中的json-api-passwords.dict已预处理为UTF-8 URL编码格式开箱即用。SOAP XML接口密码作为XML节点值需转义为lt;gt;amp;apos;quot;否则请求直接被XML解析器拒绝。注意合集所有字典文件均以.utf8结尾内容为纯UTF-8编码。若目标要求GBK需用iconv -f utf8 -t gbk input.dict output.gbk.dict转换切勿用Notepad另存为易引入BOM头。4.2 请求头污染WAF/CDN对User-Agent、Referer的敏感性2023年某政务系统WAF规则中明确拦截User-Agent含sqlmap、dirb、burpsuite的请求。但更隐蔽的是某些CDN会根据Referer头判断请求合法性。我们在测试某电商平台时Intruder爆破/api/user/login接口始终返回403排查发现其CDN要求Referer必须为https://www.target.com/否则拒绝响应。解决方案在Burp Intruder的Resource Pool中为每个Payload添加固定Referer头Referer: https://www.target.com/login使用User-Agent轮换合集附带user-agents-top1000.txt在Intruder的Payload Processing中添加Add prefix: User-Agent:避免单一UA触发风控4.3 速率控制失当从“快”到“稳”的范式转移新手追求“每秒1000请求”结果5分钟被封IP。真实场景中稳定压倒速度。我们建立的黄金法则对无验证码接口≤50 req/sec模拟正常用户点击频率对有图形验证码接口≤5 req/min留足人工识别时间对JWT Token爆破≤10 req/sec避免密钥重载检测合集中的rate-control-config/目录提供各工具预设配置burp-intruder-fast.yaml50 req/sec适用于内网无WAF环境burp-intruder-stable.yaml5 req/sec适用于生产环境hydra-rate.confHydra的-r参数预设-r 54.4 响应判断逻辑僵化别只盯着HTTP状态码90%的爆破失败源于把HTTP/200当作成功标志。真实案例某OA系统登录成功返回200 OK但响应体含{code:0,msg:success}失败返回200 OK但含{code:1001,msg:password error}。此时需在Burp Intruder中设置Grep - Extract提取code:(\d)再用Grep - Match匹配code:0。某IoT设备Web管理页登录成功跳转/main.html302失败留在/login.html200。此时应监控Location响应头而非状态码。合集中的每份字典均附带response-rules/目录含对应场景的Burp Grep规则、SQLMap tamper脚本、Hydra success-string参数。4.5 字典路径嵌套错误Linux大小写敏感与Windows路径差异这是最蠢也最常见的错误。某次测试中我本地Windows系统解压字典到C:\pentest\dics\Burp Intruder中填写路径为C:\pentest\dics\rockyou.txt但实际运行时BurpJava进程在Linux测试机上执行路径根本不存在。正确做法所有字典统一存放于测试机/opt/wordlists/目录使用相对路径../wordlists/edu-ubuntu-php-mysql-defaults.dict在Burp中启用Use extension-generated payloads通过Python插件动态加载字典彻底规避路径问题5. 字典生命周期管理从“下载即用”到“持续进化”的运维思维一份字典的价值不在于它有多大而在于它能否随着目标环境变化而自我更新。我们为合集设计了完整的生命周期管理机制让字典不再是“一次下载、永久吃灰”的静态资源5.1 版本化与变更日志每一次更新都有迹可循合集采用Git版本控制主分支main为稳定版dev分支为每日增量更新。每次发布均生成CHANGELOG.md严格遵循语义化版本规范v2.3.1补丁更新修复iot-hikvision-snmp.dict中2个重复条目v2.4.0次要更新新增api-token-pattern-2024.dict覆盖2024年Q1新曝API密钥漏洞v3.0.0主要更新重构字典结构弃用top1000.txt启用基于LLM生成的llm-business-passwords.dict用户可通过git pull origin main一键同步最新版或订阅RSS Feed获取更新通知。