Burp Suite 的常用代理拦截功能，是透测大多数 Web 渗透测试的起点。启动它，试工配置浏览器代理，常用然后看着 HTTP 请求一条条停在面前——改参数、透测重放、试工爆破，常用全在同一个界面里完成。透测我第一次用它绕过一个前端 JS 校验时，试工才真正理解“抓包改包”这四个字的常用分量。社区版免费，透测但 Intruder 模块限速；专业版一年 475 美元，试工对靠这行吃饭的常用人来说，这笔钱迟早要花。透测

Nmap 干的试工是另一件事：摸清目标网络里到底有什么。一条 nmap -sV -p- 192.168.1.0/24，几分钟内就能列出所有存活主机、开放端口和服务版本。有人嫌它慢，加 -T4 提速，但扫描生产环境时最好别这么干，流量特征太明显，IDS 会叫。我习惯先用 -sn 做 ping 扫描，锁定活着的机器，再对重点目标做精细扫描。Nmap 的脚本引擎（NSE）更是个宝库，--script vuln 能直接跑出一堆已知漏洞，省去不少手动排查的功夫。

说到漏洞扫描，Nessus 和 OpenVAS 是两座绕不开的山头。Nessus 的插件库更新快，界面友好，但 2024 年之后 Essentials 版只允许扫描 16 个 IP，商业授权贵得让人肉疼。OpenVAS 开源免费，功能不差，只是配置起来像在拼乐高——Greenbone 社区版装完后还得手动同步 feed，第一次用的人容易卡在证书错误上。我的建议：预算够就 Nessus，想省钱又肯折腾，OpenVAS 完全能打。

Metasploit 的名气大到圈外人都听过。它的价值不在于“一键拿 shell”，而在于把漏洞利用、载荷生成、后渗透模块串成了一条流水线。比如 msfvenom 生成一个反弹 shell 的 exe，配合 multi/handler 监听，整个过程不到两分钟。但别迷信它——很多实战场景里，一个手写的 Python 脚本比 Metasploit 的通用模块更隐蔽、更管用。工具是死的，思路是活的。

SQLMap 专治 SQL 注入。把带参数的 URL 丢给它，--batch 一开，剩下的它自己跑。我见过有人拿它扫出一个盲注点，然后手动构造 payload 绕 WAF，SQLMap 的 --tamper 脚本这时候就派上用场了。不过要提醒一句：这玩意儿流量特征极强，没授权千万别对着公网目标乱扫，否则等着收律师函。

Hydra 和 John the Ripper 负责密码这块。Hydra 在线爆破 SSH、FTP、RDP 都行，但速度取决于目标响应，别指望一秒钟试一万个密码。John 则擅长离线破解——拿到 /etc/shadow 或 NTLM hash 后，用它跑字典或规则变形，效率比在线爆破高得多。我个人的习惯是：能用 hashcat 就用 hashcat，GPU 加速下 John 有时候真比不过。

Wireshark 不算严格意义上的渗透工具，但抓包分析离不开它。内网中间人攻击、ARP 欺骗、DNS 劫持，流量层面的异常全靠它来确认。有一次我怀疑某个 IoT 设备在偷偷外连 C2 服务器，Wireshark 一开，过滤 dns 协议，果然看到每 30 秒一次的可疑域名查询。这种活儿，代理工具干不了。

最后提一个容易被忽略的：Responder。内网渗透里，它通过伪造 LLMNR/NBT-NS 响应来捕获 Net-NTLM hash，配合 ntlmrelayx 能直接中继到其他机器。很多内网打穿的第一步，就是靠它拿到第一个域用户的 hash。工具本身不复杂，但用对了场景，效果立竿见影。

工具列不完，也没必要列完。真正重要的是知道每个工具解决什么问题、在什么阶段用、有什么局限。拿 Burp 当扫描器用，或者拿 Nessus 当利用工具使，都是没搞清定位。渗透测试的核心永远是人，工具只是手的延伸。