内容摘要：渗透测试工程师的浏览器书签栏，基本就是半个武器库。我见过一个做了八年渗透的老手，Chrome书签夹里躺着三百多个链接，从Shodan到内部自研的指纹识别平台，排得密密麻麻。他说这叫“肌肉记忆”，点开哪

渗透测试工程师的渗透浏览器书签栏，基本就是测试半个武器库。我见过一个做了八年渗透的工具老手，Chrome书签夹里躺着三百多个链接，渗透从Shodan到内部自研的测试指纹识别平台，排得密密麻麻。工具他说这叫“肌肉记忆”，渗透点开哪个不需要想。测试

工具箱这事儿，工具得从信息收集说起。渗透很多人一上来就掏扫描器，测试其实最该做的工具是搞清楚目标到底有多大。子域名枚举用Amass配合Subfinder，渗透前者跑得慢但全，测试后者快但偶尔漏。工具我习惯两个都跑，结果丢进一个txt里用sort -u去重。DNS历史记录查SecurityTrails，有时候能翻出已经下线的旧系统——那玩意儿往往没打补丁。证书透明度日志是个金矿，crt.sh搜一下域名，关联资产能捞出一串。

端口扫描这块，Nmap依然是绕不开的。但别傻乎乎地直接-sS -p-全端口扫，目标有防护的话你IP活不过三分钟。我一般先用Masscan快速过一遍常见端口，挑出开放的再让Nmap做版本探测。-sV -sC --script=vuln这套组合拳打下去，运气好能直接看到漏洞脚本的反馈。Masscan的速率得调，--rate=1000起步，看目标抗不抗揍再往上加。

Web应用测试，Burp Suite还是主力。但别只盯着Proxy模块，Intruder的Pitchfork模式跑弱口令，Cluster bomb跑参数爆破，Repeater手动调payload。有个细节：Burp的Collaborator服务器用来测盲注和SSRF特别顺手，很多人装了插件却忘了开。SQLMap现在用得少了，不是不好用，是WAF太聪明。真要跑，加上--tamper=space2comment和--random-agent，再挂个代理池。

漏洞利用阶段，Metasploit的模块库确实大，但别指望它什么都能打。我遇到过一台老版Jenkins，MSF里没有对应exploit，最后是GitHub上找了个Python脚本手动打的。Exploit-DB的离线包得备着，有时候目标内网没外网，搜不了在线库。Payload生成用MSFVenom，-p windows/x64/meterpreter/reverse_tcp，编码器选shikata_ga_nai，但别迷信编码——现代EDR该杀还是杀。

后渗透阶段，Cobalt Strike太贵，开源方案里Sliver和Havoc都能用。Sliver的mTLS模式比HTTP稳，但配置稍微麻烦点。横向移动用Impacket套件，psexec.py和wmiexec.py交替着试，哪个不被拦用哪个。BloodHound必须跑，它能把你从普通域用户到域管的路径画成图，省得自己瞎摸。

最后说个容易被忽略的：报告工具。Dradis和Faraday能自动整理扫描结果，但别全信自动生成的描述。我见过一份报告里写着“存在SQL注入风险”，结果复现步骤是空的——客户直接打回来重写。手动补上请求包和响应截图，比什么花哨的CVSS评分都管用。

工具箱这东西，够用就行。我见过有人装了四十多个插件，结果排查一个XSS花了半小时——因为忘了哪个插件在拦截请求。定期清理，把不用的删掉，比不断加新工具重要得多。