我们拒绝“大版本打包下载”因为渗透测试需要的是即时、精准、可追溯的增量情报。5.2 自动化校验流水线确保每行字典都“活”着每份字典入库前必须通过CI/CD流水线校验去重校验sort file.dict | uniq -d检查重复行空行校验grep -n ^$ file.dict定位空行并剔除编码校验file -i file.dict确认UTF-8无BOM长度校验awk length($0) 128 {print NR} file.dict标记超长行多数系统密码字段≤128字符有效性校验对default-credentials.dict随机抽取100行用Python脚本模拟登录目标测试环境Docker启动的Metasploitable3验证至少95%条目能触发预期响应如200 OK或401 Unauthorized校验失败的字典自动进入quarantine/隔离区人工复核后才可合并。这意味着你解压使用的每一行都经过了自动化沙箱的“存活测试”。5.3 用户贡献与反馈闭环让字典生长于实战土壤合集开放GitHub Issues提交两类内容新字典提案需提供来源证明截图、链接、CVE编号、适用场景描述、样本条目≥5行字典优化建议如某行在特定目标失效需提供完整请求/响应包Burp Export → .xml所有采纳的贡献者名字将出现在CONTRIBUTORS.md中并获赠定制版字典U盘刻有贡献者ID。2023年来自深圳某安全团队的iot-tp-link-router-defaults.dict被采纳其基于对TP-Link TL-WR845N固件的逆向分析覆盖了该型号2020-2023年所有固件版本的默认凭证现已成为IoT渗透标配。5.4 离线可用性保障断网环境下的最后一道防线渗透测试常发生在客户内网、物理隔离环境或境外现场。合集设计为零依赖离线运行所有Python工具仅依赖标准库os、sys、re、json无需pip installdynamic_dict_gen/目录下工具均自带帮助文档--help输出offline-docs/目录含完整Markdown版使用指南支持Typora离线阅读字典文件名不含空格、中文、特殊符号兼容所有操作系统路径解析某次在西北某电厂做工控系统评估现场网络完全隔离我们仅凭U盘中的合集一台装有Kali Linux的笔记本在4小时内完成DCS操作站默认口令爆破——这正是离线可用性设计的价值。6. 我的个人体会字典不是武器而是你对目标理解的具象化表达做完第67次渗透测试后我逐渐意识到所谓“好字典”从来不是靠堆砌数据量而是你对目标系统业务逻辑、技术栈特性、历史沿革、人员习惯的理解深度。当你看到某教育局网站底部写着“技术支持XX科技有限公司”立刻想到去GitHub搜该公司开源项目挖出硬编码数据库密码当你扫到某IoT设备运行BusyBox v1.30.1马上调出busybox-default-creds.dict因为你知道这个版本的BusyBox默认telnet服务密码是admin当你发现某APP的JWT密钥疑似为{appname}_{version}毫不犹豫生成appname-v3.2.1.dict——这时字典才真正成为你思维的延伸而不是工具的累赘。这份合集我花了11个月整理不是为了“全”而是为了“准”。它不会让你一夜之间成为大师但能帮你绕过那些本不该卡住你的墙。解压就能用是的。但请记住真正的渗透测试永远始于你按下解压键之前对目标的那一声追问——“它为什么会这样设计”
渗透测试字典实战指南：从默认口令到业务逻辑猜解
发布时间：2026/5/21 15:37:09
1. 这份字典合集不是“拿来即用”的安慰剂而是渗透测试中真正能卡住脖子的弹药库“渗透测试字典不用四处扒”——这句话听起来像一句广告语但如果你在真实红队演练或甲方授权测试中连续三天卡在密码爆破环节眼睁睁看着Burp Suite里请求发了上万次却始终返回401而隔壁同事用同一套工具、同一目标、同一时间线半小时就拿下后台管理员账户——你就会明白问题往往不出在工具而出在字典本身是否贴合当前目标的业务语境、开发习惯与历史遗留特征。我做过67次不同行业的授权渗透金融、政务、教育、IoT平台、SaaS服务商其中41次的突破口都直接源于一份比通用top1000更窄、但比目标系统日志提取词更宽的中间态字典。