渗透测试武器库

我见过太多团队把渗透测试武器库搞成"下载文件夹"。渗透Kali装完，测试工具列表拉出来几十页，武器真到打靶场的渗透时候，翻来覆去用的测试还是那三五个。工具堆砌不等于武器库，武器武器库的渗透核心是"在什么场景下，用哪把刀"。测试下面按实战流程拆一遍，武器顺手聊聊我踩过的渗透坑。

踩点阶段：信息收集决定后面80%的测试效率

很多人一上来就打开Burp抓包，其实在目标资产都没摸清之前，武器抓到的渗透包价值有限。踩点阶段我常用的测试组合是subfinder + httpx + nmap。subfinder跑子域名，武器httpx批量探测存活和标题，nmap做端口和指纹。这三个串起来，一个中型目标的攻击面基本能铺开。

有个细节容易被忽略：httpx的-title和-tech-detect参数一定要开。我去年帮一家电商做测试，就是靠tech-detect扫出一个用了老版本Shiro的后台，直接拿到入口。如果只看端口开放情况，那个8080端口很容易被当成普通Web服务跳过。

另外提一句，fofa和shodan这类空间测绘引擎，在授权范围内用起来效率极高。但别拿它们当唯一来源——我遇到过目标把CDN后面的真实IP藏得很好，最后还是靠证书透明度日志（crt.sh）翻出来的。

漏洞发现：别迷信自动化扫描器

Nessus和AWVS的扫描报告我每周都看，误报率依然感人。自动化扫描器适合做基线检查，但真正有杀伤力的漏洞往往藏在业务逻辑里。举个例子：一个优惠券领取接口，扫描器只会告诉你"参数未做长度校验"，但手动测试时你会发现，把coupon_id改成负数，能无限领券。这种洞扫描器永远扫不出来。

Burp Suite的Repeater和Intruder是主力，但别忽略sqlmap的--os-shell和--file-read。我见过有人用sqlmap只跑-dbs，拿到库名就收工。实际上如果权限够，直接读/etc/passwd或者写个webshell，比慢慢脱库快得多。当然，前提是授权范围允许。

还有个工具叫nuclei，模板生态现在很猛。但它的价值在于"批量验证已知漏洞"，不是"发现未知漏洞"。我通常用它来快速筛查目标是否受某个CVE影响，比如Log4j2那波，nuclei模板一跑，十分钟出结果。

后渗透：武器库真正拉开差距的地方

拿到shell只是开始。mimikatz抓凭证、BloodHound分析域内路径、impacket套件做横向，这些是标配。但我想说的是，后渗透阶段最关键的往往不是工具，而是"信息整理能力"。

我习惯在拿到第一台机器后，立刻用SharpHound收集域信息，然后导入BloodHound看攻击路径。有一次，BloodHound显示从当前用户到域管只有两条边，但实际执行时发现中间那台机器打了补丁。这时候就得换思路——用Responder抓Net-NTLM哈希，或者用mitm6做IPv6中继。武器库的深度，体现在Plan B和Plan C上。

C2框架方面，Cobalt Strike依然是商业首选，但Sliver和Havoc这些开源替代品进步很快。我个人的判断是：如果团队预算有限，Sliver的mTLS和WireGuard模式足够应付大多数场景。别为了用CS而用CS，工具是拿来解决问题的。

武器库的维护：比收集更重要

我见过最离谱的武器库是一个移动硬盘，里面按年份分文件夹，2019年的工具和2024年的混在一起。维护武器库的第一原则是：能脚本化的一律脚本化。比如把常用的nmap扫描参数写成bash函数，把httpx的探测结果自动导入数据库。第二原则是：定期清理。那些三年没更新、依赖Python 2.7的工具，该扔就扔。

最后说个个人习惯：我会给每个工具写一行备注，记录"上次用是什么时候、解决什么问题、有什么坑"。比如evil-winrm的备注是"连Windows时记得加-S忽略证书错误"。这种细节，比工具本身的版本号有用得多。

武器库不是收藏品，是消耗品。用得顺手、修得勤快、知道什么时候该换，比拥有多少工具重要得多。