Nmap 是渗透渗透测试里最不该被忽略的工具。去年帮一家电商做内网评估，测试扫完 192.168.10.0/24 段，用工发现一台数据库服务器开着 6379 端口，渗透没设密码。测试Redis 未授权访问，用工直接写 SSH 公钥拿下了 root。渗透整个过程不到二十分钟，测试Nmap 只跑了一条命令：nmap -sS -p- -T4 192.168.10.0/24。用工它的渗透脚本引擎 NSE 更狠，--script=vuln 能直接匹配已知 CVE，测试省去手工验证的用工麻烦。不过别全信扫描结果，渗透防火墙过滤和端口敲门会让它误报，测试我习惯用 -Pn 跳过主机存活检测，用工再配合 -sV 做版本指纹，准确率能提不少。

Burp Suite 是 Web 渗透的主战场。社区版够用，但 Intruder 限速让人抓狂。有次测一个登录接口，用 Burp 的 Repeater 手动改参数，发现返回包里的 role 字段是明文 base64 编码的 user，改成 admin 直接越权。这种逻辑漏洞扫描器扫不出来，得靠人盯着请求响应来回翻。Burp 的 Collaborator 功能很实用，盲注和 SSRF 靠它带外检测，比单纯看响应时间靠谱得多。插件市场里 Logger++ 和 Autorize 几乎必装，后者能自动重放请求检测越权，省掉大量重复点击。

sqlmap 的名声在外，但很多人只会 -u 一把梭。实际遇到 WAF 时，得调 --tamper 脚本，比如 space2comment 把空格换成注释符绕过规则。有回测一个 ASP 站，参数是 id=1，sqlmap 默认跑不出，加上 --level=5 --risk=3 再指定 --dbms=mssql 才爆出延时注入。它跑起来噪音大，生产环境慎用，最好先手工确认注入点再交给它提数据。另外 --os-shell 不是万能，权限不够照样写不了文件。

Metasploit 框架更像一把瑞士军刀。msfconsole 里搜 eternalblue 能直接打 MS17-010，但别急着 exploit，先 check 一下目标是否真存在漏洞。我见过有人对着打了补丁的机器硬轰，结果把服务打挂。Meterpreter 的 hashdump 和 migrate 是后渗透常用操作，不过现在 EDR 对它的内存特征查得严，得配合 veil 或 shellter 做免杀。说实话，MSF 的模块更新速度跟不上新漏洞，遇到 Log4j 这种还是得手动构造 payload。

Wireshark 和 tcpdump 属于基础但容易被轻视的。内网中间人攻击时，用 arpspoof 加 sslstrip 降级 HTTPS，Wireshark 里过滤 http.request 就能看到明文密码。有次客户内网用 HTTP 传 LDAP 凭证，直接抓包拿到域管密码。tcpdump 在无图形界面的服务器上更实用，tcpdump -i eth0 -w capture.pcap port 80 抓完拉回本地分析。别小看这些老工具，新漏洞利用时它们往往是验证环节的关键。

工具终究是辅助。渗透测试的核心是理解系统怎么运转、信任边界在哪。Nmap 告诉你有什么，Burp 让你改什么，sqlmap 帮你取什么，但判断哪里能打、打了会怎样，靠的是人。我见过太多人抱着工具集一顿扫，报告里列一堆中危漏洞，却漏掉一个简单的弱口令。工具会骗人，手工验证永远不能省。