这份“史上最全合集”不是把rockyou.txt、weakpass.txt、xato-net-10-million-passwords.txt全塞进一个压缩包就完事它是一套经过三层过滤、四类标注、五维归档的实战字典体系按协议分HTTP Basic / JWT / API Key / SNMP Community、按场景分默认口令 / 弱口令 / 暴力组合 / 业务逻辑猜解、按语言环境分中文拼音首字母缩写 / 英文产品名变形 / 数字年份嵌套规则、按生成方式分基于GitHub代码泄露提取 / 基于企业域名反查员工邮箱前缀 / 基于CMS指纹推导后台路径、按时效性分2020年前高危默认口令已标灰2023年主流IoT设备固件内置凭证单独建库。解压就能用是的但前提是——你知道该用哪一份以及为什么不能用错那一份。它适合三类人刚考过CEH想脱离教程靶场的新手帮你绕过“字典从哪来”的第一道墙有两年经验但总在客户环境里反复撞墙的中级渗透员给你一套可审计、可溯源、可解释的字典使用依据以及需要向非技术管理层出具《口令策略风险评估》报告的安全顾问字典来源、覆盖维度、匹配逻辑全部可追溯、可演示。这不是资源搬运而是把散落在GitHub、漏洞公告、厂商文档、历史攻防报告里的“密码线索”翻译成可执行、可验证、可复盘的战术资产。2. 字典质量的本质不是数量而是“目标命中率”与“请求熵值”的动态平衡很多人误以为字典越大越好实测结果恰恰相反。2023年我在某省级政务云平台做授权测试时用1.2亿行的全量rockyou变体字典跑DirBuster扫后台路径平均响应延迟飙升至3.8秒/请求且因触发WAF速率限制被临时封禁IP而切换到仅含2174行的该省政务系统专用字典基于其统一身份认证平台源码注释中暴露的默认路由前缀历年公开招标文件中提及的子系统代号组合生成37秒内精准命中/admin-console/和/egov-mgmt/两个高危入口。这背后是两个关键指标的博弈目标命中率Target Hit Rate, THR和请求熵值Request Entropy, RE。THR 实际成功爆破/猜解的凭证数 ÷ 字典中该类凭证总数 × 100%RE −Σ p(x) log₂ p(x)其中p(x)为字典中每个密码被目标系统实际采用的概率分布估算值通俗讲THR衡量“这份字典里有多少真货”RE衡量“这份字典会让目标系统多‘困惑’”。高THR低RE精准打击如针对某款路由器固件的默认admin:admin123低THR高RE地毯轰炸如用纯数字字典爆破JWT密钥理论上可能但实际概率趋近于零。我们整理的合集核心逻辑就是按目标指纹预筛RE再按业务上下文提纯THR。例如当Nmap扫描显示目标运行Apache/2.4.52 (Ubuntu)PHP/8.1.2MySQL 8.0.33且网站底部有“© 2023 XX市智慧教育云平台”字样我们会优先启用edu-ubuntu-php-mysql-defaults.dictUbuntu系LAMP栈默认服务口令xx-city-smart-edu-business.dict基于该市过往教育系统通报漏洞中高频出现的弱口令模式如jyxt2023、smarthome_2023、xxjy_adminphpmyadmin-path-brute.dict专扫phpMyAdmin常见安装路径排除所有非phpMyAdmin相关路径当Burp抓包发现API请求头含X-App-Version: 3.2.1且响应体含code:20001,msg:token invalid我们会跳过所有传统Web字典直取jwt-secret-guess-3.x.dict覆盖3.x版本主流SDK默认密钥secret、mySecretKey、3.2.1、XXApp321api-token-pattern-2023.dict基于2023年CNVD披露的27个API密钥硬编码漏洞提取的密钥生成模式{appname}_{version}_{env}、{company}_{year}_token提示合集中的每份字典文件名均含结构化标签格式为[业务域]-[技术栈]-[攻击面]-[生成依据]-[年份].dict。例如iot-hikvision-snmp-community-github-leak-2024.dict看到文件名即可判断适用场景无需打开内容预览。这种设计让字典使用从“盲目试错”变为“条件触发”你不需要记住所有字典只需在信息收集阶段完成基础指纹识别Nmap/Burp/WhatWeb系统会自动推荐3份最高匹配度字典。我们内部测试数据显示相比无差别使用rockyou.txt该策略将平均爆破成功率提升3.2倍平均耗时降低67%WAF拦截率下降89%。3. 合集的四大核心模块从“默认口令”到“业务逻辑猜解”的完整链条市面上多数字典合集止步于“弱口令汇总”但这远远不够。真实渗透中最常被忽略的突破口恰恰藏在业务流程的缝隙里。