Kali渗透命令，渗透说白了就是命令一套“先摸清你家门锁，再试着撬开”的渗透工具集。但别误会，命令真正的渗透高手从来不是靠敲几条酷炫命令就黑进系统的——那只是脚本小子。命令是命令死的，思路才是渗透活的。我见过太多人把nmap扫出来的命令结果当圣旨，结果连内网横向都走不通，渗透卡在DMZ区干瞪眼。命令

先拿最基础的渗透nmap -sS -A 192.168.1.0/24开刀。这条半开扫描命令，命令平时够用，渗透但遇上防火墙，命令SYN包直接给你丢进黑洞。渗透这时候得换-sT全连接扫描，慢是慢点，至少能摸到真实端口。更阴险的是，有些主机对ICMP没反应，但HTTP服务敞开着。所以我的习惯是扫之前先ping一圈，把能ping通的单独列个清单，再针对没响应的IP用-Pn强制扫描。别省这一步，省了就是瞎猫碰死耗子。

拿到开放端口后，别急着打。先把服务版本和操作系统指纹摸清楚——nmap -sV -O这俩参数基本是标配。但有个坑，某些老旧服务会伪装版本号，比如Apache 2.4.49，你以为漏洞库里有对应CVE，结果实际跑的是2.4.50，白高兴一场。所以我会顺手用curl -I去看响应头里的真实Server字段，跟nmap结果交叉验证。这活儿干多了，你会发现“眼见为实”在渗透里同样适用。

真正有意思的环节是漏洞利用。假设你发现目标开了445端口，且系统是Windows Server 2008 R2，那EternalBlue的脚本msfconsole里一大把。但问题是，现在还有几个傻白甜没打补丁？与其赌运气，不如老老实实跑一遍searchsploit，把本地漏洞库翻个底朝天。有一次我碰到个老掉牙的FTP服务，版本号是vsftpd 2.3.4，本地漏洞库里躺着个后门。直接exploit/unix/ftp/vsftpd_234_backdoor，一条命令拿到shell。那种感觉，比中彩票还爽——但前提是你得知道去哪找。

拿到shell之后，提权才是分水岭。Linux下先看内核版本uname -a，然后去漏洞库找对应exp。Ubuntu 16.04的脏牛漏洞，当年多少人靠它翻了身。不过现在内核都硬了，更多时候得靠配置失误。比如sudo -l列出来，发现当前用户能无密码执行/usr/bin/find，那直接sudo find . -exec /bin/bash \;，秒变root。Windows那边更粗暴，whoami /priv看看有没有SeImpersonatePrivilege权限，有的话土豆家族系列提权工具直接伺候。这些命令本身不复杂，复杂的是你要知道在什么场景下用哪一把钥匙。

最后说说横向移动。内网里拿下了一台跳板机，别急着庆祝。先看ARP缓存arp -a，找活跃IP。再用proxychains挂上SOCKS隧道，把nmap的流量也代理出去，扫内网段。这里有个细节，代理扫描会慢得让人抓狂，所以端口扫描别用全端口，-p 22,80,445,3389这种常用端口优先，命中率反而高。拿到新凭据后，用crackmapexec smb 192.168.1.0/24 -u user -p pass批量验证，能通的机器直接扔进psexec.py里弹个shell。整个过程像剥洋葱，一层一层往里钻，每层都有新味道。

说真的，Kali里装了一千多条命令，但你真正用得上的可能就二三十条。别贪多，把nmap、msfconsole、sqlmap、hydra这几个玩透，比啥都强。我见过有人背了一堆命令，实战时连-p-参数都忘了加，扫了个寂寞。命令是死的，但你的判断力是活的。多去靶场练手，把每条命令的适用场景刻在脑子里，比收藏一百篇教程管用得多。