Nmap 扫出一个开放端口，常用往往比拿到一份漏洞报告更让人兴奋。透测去年给一家小公司做内网评估，试工我用一条 `nmap -sS -p- 192.168.1.0/24` 跑了不到十分钟，具和技术发现一台测试服务器开着 6379，常用没设密码。透测Redis 未授权访问，试工直接写 SSH 公钥，具和技术半小时后我拿到了 root。常用这不是透测什么高深技术，但渗透测试里，试工基础工具用对了地方，具和技术效果比堆砌花哨的常用 exp 强得多。

端口扫描和指纹识别是透测第一步，绕不开 Nmap。试工它的脚本引擎 NSE 能顺手把服务版本、甚至一些弱口令都探出来。我习惯先 `-sV` 探版本，再针对性地跑 `--script` 分类脚本。Masscan 适合大网段快速扫，但精度不如 Nmap，通常先 Masscan 找存活，再用 Nmap 细查。别小看这一步，很多入口就藏在没人管的 8080、8443 或者数据库端口上。

拿到入口点后，Web 方向用得最多的是 Burp Suite。它的代理拦截和重放功能，几乎是手工测试的标配。我遇到过一处订单查询接口，前端限制了用户 ID 只能填自己的，但 Burp 抓包改一下 `user_id` 参数，就能看到别人的订单。这种水平越权，扫描器经常漏掉，得靠人盯着请求反复试。SQLMap 适合自动化注入检测，但别上来就 `--batch --dump`，先手工加个单引号看报错，确认了再交给 SQLMap 跑，省得把目标打挂。

密码攻击方面，Hydra 和 Medusa 是常用选择。一次对某公司 VPN 的评估，我用 Hydra 配合公司名生成的字典，跑出个 `admin/company2023`。听起来离谱，但弱口令永远存在。Hashcat 则用于离线破解，拿到 NTLM hash 后，用 rockyou 加规则，八位数字密码几分钟就出来了。这里有个坑：别在客户生产环境跑高并发爆破，容易触发账号锁定甚至服务拒绝，提前沟通好测试窗口。

漏洞利用阶段，Metasploit 依然是框架级的存在。它的模块化设计让 exp 调用变得简单，比如 `exploit/windows/smb/ms17_010_eternalblue`，设置好 RHOSTS 和 payload 就能打。但依赖 MSF 容易让人变懒，我见过有人连一个简单的命令注入都要找 MSF 模块，其实 curl 加管道就能验证。Cobalt Strike 更偏向红队协作，它的 beacon 和横向移动功能很强，不过授权成本高，小项目用 Sliver 或 Mythic 替代也行。

内网渗透里，BloodHound 值得单独提。它把 AD 环境里的用户、组、会话关系画成图，一眼就能看出哪条路径能到域管。有次我对着图发现，一个普通域用户对某台文件服务器有 AdminTo 权限，而那台服务器上登录着域管会话。用 Mimikatz 抓下内存里的凭据，直接 pass-the-hash 拿到域控。这种攻击链，没有 BloodHound 的图谱，靠手工查 ACL 得查到天亮。

工具终究是工具。我见过有人把 AWVS 扫出的报告直接交给客户，里面全是误报，连一个真实利用都没验证。渗透测试的核心是思路：信息收集、边界突破、权限提升、横向移动、维持访问，每一步都要根据目标环境调整。工具只是帮你更快地验证想法。别迷信自动化，也别轻视手工。一个 curl 命令、一次 Burp 改包，往往比一堆扫描器更能说明问题。

(责任编辑：热点)