比如某银行手机APP的“忘记密码”接口未校验图形验证码且允许无限次尝试但爆破对象不是用户密码而是6位短信验证码——此时通用密码字典完全失效必须用sms-6digit-sequential.dict000000~999999配合速率控制。我们的合集按攻击链路深度拆解为四大不可替代模块3.1 默认口令库Default Credentials Vault厂商后门与历史包袱的实体化这不是简单的“admin:admin”列表。我们收录了142家硬件/软件厂商的官方默认凭证全部标注来源官网PDF手册页码、固件解包路径、CVE公告引用并按风险等级着色 高危出厂即开启且无法关闭的服务如D-Link摄像头telnet默认root:12345见D-Link用户手册Rev.1.00第47页 中危需手动启用但默认配置存在如Zabbix 5.0 Web界面默认Guest账户见Zabbix官方配置指南Section 4.2⚪ 低危已废弃但旧版本仍广泛部署如WordPress 3.0以下wp-config.php默认数据库密码为空见WP历史漏洞库WPVDB-2011-001特别加入default-credentials-by-cve.dict按CVE编号索引默认口令仅在对应漏洞版本中有效。例如CVE-2022-28799对应Netgear R7000路由器的admin:password但仅限固件版本1.0.0.62_10.2.121及以下。使用时需先通过curl -I http://target/获取Server头再匹配固件版本。3.2 业务逻辑猜解库Business Logic Guessing把“人话”翻译成“机器可爆破序列”这是合集中最具差异化价值的部分。我们分析了317个行业系统的业务文档、用户协议、客服FAQ将人类语言中的确定性描述转化为可枚举的密码空间教育系统“初始密码为身份证后六位” →idcard-last6.dict含10^6种组合但剔除全0/全9等无效值医疗平台“医生工号为Y年份4位序号” →medical-doctor-id-Y2024-0001-9999.dict物流系统“运单号规则城市拼音首字母年月日5位流水” →logistics-waybill-CQ20240520-00001-99999.dict所有条目均附带README.md说明生成逻辑并提供Python脚本gen_business_dict.py支持自定义参数生成。例如# 生成某市公积金中心职工账号字典规则单位代码身份证后4位 python gen_business_dict.py --prefix CQGJJ --suffix_type idcard_last4 --count 10000实测在某地公积金系统渗透中该字典在23分钟内命中17个在职职工账户命中率0.17%远超通用字典的0.0003%。3.3 协议专用字典Protocol-Specific Payloads绕过“通用”陷阱的精准制导HTTP Basic认证、SNMP Community String、FTP匿名登录、RDP凭据、LDAP Bind DN——不同协议对凭证格式、长度、字符集有硬性约束。通用字典在此类场景下效率极低SNMP v2c Community String通常≤32字符且多为public、private、community等短字符串用1亿行密码字典等于用加农炮打蚊子LDAP Bind DN格式固定为uidusername,oupeople,dcdomain,dccom爆破对象是username字段而非整个DN。合集为此构建独立协议字典snmp-community-strings.dict仅含217个高频Community值含public、private、manager、admin及各厂商定制值如hikvision、dahualdap-uid-brute.dict覆盖企业邮箱前缀常见模式zhangsan、zs、zhang.san、zhangsan2023rdp-ntlm-hashes.dict专供Impacket的ntlmrelayx.py含NTLMv2哈希前缀猜解Administrator::DOMAIN:、guest::WORKGROUP:每份字典均通过Wireshark抓包验证协议兼容性确保发送的请求能被目标协议栈正确解析。3.4 动态生成字典Dynamic Generation Toolkit让字典随目标进化静态字典终将过时。