渗透测试工具有哪些

Nmap 几乎是渗透每个渗透测试项目的起点。这东西从 1997 年活到现在，测试不是工具因为情怀，而是渗透它确实能把网络探测这件事做到极致。默认的测试 SYN 扫描每秒能发几千个包，配合 NSE 脚本引擎，工具一个命令就能把目标主机的渗透开放端口、服务版本、测试甚至已知漏洞全摸一遍。工具我习惯先用 `nmap -sS -sV -O` 快速摸清目标轮廓，渗透再针对性地跑脚本。测试

端口后面藏着什么，工具得靠 Metasploit 来验证。渗透这个框架的测试可怕之处在于它把漏洞利用做成了流水线——选模块、配参数、工具敲 exploit，拿到 shell 只是时间问题。但别误会，它不只是个自动化工具。meterpreter 会话里的 migrate、hashdump、portfwd 这些命令，才是真正体现渗透功力的地方。我见过太多人只会用 msfconsole 跑现成模块，遇到需要手动构造 payload 的场景就卡壳。

Web 层面绕不开 Burp Suite。它的代理拦截功能让 HTTP 请求变成可编辑的文本，改参数、重放、爆破，全在一套界面里完成。Intruder 模块跑字典的时候，我通常会盯着响应长度排序——长度异常的那个往往就是突破口。社区版够用，但 Pro 版的扫描器能自动发现 SQL 注入和 XSS，省下来的时间够喝两杯咖啡。顺便说一句，Burp 的插件生态比想象中活跃，Logger++ 和 Turbo Intruder 值得装。

SQL 注入有 sqlmap，这工具把注入玩成了艺术。`--level=5 --risk=3` 全开的时候，它连基于时间盲注的数据库都能拖出来。但别在真实项目里这么干，动静太大。我一般先手工测出注入点，再用 sqlmap 的 `--technique` 指定注入类型，减少不必要的请求。有个细节：sqlmap 的 tamper 脚本能绕过不少 WAF，但需要根据目标特征手动调整，没有万能脚本。

目录爆破用 dirsearch 或 gobuster。前者 Python 写的，字典丰富；后者 Go 写的，并发高。我通常两个都跑，对比结果——有时候一个工具漏掉的路径，另一个能扫出来。字典选择比工具本身更重要，SecLists 里的 raft 系列够用，但针对特定 CMS 得换专用字典。比如 WordPress 就上 wpscan 的字典，命中率高得多。

密码破解分在线和离线。在线用 Hydra，支持几十种协议，但速度受限于网络延迟。离线用 Hashcat，GPU 跑起来每秒几十亿次哈希，NTLM 和 MD5 基本秒破。Hashcat 的规则文件是个宝藏，best64.rule 配合 rockyou.txt 能覆盖大部分弱密码场景。不过现在企业环境普遍用 Kerberos，得先抓 AS-REP 或 TGS-REP 哈希，这又是另一套流程了。

内网渗透离不开 BloodHound。它把 AD 环境里的用户、组、计算机、会话关系画成图，最短攻击路径一目了然。我印象最深的一次，通过 BloodHound 发现一个普通用户对某台服务器有 AdminTo 权限，而那条路径上只需要重置一个服务账户的密码——整个过程没用到任何漏洞，纯粹是配置失误。SharpHound 采集数据的时候记得加 `-c All`，不然会漏掉 ACL 关系。

流量分析用 Wireshark，但渗透测试里更常用 tcpdump 在目标机器上抓包，再导出来分析。有个技巧：`tcpdump -i eth0 -w capture.pcap port 445` 只抓 SMB 流量，文件小，分析快。配合 NetworkMiner 能自动提取文件传输和凭据信息。

最后提一下 Cobalt Strike。它早就不只是渗透工具了，更像一套完整的对抗模拟平台。Beacon 的 sleep 和 jitter 设置直接影响 C2 通信的隐蔽性，Malleable C2 配置文件能把流量伪装成正常业务。但正版授权贵得离谱，国内更多是用它的开源替代品，比如 Sliver 或 Havoc。Sliver 的 implant 生成和多人协作功能已经相当成熟，值得花时间研究。

工具终究是工具。我见过用 Nmap 就完成整个渗透测试的高手，也见过拿着全套商业工具却连边界都摸不到的新手。真正决定结果的，是对目标环境的理解、对协议细节的掌握，以及那么一点耐心。

很赞哦!（7326）