Nmap扫端口那会儿，黑客我还觉得黑客工具挺神秘。工具后来在安全公司实习，大全导师扔给我一个U盘，黑客里面塞了三十多个exe和py脚本。工具他说：“别想着一次学完，大全先搞明白三个就行。黑客”那三个是工具Wireshark、Metasploit和Burp Suite。大全现在回头想，黑客工具本身不吓人，工具吓人的大全是拿工具的人懂多少底层逻辑。

Wireshark抓包是黑客基本功。有次排查内网异常流量，工具同事非说某台服务器在往外传数据。大全我抓了五分钟包，发现是Windows更新在下载补丁。工具给你数据，解读靠脑子。过滤器写错一个符号，结果能差出十万八千里。tcp.port==445和tcp.port eq 445，看着差不多，实际用起来前者经常报错。这种细节没人教，得自己踩坑。

Metasploit的模块库大得离谱。我数过，光exploit目录下就有一千八百多个子文件夹。但真正常用的不到二十个。ms17-010那个永恒之蓝模块，2017年火得一塌糊涂。现在拿它扫内网，十台机器里能中一台就算运气好。补丁打得太快了。反而是一些老旧的WebLogic漏洞，企业内网还在跑，一打一个准。工具没变，环境变了。

Burp Suite抓HTTP请求比Wireshark顺手。做渗透测试时，我习惯先开代理，把浏览器流量全过一遍。有次测一个登录接口，提交admin' or 1=1--，返回包直接给了管理员token。开发连预编译都没用。这种低级错误现在少了，但换个姿势——比如JSON里塞个{ "$ne": null}——照样能绕。工具提供重放和爆破功能，Intruder模块跑字典，一分钟能试几千个密码。服务器没限速的话，跑一晚上能撞出好几个弱口令。

密码破解这块，Hashcat比John快。显卡好的话，NTLM哈希每秒能跑几百亿次。但实际场景里，你拿到的往往是加盐的bcrypt。跑一年也跑不出来。这时候得换思路，去翻Git仓库、看配置文件、找硬编码。工具再强，也抵不过一个写在代码注释里的密码。

后渗透阶段，Cobalt Strike用得最多。它的beacon回连机制很隐蔽，走HTTPS或者DNS都行。但2021年之后，EDR对它的特征检测越来越准。我试过改profile、换证书、调心跳间隔，还是被某家的EDR逮到。后来换成Sliver，用gRPC通信，反而清净了。工具没有永远的神，只有适不适合当前目标。

逆向工程绕不开IDA和Ghidra。IDA的F5插件能把汇编转成伪C代码，省不少事。但遇到混淆过的二进制，还是得一行行读汇编。有次分析一个挖矿木马，作者把关键字符串全拆成单字符压栈。Ghidra的自动分析直接懵了。我手动跟了三个小时，才找到矿池地址。这种活，工具只能帮你到门口，进门得自己爬。

说几个冷门的。Responder做LLMNR/NBT-NS投毒，内网里一抓一个准。很多Windows机器默认开着这些协议，你发个伪造响应，就能拿到NetNTLM哈希。再用Hashcat跑，弱密码秒破。还有mitm6，专门针对IPv6的DHCPv6投毒。企业网里IPv6往往没人管，一投一个准。这些工具不大，但效果拔群。

最后说个观点。工具列表能列几百个，但核心能力就三样：信息收集、漏洞利用、权限维持。每样精通两三个工具，比每个都摸一遍强。我见过有人把Kali里所有工具都装了一遍，真到实战，连nmap的-sS和-sT区别都说不清。工具是手的延伸，脑子才是根。