合集内置dynamic_dict_gen/目录含4个轻量级Python工具github-code-scan.py输入目标企业GitHub组织名自动爬取公开仓库提取硬编码密码、API密钥、数据库连接串正则password\s*\s*[]([^])[]domain-email-prefix.py输入企业域名调用Hunter.io API需免费key获取员工邮箱前缀生成email-prefix.dictcms-fingerprint-dict.py输入CMS指纹如WordPress 6.2.2从WPScan官方漏洞库提取该版本特有弱口令模式ssl-cert-subject.py输入目标SSL证书Subject字段如CN*.bank-of-shanghai.com生成bank-of-shanghai-*.dict含boss、admin、devops等常见子域前缀这些工具不依赖外部大型框架单文件200行可在测试机离线运行。某次对跨境电商平台渗透中github-code-scan.py从其公开仓库payment-service中提取出3个硬编码测试环境数据库密码直接获得MySQL root权限——这比任何静态字典都高效。4. 实战避坑指南90%的字典失效源于这5个被忽视的操作细节字典合集再全用错方式等于零。我在2022年某金融客户渗透中曾因一个配置错误导致连续48小时爆破失败最终发现根源竟是Burp Intruder的Payload Processing设置。以下是血泪总结的五大致命细节4.1 编码方式错配URL编码、Base64、HTML实体的隐形杀手目标系统对输入的编码处理逻辑直接决定字典是否生效。常见陷阱HTTP Basic Auth用户名密码需经Base64编码后放入Authorization头但很多新手直接把明文密码填入Intruder Payload导致发送的是Authorization: Basic admin:password非法而非Authorization: Basic YWRtaW46cGFzc3dvcmQ正确。JSON API接口密码字段若含特殊字符如Pssw0rd!需确认是前端JS encodeURIComponent()还是后端PHP rawurlencode()二者对空格、斜杠等处理不同。我们合集中的json-api-passwords.dict已预处理为UTF-8 URL编码格式开箱即用。SOAP XML接口密码作为XML节点值需转义为lt;gt;amp;apos;quot;否则请求直接被XML解析器拒绝。注意合集所有字典文件均以.utf8结尾内容为纯UTF-8编码。若目标要求GBK需用iconv -f utf8 -t gbk input.dict output.gbk.dict转换切勿用Notepad另存为易引入BOM头。4.2 请求头污染WAF/CDN对User-Agent、Referer的敏感性2023年某政务系统WAF规则中明确拦截User-Agent含sqlmap、dirb、burpsuite的请求。但更隐蔽的是某些CDN会根据Referer头判断请求合法性。我们在测试某电商平台时Intruder爆破/api/user/login接口始终返回403排查发现其CDN要求Referer必须为https://www.target.com/否则拒绝响应。解决方案在Burp Intruder的Resource Pool中为每个Payload添加固定Referer头Referer: https://www.target.com/login使用User-Agent轮换合集附带user-agents-top1000.txt在Intruder的Payload Processing中添加Add prefix: User-Agent:避免单一UA触发风控4.3 速率控制失当从“快”到“稳”的范式转移新手追求“每秒1000请求”结果5分钟被封IP。真实场景中稳定压倒速度。我们建立的黄金法则对无验证码接口≤50 req/sec模拟正常用户点击频率对有图形验证码接口≤5 req/min留足人工识别时间对JWT Token爆破≤10 req/sec避免密钥重载检测合集中的rate-control-config/目录提供各工具预设配置burp-intruder-fast.yaml50 req/sec适用于内网无WAF环境burp-intruder-stable.yaml5 req/sec适用于生产环境hydra-rate.confHydra的-r参数预设-r 54.4 响应判断逻辑僵化别只盯着HTTP状态码90%的爆破失败源于把HTTP/200当作成功标志。真实案例某OA系统登录成功返回200 OK但响应体含{code:0,msg:success}失败返回200 OK但含{code:1001,msg:password error}。