Agent智能化渗透不是概念—红队实战复盘

rokki3

2026年6月12日 00:13
湖南

去阅读

编者荐语：

前段时间和朋友一起打了几场攻防，对现在Agent智能化渗透也有了更新的理解，只能说得跟进时代吧，不然只会被时代的洪流卷出局

以下文章来源于枢智未来实验室
，作者枢智未来

枢智未来实验室
.

致力于红蓝队攻防研究、智能化攻防、AI各场景应用、培训合作交流。欢迎各位师傅一起交流～

未来来了吗？

抽空打了两场红队，顺便测试了一下我们团队的kila（自研的通用场景Agent）在渗透场景下的实际效果。

背景

最近抽空打了两场红队，靶标类型覆盖比较广：内网有 RAGFlow、Dify 等 AI 平台和大规模 Docker 集群，外网有多个微信小程序和各类帆软、致远、若依等业务系统。靶标多、时间紧、防御侧有 WAF 和加密对抗。

传统模式下，一个红队成员同时盯两三个靶标已经是极限。这次我们尝试让 AI Agent（Kila）承担大部分重复性技术工作，人只做决策和关键验证。 下面是具体的攻击链拆解。

一、信息搜集：从边缘资产找到入口

传统信息搜集靠人肉拼接子域名、扫端口、翻 JS 文件。Agent 的优势在于并行处理和模式识别。

Agent 自动完成了以下工作：

• 批量搜集微信小程序资产，识别出多个挂号、缴费类小程序
• 通过 ICP 备案关联发现母公司和子公司域名关系
• 对发现的端口和服务自动进行指纹识别，标记出 FineReport、若依、泛微等已知框架

在一个靶标中，Agent 通过情报社区关联到目标 IP 的 63 个开放端口，自动识别出 FineReport 报表系统、物流管理平台、物联网设备管理平台等多个入口。这个过程如果人工来做，至少需要两三个小时，Agent 在 10 分钟内完成。

二、代码审计 0day：Agent 独立完成漏洞发现

这是 Agent 能力体现最明显的环节。

Agent 通过源码泄漏获取到目标系统的 DLL 文件，自动进行反编译和代码审计，独立发现了未公开的漏洞，并生成了可直接使用的 PoC。人工只需要验证 PoC 是否有效并完成最终的 GetShell。

整个过程的关键点：

1. Agent 能理解代码语义，不是简单的字符串匹配，而是追踪数据流、识别危险函数调用链
2. Agent 能自动生成 PoC，省去了从漏洞理解到利用代码编写的时间
3. 人工介入点在验证和决策，不在技术细节的堆砌

从拿到源码到产出可用 PoC，Agent 耗时约 5 分钟。同等复杂度的 0day 审计，人工通常需要半天-1天时间。 当然，这个漏洞比较简单，但是就五分钟，从输入目标到shell，你还要什么自行车？

三、绕 WAF 打内存马：帆软报表漏洞利用

这是最能体现 Agent 智能化的场景。

目标系统是帆软报表（FineReport），存在已知漏洞可以写入 Webshell，但前置部署了 WAF，常规 payload 会被拦截。Agent 的处理流程是：

1. 发送原始 payload，记录 WAF 拦截响应
2. 分析拦截规则（关键词过滤、长度限制、编码检测等）
3. 自动尝试多种绕过方案：双重 Unicode 编码、分块传输、参数拆分等
4. 每次尝试后根据响应判断是否成功，调整策略
5. 绕过 WAF 后，注入 Filter 型内存马实现持久化控制

帆软报表的漏洞利用链本身不复杂，难点在于 WAF 对 Webshell 关键字符的拦截。Agent 自动尝试了以下绕过路径：

• 原始 payload → 被拦截
• Unicode 编码 → 部分绕过，但 Webshell 字符过长触发长度限制
• 双重编码 + 分块写入 → 成功绕过
• 写入后注入 Filter 内存马 → 实现持久化

这个「探测-分析-绕过-验证」的循环，Agent 自主完成了 5-6 轮迭代，耗时约 15 分钟。人工做同样的事，需要对 WAF 规则有足够经验，且每轮测试都要手动构造 payload，通常需要 1-2 小时。

最终kila agent给我们一键化利用脚本 脚本集成:

1. Session 获取
2. VACUUM INTO 写文件（自动获取新 session）
3. 命令执行 JSP 部署 + 验证
4. Bash JSP 部署 + 验证
5. Webroot 路径自动发现
6. 大文件分块写入 + 内存马注入

四、弱口令 + 未授权：批量收割

这类工作枯燥但产出高，是 Agent 最适合的场景。

案例 1：Jenkins 弱口令 → 内存马

Agent 独立发现 Jenkins 后台弱口令，登录后通过 Groovy 脚本执行注入内存马。全过程自动化，人工只参与最终连接 Webshell 验证。

案例 2：Redis 未授权访问

Agent 在内网扫描中自动检测到 Redis 未授权访问（6379 端口无认证），尝试写入 SSH 公钥和计划任务，成功获取主机权限。

案例 3：SMB 弱口令 + 凭证复用

Agent 在内网扫描中发现 SMB 弱口令（ administrator:admin），获取到一台 Windows 主机权限后，自动提取保存的凭证并在其他主机上进行密码喷洒，成功横向到多台服务器。

