kali如何攻击网站

Kali不是何攻用来“攻击”网站的，它是击网用来拆解网站的。就像修车工不会说“撞车”，何攻他说“诊断”。击网但你要是何攻拿扳手砸人，那是击网你的问题，不是何攻扳手的问题。

我见过太多人打开Kali，击网敲两行`ping`，何攻然后盯着终端发愣。击网这玩意儿不是何攻魔法棒。真正的击网攻击，从信息收集开始。何攻你连目标跑什么框架都不知道，击网拿什么打？何攻

先说说最基础的扫描。`nmap -sV 目标IP`，这条命令能告诉你目标开放了哪些端口，跑着什么服务。比如80端口是HTTP，3306是MySQL。但光知道端口没用，你得看版本。Apache 2.4.49？那有个路径穿越漏洞，CVE-2021-41773，直接`curl --path-as-is http://目标/cgi-bin/.%2e/.%2e/.%e2%/.%2e/etc/passwd`，试试能不能读到文件。读到了？好，你拿到了第一个入口。

但别高兴太早。大部分网站都有WAF。你刚扫两下，IP就被封了。这时候得换思路——用Google dorks找子域名，用`theHarvester`搜邮箱，或者直接查证书透明度日志。`crt.sh`上输入域名，能翻出一堆子域名。很多公司主站防护严密，测试环境却裸奔。`admin.test.xxx.com`这种，密码往往还是`admin123`。

拿到后台登录页，别急着爆破。先看它用什么CMS。WordPress？用`wpscan`枚举用户和插件。插件过期？那基本等于开门迎客。比如某个旧版Elementor，有个未授权SQL注入，`wp-json/wp/v1/users`能直接拉出所有账号密码哈希。哈希拿去`hashcat`跑字典，弱密码跑不出来才怪。

要是目标是个定制系统，那就得靠手工了。登录框里试`admin' OR '1'='1`，看有没有报错。报错了就说明存在SQL注入点，然后用`sqlmap`一把梭。但`sqlmap`动静太大，容易被日志审计发现。我更倾向于手工构造payload，比如用`ORDER BY`判断列数，再用`UNION SELECT`拖数据。慢是慢点，但干净。

你以为这就完了？拿到数据库权限只是开始。很多数据库服务器和web服务器在同一内网，这时候就要用`msfvenom`生成一个反弹shell，`meterpreter`进去，然后`run post/multi/recon/local_exploit_suggester`看看有没有提权漏洞。内核版本太老？脏牛提权一打一个准。root拿到手，整个服务器就是你的了。

但说实话，这些操作在真实渗透测试里，大部分时间都在写报告。攻击本身可能只花半小时，剩下三天都在整理截图和复现步骤。Kali里那些工具，`metasploit`、`burpsuite`、`hydra`，每个都是双刃剑。你用它们打别人，别人也在用它们打你。

我见过最蠢的攻击者，用`sqlmap`打一个政府网站，跑了两个小时没成功，最后被溯源到个人手机号。攻击不是拼工具多，是拼耐心和细心。有时候一个`robots.txt`里藏着后台路径，有时候`JS`文件里注释掉一个API密钥。你翻源码翻到凌晨三点，可能就为了找一个未被过滤的`id`参数。

最后说点实在的。Kali攻击网站，本质上是找信任边界。网站信任了用户的输入，你就伪造输入；信任了第三方组件，你就打组件漏洞；信任了内网，你就想办法进去。

别问我怎么防御——把Kali装在自己服务器上，拿自己练手。打自己的网站打到吐，你就知道该补什么了。攻击从来不是目的，搞清楚怎么被攻破才是。