拿到一台目标机器，渗透技巧第一件事不是渗透技巧急着传工具。先看。渗透技巧看什么？渗透技巧系统版本、装了哪些软件、渗透技巧补丁打到什么程度、渗透技巧有没有杀软。渗透技巧Windows 7 SP1 和 Windows Server 2019 的渗透技巧利用路径完全不同，前者可能一个 MS17-010 就能拿下，渗透技巧后者你得老老实实找应用层的渗透技巧漏洞。我习惯先跑一遍 systeminfo，渗透技巧再看 tasklist，渗透技巧把杀软的渗透技巧进程名记下来——360tray.exe、MsMpEng.exe、渗透技巧QQPCTray.exe，渗透技巧看到这些你就知道哪些工具得做免杀了。

信息收集这一步，很多人做得太糙。不是扫个端口就完事了。你要看开放的服务背后跑的是什么。80 端口开着，可能是 IIS，可能是 Apache，也可能是 Tomcat。每个的利用方式都不一样。我遇到过一台机器，445 端口开着，但 SMB 签名强制启用，永恒之蓝打不进去。结果发现 8080 上跑了个老版本的 Jenkins，未授权访问直接进脚本命令行。这就是信息收集的价值——不是收集得多，是收集得对。

权限提升是渗透里最考验耐心的环节。你拿到一个低权限 webshell，想提权，先看补丁。Windows 下 wmic qfe get hotfixid 一条命令列出所有补丁，然后对照缺失的 KB 编号去找 EXP。Linux 下更简单，uname -a 看内核版本，脏牛、CVE-2021-4034 这些经典漏洞覆盖面很广。但别急着上 EXP，先试试 sudo -l，说不定运维给了你惊喜。我见过一个运维把 sudo ALL=(ALL) NOPASSWD: ALL 写进了 sudoers，webshell 里直接 sudo su 就完事了。

横向移动这块，凭据是硬通货。Mimikatz 抓明文密码的时代基本过去了，现在更多是抓 NTLM hash 做 pass-the-hash。但有个细节很多人忽略——Windows 默认缓存最近 10 个域用户的凭据，注册表里 HKLM\SECURITY\Cache 存着这些 hash。你拿到管理员权限后 dump 出来，用 hashcat 跑一下，弱口令一抓一个准。域环境里更狠的是 Kerberoasting，给 SPN 账户请求 TGS 票据，拿回来离线爆破，服务账户的密码往往设得很随意。

持久化不是装个后门就完事。你要考虑目标环境的运维习惯。他们多久重启一次？有没有补丁管理？EDR 多久扫一次？我一般会留两条路：一条是计划任务，另一条是服务。计划任务用 schtasks /create /sc onlogon，服务用 sc create。两条路都留，一条被查出来还有另一条。但别用同一个 C2 地址，分开。不然 EDR 一封 IP，两条线全断。

最后说个容易被忽视的点——日志清理。很多人渗透完就走，事件日志里一堆 4624、4672 记录，蓝队一看就知道出事了。Windows 下用 wevtutil cl 清日志会留一条“日志已被清除”的记录，反而更显眼。正确做法是只删特定事件 ID，或者干脆用 meterpreter 的 clearev，但那个也会留痕。最稳妥的方式其实是——别清。把时间线拉长，让正常日志淹没你的操作痕迹。前提是你得控制操作频率，别在凌晨三点疯狂登录。

渗透这行，工具会过时，漏洞会修补，但思路不会。你理解了一个系统的认证流程、权限模型、日志机制，换一套环境照样能打。反过来，只会照着教程点鼠标的，遇到稍微改过配置的目标就卡住了。