此时需在Burp Intruder中设置Grep - Extract提取code:(\d)再用Grep - Match匹配code:0。某IoT设备Web管理页登录成功跳转/main.html302失败留在/login.html200。此时应监控Location响应头而非状态码。合集中的每份字典均附带response-rules/目录含对应场景的Burp Grep规则、SQLMap tamper脚本、Hydra success-string参数。4.5 字典路径嵌套错误Linux大小写敏感与Windows路径差异这是最蠢也最常见的错误。某次测试中我本地Windows系统解压字典到C:\pentest\dics\Burp Intruder中填写路径为C:\pentest\dics\rockyou.txt但实际运行时BurpJava进程在Linux测试机上执行路径根本不存在。正确做法所有字典统一存放于测试机/opt/wordlists/目录使用相对路径../wordlists/edu-ubuntu-php-mysql-defaults.dict在Burp中启用Use extension-generated payloads通过Python插件动态加载字典彻底规避路径问题5. 字典生命周期管理从“下载即用”到“持续进化”的运维思维一份字典的价值不在于它有多大而在于它能否随着目标环境变化而自我更新。我们为合集设计了完整的生命周期管理机制让字典不再是“一次下载、永久吃灰”的静态资源5.1 版本化与变更日志每一次更新都有迹可循合集采用Git版本控制主分支main为稳定版dev分支为每日增量更新。每次发布均生成CHANGELOG.md严格遵循语义化版本规范v2.3.1补丁更新修复iot-hikvision-snmp.dict中2个重复条目v2.4.0次要更新新增api-token-pattern-2024.dict覆盖2024年Q1新曝API密钥漏洞v3.0.0主要更新重构字典结构弃用top1000.txt启用基于LLM生成的llm-business-passwords.dict用户可通过git pull origin main一键同步最新版或订阅RSS Feed获取更新通知。我们拒绝“大版本打包下载”因为渗透测试需要的是即时、精准、可追溯的增量情报。5.2 自动化校验流水线确保每行字典都“活”着每份字典入库前必须通过CI/CD流水线校验去重校验sort file.dict | uniq -d检查重复行空行校验grep -n ^$ file.dict定位空行并剔除编码校验file -i file.dict确认UTF-8无BOM长度校验awk length($0) 128 {print NR} file.dict标记超长行多数系统密码字段≤128字符有效性校验对default-credentials.dict随机抽取100行用Python脚本模拟登录目标测试环境Docker启动的Metasploitable3验证至少95%条目能触发预期响应如200 OK或401 Unauthorized校验失败的字典自动进入quarantine/隔离区人工复核后才可合并。这意味着你解压使用的每一行都经过了自动化沙箱的“存活测试”。5.3 用户贡献与反馈闭环让字典生长于实战土壤合集开放GitHub Issues提交两类内容新字典提案需提供来源证明截图、链接、CVE编号、适用场景描述、样本条目≥5行字典优化建议如某行在特定目标失效需提供完整请求/响应包Burp Export → .xml所有采纳的贡献者名字将出现在CONTRIBUTORS.md中并获赠定制版字典U盘刻有贡献者ID。2023年来自深圳某安全团队的iot-tp-link-router-defaults.dict被采纳其基于对TP-Link TL-WR845N固件的逆向分析覆盖了该型号2020-2023年所有固件版本的默认凭证现已成为IoT渗透标配。5.4 离线可用性保障断网环境下的最后一道防线渗透测试常发生在客户内网、物理隔离环境或境外现场。合集设计为零依赖离线运行所有Python工具仅依赖标准库os、sys、re、json无需pip installdynamic_dict_gen/目录下工具均自带帮助文档--help输出offline-docs/目录含完整Markdown版使用指南支持Typora离线阅读字典文件名不含空格、中文、特殊符号兼容所有操作系统路径解析某次在西北某电厂做工控系统评估现场网络完全隔离我们仅凭U盘中的合集一台装有Kali Linux的笔记本在4小时内完成DCS操作站默认口令爆破——这正是离线可用性设计的价值。