渗透测试工具圈子里，渗透真正被一线人员天天摸的软件，其实就那么几个。渗透别被厂商宣传册晃了眼，软件Kali Linux里塞了三百多个工具，渗透九成是软件吃灰的。我见过最离谱的渗透甲方，拿着nessus扫出来的软件报告当渗透结果，那玩意儿顶多算个体检，渗透离手术还差着十万八千里。软件

先说说Nmap，渗透这玩意儿是软件地基。没有它，渗透你连目标开了哪些端口都摸不清，软件后面全是渗透盲人摸象。它不只是扫端口，还能识别服务版本、猜操作系统。有个细节，老手扫内网喜欢用`-sS`半开扫描，慢是慢点，但不容易在目标日志里留全连接记录。我见过一个测试员，用默认TCP全连接扫，结果被客户的安全设备当场抓包，场面一度非常尴尬。

漏洞利用这块，Metasploit框架（MSF）是绕不开的。它的价值不在于那个命令行的炫酷界面，而在于庞大的exploit库和payload生成体系。你拿个CVE-2021-44228（Log4j）的利用模块，配上`msfvenom`生成的反向shell，一条龙就能拿下没打补丁的服务器。但说实话，MSF的默认payload特征太明显，现在稍微像样点的EDR都能拦。我更习惯拿它当后渗透的跳板，用`mimikatz`抓内存里的明文密码，那感觉比挖到金矿还爽。

Web渗透又是另一套打法。Burp Suite是当之无愧的王者，别跟我提什么国产的某些工具，抓包改包这块，Burp的插件生态和拦截逻辑目前还没对手。你用它的Intruder模块做密码爆破时，记得把线程调低点，不然目标WAF直接把你IP封了，得不偿失。有个小技巧，用`Turbo Intruder`插件，能绕过不少基于频率的限速策略，这招对付某些自研的接口防刷特管用。

无线网络这块，Aircrack-ng套件是经典。抓个WPA2的四次握手包，跑个rockyou字典，弱密码基本十分钟内见分晓。不过现在都是WPA3了，这套老办法有点失灵。我最近在试`wacker`，一个针对WPA3的Downgrade攻击工具，能把目标协商到WPA2，然后老套路继续用。这行就得不断更新，吃老本迟早饿死。

密码破解不得不提Hashcat。它跑哈希的速度，取决于你的显卡烧不烧得起。我同事拿四块RTX 4090组了个破解机，跑NTLM哈希，纯暴力八位数字密码，最快纪录是两分十七秒。当然，日常没那么夸张，多数时候用规则变异，比如把“password”变成“P@ssw0rd2024”这种，命中率比死跑字典高得多。

最后说个容易被忽略的——Cobalt Strike。严格说它是个后渗透框架，但没它，很多红队行动根本没法收口。它的Beacon支持多种通信协议，还能通过`SMB Beacon`做内网横跳，穿透隔离区。有次项目，目标内网分段做得极好，常规反向HTTPS死活出不来，后来改用DNS隧道，把数据切成小块塞进DNS查询里，愣是神不知鬼不觉地把域控哈希带了出来。

工具永远只是杠杆，真正的支点是你的思路。见过太多新人，拿着最新版工具却不知道看返回包的细节，抓个包就只会看状态码。记住，Nmap扫出来开放端口后，用`nc`手连一下，看看banner，比直接上扫描器靠谱得多。工具是死的，人是活的，这行拼到最后，拼的是你对协议底层和系统机制的理解深度。