```html 利用Kali主动侦察目标 利用Kali主动侦察目标 你拿到一个IP，或者一个域名。主动侦察接下来干什么？目标扫端口，识别服务，利用找活着的主动侦察机器——这些动作在Kali里通常几分钟内就能跑完。但真正有意思的目标不是工具本身，而是利用你选择先敲哪条命令，以及看到回显之后怎么判断。主动侦察 我习惯从nmap开始。目标不是利用因为它最强，而是主动侦察因为它最直接。比如目标网段是目标192.168.1.0/24，先来一个快速ping扫描： nmap -sn 192.168.1.0/24 -oG ping_sweep.txt 这个动作只发ICMP和少量TCP包，利用几十秒内就能列出所有响应的主动侦察主机。如果对方禁ping，目标那就得用-PS指定端口，比如-PS22,80,443，靠SYN包探活。有一次在内网做评估，目标全禁ICMP，但开了8080，-PS8080一跑，五台机器全出来了。这种细节，教程里不会写，得自己踩坑。 拿到存活列表后，下一步是端口扫描。别一上来就-p-全端口，太吵，容易触发IDS。先扫常见端口： nmap -sS -sV -T4 -p 21,22,23,25,53,80,110,135,139,143,443,445,993,995,1433,1521,3306,3389,5432,5900,6379,8080,8443 -iL alive_hosts.txt -oA common_scan -sS是半开扫描，快且相对隐蔽。-sV做版本探测，能直接告诉你对面跑的是Apache 2.4.49还是OpenSSH 7.4。版本信息比端口号值钱得多——一个Apache 2.4.49意味着CVE-2021-41773路径穿越，一个Redis 5.0.0可能未授权。看到这些，你脑子里应该自动弹出对应的利用思路。
UDP别忽略。DNS、SNMP、NTP这些服务经常开在UDP上。有一次扫一个边缘设备，TCP只开了22和443，看着很干净。顺手跑了个nmap -sU --top-ports 50 10.0.0.5，发现UDP 161开着SNMP，社区字符串是public。直接snmpwalk把设备型号、接口列表、甚至路由表全拉出来了。这就是主动侦察的乐趣——你以为没东西了，换个协议又冒出一片。 服务识别之后，针对性地用脚本扫。Kali自带的nmap脚本库够用一阵子： nmap --script http-enum,http-headers,smb-os-discovery,ssl-enum-ciphers -p 80,443,445 10.0.0.10 http-enum会尝试常见路径，比如/admin、/backup、/.git。我遇到过一台服务器，首页正常，但/.git/HEAD返回了200，直接git-dumper把源码拖下来，数据库密码就在config.php里。这种路径泄露比什么漏洞利用都省事。
Web服务占侦察工作的大头。如果80或443开着，whatweb先跑一遍： whatweb -v https://target.com --log-brief=whatweb_out.txt 它会告诉你CMS类型、服务器版本、JS库、甚至Google Analytics ID。CMS是WordPress的话，wpscan直接上： wpscan --url https://target.com --enumerate u,vp,vt --api-token YOUR_TOKEN u枚举用户，vp枚举易受攻击插件，vt枚举易受攻击主题。没有API token也能跑，只是漏洞库更新慢点。我习惯把结果导成JSON，后面用jq过滤，比在终端里翻屏快。
目录爆破用gobuster或ffuf。ffuf更快，但gobuster的dir模式更顺手。字典别只用common.txt，/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt更全。有一次用ffuf跑一个站，-w指定字典，-u https://target.com/FUZZ，-fc 404，结果/api/v1/users返回了200，直接拿到用户列表JSON。这种接口在扫描器眼里就是金矿。 侦察不是堆工具。你得看回显，做判断。比如nmap显示445/tcp open microsoft-ds，那就该smbclient -L列共享，或者enum4linux一把梭。显示22/tcp open ssh OpenSSH 8.2p1，先别急着爆破，查查这个版本有没有CVE-2020-15778（scp命令注入），或者试试ssh-keyscan看能不能拿到主机密钥。主动侦察的核心是：根据已有信息决定下一步，而不是按清单执行。 最后说个坑。Kali里很多工具默认发大量包，nmap -T4已经算快，-T5可能丢包反而更慢。内网环境-T4够用，公网目标最好-T2或-T3，加--max-rate 50限速。别把目标打挂了，侦察阶段搞出DoS，后面就没得玩了。 主动侦察的产出是一张地图：哪些主机活着，开了什么端口，跑什么服务，什么版本，有没有已知弱点。这张地图越细，后面渗透越顺。Kali只是工具包，真正起作用的是你盯着nmap输出时脑子里冒出的下一个念头。 ``` | 
喜欢
讨厌