拿到一个目标，渗透先别急着敲键盘。测试常用我见过太多新手一上来就开扫，工具结果连目标到底有几个IP都没搞清楚。渗透渗透测试的测试常用第一步永远是信息收集，而信息收集阶段最顺手的工具工具，大概就是渗透Nmap了。

Nmap这东西，测试常用说它是工具渗透测试的瑞士军刀一点不夸张。一条nmap -sV -sC -p- 192.168.1.1下去，渗透端口、测试常用服务版本、工具默认脚本扫描全出来了。渗透但很多人只知道扫端口，测试常用忽略了它的工具NSE脚本引擎。NSE里有几百个脚本，从检测SMB漏洞到枚举HTTP目录，能干的事远超想象。我习惯先用-sn做主机发现，确认存活主机后再针对性扫端口，别一上来就-p-全端口怼，浪费时间不说，还容易触发目标的安全告警。

端口扫完了，下一步通常是看Web服务。这时候Burp Suite就得上场了。Burp的代理拦截功能几乎是Web渗透测试的标配，但真正好用的是它的Intruder模块和Repeater。Intruder做爆破和模糊测试，Repeater手动调参数看响应，配合起来效率很高。不过Burp社区版有速率限制，做大规模爆破的时候得悠着点。我一般会先用Burp的爬虫功能把站点结构摸一遍，再结合Target模块里的Site map，看看有没有遗漏的接口或参数。

说到Web漏洞扫描，AWVS和Xray是绕不开的两个。AWVS商业化程度高，报告好看，但扫大站的时候容易漏报。Xray的被动扫描模式我更喜欢——挂上代理，手动浏览网站，它自动分析流量里的漏洞特征。这种方式比主动扫描隐蔽得多，不容易被WAF封。不过Xray的社区版功能有限，高级版要收费，这点得看预算。

数据库这块，sqlmap依然是主力。一条sqlmap -u "http://target.com?id=1" --dbs就能开始探测。但sqlmap的默认配置有时候太激进，遇到有WAF的站，得手动调--tamper脚本绕一下。我遇到过不少次，默认跑直接被封IP，换成space2comment或者charencode就过了。工具是死的，参数是活的，别指望一把梭。

提权阶段，LinPEAS和WinPEAS是两个脚本，扔到目标机器上跑一遍，能把系统里所有可能提权的点列出来——SUID文件、计划任务、内核版本、服务配置。输出信息很全，但也很杂，得自己筛。我一般会结合sudo -l和find / -perm -4000 2>/dev/null手动确认一遍，脚本给的是线索，不是答案。

密码破解方面，Hashcat和John the Ripper各有所长。Hashcat吃GPU，跑NTLM或者MD5这种快哈希效率极高；John的规则引擎更灵活，适合处理复杂字典。实际项目里，我通常先用cewl从目标网站爬一份定制字典，再配合Hashcat的规则模式跑，命中率比纯用rockyou高不少。

最后提一嘴Cobalt Strike。这东西严格来说不算“常用”，因为它是商业工具，价格不低。但它的Beacon和后渗透模块确实强，团队协作功能也完善。不过现在很多杀软对CS的默认profile查得很严，不改profile基本活不过五分钟。如果只是个人做靶场练习，Metasploit的meterpreter够用了，没必要非上CS。

工具终究是工具。我见过有人把工具列表背得滚瓜烂熟，真打靶的时候连一个SQL注入点都找不到。渗透测试的核心是思路，工具只是帮你把思路落地的拐杖。拐杖再多，不会走路还是白搭。