Nmap 是常用我每次拿到新目标后第一个打开的工具。不是渗透因为它万能，而是工具因为它够直接——一条 nmap -sS -sV -p- 10.0.0.1 下去，对面开了哪些端口、常用跑着什么服务，渗透基本就摊在桌面上了。工具很多人只拿它扫端口，常用其实它的渗透 NSE 脚本引擎才是真正有意思的地方，比如 --script vuln 能直接跑一轮常见漏洞探测，工具省去不少手动验证的常用功夫。我习惯先快速扫一遍常见端口，渗透再针对开放的工具服务做深度指纹识别，这样比一上来就全端口扫描要高效得多。常用
说到 Web 渗透，渗透Burp Suite 几乎是工具绕不开的。它的代理拦截功能让请求和响应完全暴露在你眼前，改参数、重放、爆破，一气呵成。社区版够用，但 Pro 版的主动扫描器确实省事——挂上代理刷一遍站点，SQL 注入、XSS、路径遍历这些问题它能自动标出来。当然，工具报的不一定准，误报率不低，最终还是得手动验证。我一般把 Burp 当工作台用，Repeater 和 Intruder 这两个模块占了八成使用时间。Intruder 的爆破速度在社区版被刻意限速了，挺烦人的，但配合自定义字典跑小规模测试还是没问题。
sqlmap 的名气大到有些被滥用的程度。一条 sqlmap -u "http://target.com/page?id=1" --batch --dbs 就能自动检测注入点并枚举数据库。它的 tamper 脚本是精髓，遇到 WAF 的时候换个脚本往往就能绕过。不过我得说，sqlmap 不是银弹。有些注入点它检测不出来，比如布尔盲注在某些复杂场景下误判率很高。而且它的请求特征太明显了，目标有 IDS 的话基本一打一个准。我的做法是先用 Burp 手动确认注入类型，再决定要不要交给 sqlmap 去自动化利用。
Metasploit 是另一套体系。它的价值不在于单个 exploit 有多强，而在于整个框架的整合能力——payload 生成、编码免杀、后渗透模块、会话管理，全都串在一起。msfvenom 生成 payload 是常规操作，但直接生成的 exe 文件杀软基本都认识，得配合编码器或者自定义加载器才能提高存活率。meterpreter 会话拿到之后，hashdump、getsystem、migrate 这些命令能快速完成提权 and 横向移动的准备工作。不过 Metasploit 的 exploit 更新速度有时候跟不上漏洞披露的节奏，遇到新漏洞还是得自己找 PoC 改。
Hydra 和 John the Ripper 属于密码攻击这条线上的。Hydra 主打在线爆破，SSH、FTP、RDP 这些协议都支持，命令格式也简单：hydra -l admin -P pass.txt ssh://10.0.0.1。速度取决于目标服务的响应时间和网络延迟，别指望能跑出离线爆破那种每秒几百万次的速度。John 则偏向离线场景，拿到 shadow 文件或者 hash 之后用它来跑字典或规则。John 的规则引擎很强，能基于字典自动生成变体，比如大小写替换、末尾加数字这些常见密码习惯都能覆盖到。
Wireshark 严格来说不算渗透工具，但做内网渗透的时候离不了它。ARP 欺骗之后要抓流量分析，看有没有明文密码或者敏感 token 在网络上裸奔。它的过滤器语法值得花时间学，http.request.method == "POST" 这种表达式能快速定位到关键数据包。配合 tcpdump 在目标机器上抓包回传分析，也是常见操作。
工具终究只是工具。我见过太多人拿着一堆工具扫来扫去，报告里堆满了扫描结果，但真正能利用的漏洞一个都没挖出来。渗透测试的核心还是对目标系统的理解——它是怎么运作的，哪里可能存在逻辑缺陷，哪个参数没有做过滤。工具帮你节省时间，但替代不了思考。