案例 4：Elasticsearch 未授权

Agent 发现 Elasticsearch 9200 端口未授权访问，直接读取索引数据。

案例 5：Heapdump 泄漏 → 数据库接管

Agent 访问 /actuator/heapdump 下载堆转储文件，自动从中提取数据库连接字符串和密码，使用提取到的凭证登录 MySQL，进一步获取到外网数据库的访问权限。

这些工作如果人工来做，每一步都不难，但加在一起就是几个小时的重复劳动。Agent 的价值在于并行处理、自动关联、批量执行。

五、MSSQL 注入 → xp\_cmdshell → 上线 C2

这是一条经典的 Windows 内网攻击链，Agent 完成了全自动化：

1. 发现 MSSQL 注入点
2. 通过注入判断当前用户为 sa 管理员
3. 开启 xp_cmdshell
4. 执行系统命令，上线 C2 工具

整个过程 Agent 自动完成判断和执行，人工只在最后一步决定是否上线 C2。这个sql注入点是我完全没有想到的，让kila攻击测试这个目标纯粹是因为这个系统一看就是AI写的系统，当时也没有其他横向的办法了，所以就放手一搏～

六、微信小程序加解密对抗

这是实战中比较有意思的场景。

多个靶标的微信小程序采用了 SM4/SM3 加密 + 防重放 + 反调试。传统做法需要逆向小程序 JS 代码，提取密钥，手动构造加密请求。

Agent 的处理方式：

1. 分析小程序的加密逻辑，识别出加密算法和密钥
2. 自动编写 Burp 插件，实现请求的自动加解密
3. 通过插件修改参数实现越权访问
4. 批量遍历 ID 获取他人数据

在一个靶标中，Agent 通过 IDOR 漏洞遍历用户 ID，获取到大量敏感数据。在另一个靶标中，Agent 自动化了 SM4 加解密流程，通过修改请求参数获取到超过 5 万条用户记录。

七、Docker 集群接管

Agent 通过入口机，发现该平台部署在 Docker 容器中。Agent 从容器内的配置文件提取到 MySQL、Redis、MinIO、Elasticsearch 等组件的密码，然后：

1. 通过密码复用登录到同一网段的 Dify 平台（6 个不同版本的实例）
2. 控制了 RAGFlow 的全部容器（MySQL、MinIO、ES、Redis）
3. 通过 Docker API 控制宿主机上的 27 个容器（18 个 root 权限）
4. 从 MinIO 存储桶中提取到 10GB、10053 个文件的数据
5. 从阿里云 AK/SK 获取到 OSS 存储桶和 RDS 数据库的访问权限

整个链路由 Agent 自动推进，从弱口令到集群控制，人工只做了最终的数据验证。

效率对比

人和 Agent 怎么分工

实战打下来，分工模式逐渐清晰：

Agent 擅长的：

• 大规模信息搜集和资产梳理
• 重复性的漏洞检测和利用（弱口令、未授权、已知框架漏洞）
• 代码审计中的模式识别和 PoC 生成
• WAF 绕过的「试错-调整」循环
• 凭证收集、密码喷洒、横向移动
• 加解密对抗中的自动化插件编写

人需要做的：

• 选择攻击路径和优先级（打哪个点、从哪里进）
• 判断风险边界（哪些操作可能触发告警、要不要继续）
• 关键决策（是否上线 C2、是否横向到关键系统）
• 数据验证和报告撰写

用一句话概括：Agent 处理技术执行，人负责策略决策。

几个实战中的教训

1. Agent 不会替代红队，但会替代不用 Agent 的红队。在靶标多、时间紧的场景下，Agent 让一个人能做到原来三个人的工作量。这不是因为 Agent 比人聪明，而是它不需要休息、不会遗漏、不会因为重复劳动而降低注意力。
2. 自动化不等于无人化。我们在实战中全程保持人工监督，Agent 的每一步操作都会记录日志，关键操作需要人工确认。这不是技术限制，而是安全纪律——在实战中，一个误操作可能导致目标系统宕机或触发蓝队告警。
3. 内网是 Agent 的主场。外网打点阶段，Agent 的优势主要在信息搜集和批量检测。进入内网后，Agent 的优势才真正体现——凭证复用、横向移动、服务发现这些重复性工作，Agent 比人工快一个数量级。

结尾

实战下来验证了一件事：Kila 在渗透场景下已经不是实验品，而是可以产出实际战果的生产力工具。未来我们会继续迭代Kila这个产品，而且Kila的设计场景也不是主要为渗透测试服务的，更多是日常的通用化工作，我也一直坚信less is more的哲学设计。

拥抱AI，期待未来～

文中所有靶标信息已脱敏处理，攻击手法仅供安全研究参考。