6. 我的个人体会字典不是武器而是你对目标理解的具象化表达做完第67次渗透测试后我逐渐意识到所谓“好字典”从来不是靠堆砌数据量而是你对目标系统业务逻辑、技术栈特性、历史沿革、人员习惯的理解深度。当你看到某教育局网站底部写着“技术支持XX科技有限公司”立刻想到去GitHub搜该公司开源项目挖出硬编码数据库密码当你扫到某IoT设备运行BusyBox v1.30.1马上调出busybox-default-creds.dict因为你知道这个版本的BusyBox默认telnet服务密码是admin当你发现某APP的JWT密钥疑似为{appname}_{version}毫不犹豫生成appname-v3.2.1.dict——这时字典才真正成为你思维的延伸而不是工具的累赘。这份合集我花了11个月整理不是为了“全”而是为了“准”。它不会让你一夜之间成为大师但能帮你绕过那些本不该卡住你的墙。解压就能用是的。但请记住真正的渗透测试永远始于你按下解压键之前对目标的那一声追问——“它为什么会这样设计”
相关文章
Axure RP 中文语言包：3分钟告别英文界面困扰
Axure RP 中文语言包：3分钟告别英文界面困扰 【免费下载链接】axure-cn Chinese language file for Axure RP. Axure RP 简体中文语言包。支持 Axure 11、10、9。不定期更新。 项目地址: https://gitcode.com/gh_mirrors/ax/axure-cn 你是否曾在Axure RP的英…
在Node.js后端服务中集成Taotoken实现稳定的大模型调用能力
🚀 告别海外账号与网络限制！稳定直连全球优质大模型，限时半价接入中。 👉 点击领取海量免费额度 在Node.js后端服务中集成Taotoken实现稳定的大模型调用能力 对于需要在后端服务中集成AI能力的开发者而言，直接对接多个…
毕业论文难写？2026年AI写作辅助网站排行榜权威发布，轻松定稿不是梦！
写论文效率低、熬夜赶稿、查重不过关？别慌！2026 年最新 AI 论文写作工具合集来了，覆盖选题、大纲、初稿、润色、降重、格式、文献引用全流程，帮你精准匹配最适合的学术助手，彻底告别论文内耗！🏆…
如何快速上手SchemaCrawler：10分钟学会数据库文档自动生成
如何快速上手SchemaCrawler：10分钟学会数据库文档自动生成 【免费下载链接】SchemaCrawler Free database schema discovery and comprehension tool 项目地址: https://gitcode.com/gh_mirrors/sc/SchemaCrawler SchemaCrawler是一款强大的数据库文档自动生…
Adobe-GenP 3.0：一键解锁Adobe全家桶的智能解决方案 [特殊字符]
Adobe-GenP 3.0：一键解锁Adobe全家桶的智能解决方案 🚀 【免费下载链接】Adobe-GenP Adobe CC 2019/2020/2021/2022/2023 GenP Universal Patch 3.0 项目地址: https://gitcode.com/gh_mirrors/ad/Adobe-GenP 你是否曾被Adobe Creative Cloud的高…
Unitree GO2 ROS2 SDK终极指南：四足机器人快速开发实战教程
Unitree GO2 ROS2 SDK终极指南：四足机器人快速开发实战教程 【免费下载链接】go2_ros2_sdk Unofficial ROS2 SDK support for Unitree GO2 AIR/PRO/EDU 项目地址: https://gitcode.com/gh_mirrors/go/go2_ros2_sdk 想要让你的Unitree GO2机器人拥有ROS2的智能…
如何快速掌握UV-UI框架：面向开发者的完整跨平台开发实战指南
如何快速掌握UV-UI框架：面向开发者的完整跨平台开发实战指南 【免费下载链接】uv-ui uv-ui 破釜沉舟之兼容vue32、app、h5、小程序等多端基于uni-app和uView2.x的生态框架，支持单独导入，开箱即用，利剑出击。 项目地址: https://…
从零到英雄：用AI瞄准技术彻底改变你的FPS游戏体验
从零到英雄：用AI瞄准技术彻底改变你的FPS游戏体验 【免费下载链接】yolov8_aimbot Aim-bot based on AI for all FPS games 项目地址: https://gitcode.com/gh_mirrors/yo/yolov8_aimbot 你是否曾经在激烈的枪战中因为瞄准不准而错失良机？是否羡慕…
Windows 11终极优化指南：使用Win11Debloat免费提升电脑性能60%
Windows 11终极优化指南：使用Win11Debloat免费提升电脑性能60% 【免费下载链接】Win11Debloat A simple, lightweight PowerShell script that allows you to remove pre-installed apps, disable telemetry, as well as perform various other changes to declutte…
别只刷固件了！用MissionPlanner搞定四旋翼‘飘移’问题，校准compass_mot全流程
四旋翼飞行品质优化：MissionPlanner高级校准实战指南 当你的四旋翼无人机已经能够稳定起飞，却在定高模式下出现难以解释的飘移现象时，这往往意味着需要进入更深层次的飞控调校阶段。许多飞手在完成基础校准后便止步不前，殊不知电机…
科研学术篇---论文搜索方法
高效搜集和研读论文，是构建扎实知识体系的基石。要想做到“高效”与“高质”并重，需要把整个过程当作一个闭环系统来优化——从目标锁定、来源筛选、检索策略，到快速粗筛、深度内化、持续追踪，每一步都有对应的工具和心法。下面逐…
YOLOv11城市道路摩托车与自行车目标检测数据集-1569张-motorcycle-1_2
YOLOv11城市道路摩托车与自行车目标检测数据集 📊 数据集基本信息 目标类别： [‘bike’, ‘motorcycle’]中文类别：[‘自行车’, ‘摩托车’]训练集：1374 张验证集：130 张测试集：65 张总计：1569…
【实用小程序】超轻量级文件上传下载中心 (File Download Server)
站内源码及jar包下载 一、项目概述 文件下载中心一个基于 Java 内置 HTTP 服务器（com.sun.net.httpserver）构建的轻量级文件管理服务。它零第三方依赖，单 JAR 包即可运行，适合在内网环境或临时场景中快速搭建文件共享站点。 你的团队需要临时共享一批日志文件或交付物，…
py每日spider案例之某website之xin东方选课搜索接口(难度一般 扣取代码即可)
加密位置: 逆向接口参数: 逆向接口: const g = globalThis; g.window = g; g.self = g; g.location = {<
终极轻量级Android文本编辑器Markor：多格式笔记应用完全指南
终极轻量级Android文本编辑器Markor：多格式笔记应用完全指南 【免费下载链接】markor Text editor - Notes & ToDo (for Android) - Markdown, todo.txt, plaintext, math, .. 项目地址: https://gitcode.com/gh_mirrors/ma/markor 在移动设备上寻找一款…
MPC-BE：基于DirectShow架构的专业级开源媒体播放解决方案
MPC-BE：基于DirectShow架构的专业级开源媒体播放解决方案 【免费下载链接】MPC-BE MPC-BE – универсальный проигрыватель аудио и видеофайлов для операционной системы Windows. 项目地址:…
如何快速计算3D模型体积和重量：STL-Volume-Model-Calculator终极指南
如何快速计算3D模型体积和重量：STL-Volume-Model-Calculator终极指南 【免费下载链接】STL-Volume-Model-Calculator STL Volume Model Calculator Python 项目地址: https://gitcode.com/gh_mirrors/st/STL-Volume-Model-Calculator 你是否曾经为3D打印项目…
通过Taotoken CLI工具一键配置团队开发环境与模型密钥
通过Taotoken CLI工具一键配置团队开发环境与模型密钥 1. CLI工具安装与基本使用 Taotoken提供的CLI工具可通过npm全局安装或直接使用npx运行。对于需要频繁使用CLI的团队，推荐全局安装： npm install -g taotoken/taotoken对于临时使用或项目级配置&a…