渗透测试这活儿，渗透用啥工具选对了能省一半力气。渗透用啥但很多人一上来就问“用啥工具”，渗透用啥这问题本身就问反了——你得先知道自己要测什么、渗透用啥处在哪个阶段，渗透用啥工具只是渗透用啥手脚，脑子才是渗透用啥核心。

信息收集阶段，渗透用啥我习惯先跑一遍subfinder和amass。渗透用啥前者快，渗透用啥后者全。渗透用啥有次给一家电商做测试，渗透用啥subfinder五分钟扫出三十多个子域，渗透用啥其中有个dev-api.xxx.com直接暴露了Swagger文档，渗透用啥接口参数一目了然。渗透用啥这种低级失误现在依然常见，不是技术问题，是流程问题。DNS历史记录用SecurityTrails查，有时候能翻出已经下线但IP还在用的旧系统，那基本就是后门。

端口扫描别只盯着nmap。masscan扫全网段快得离谱，但容易漏。我的做法是masscan先过一遍，把开放端口喂给nmap做服务识别。有回扫到一个高位端口跑着Elasticsearch，没认证，数据随便读。客户后来跟我说那是测试环境忘了关，可测试环境里躺着二十万条真实订单。这种事你写报告的时候得说清楚风险，别只甩个“未授权访问”就完事。

Web渗透这块，Burp Suite还是主力。但别迷信插件，我见过有人装了三十多个插件，结果连个简单的越权都没测出来。关键在手动。把请求扔进Repeater，改user_id、改role、改tenant，一个个试。有次改了个X-Forwarded-For头，直接绕过了IP白名单进了后台。这种逻辑漏洞扫描器根本报不出来。

漏洞利用阶段，Metasploit确实方便，但别啥都往上套。一个Struts2的洞，你手写个POST请求可能比msf还快。而且msf的payload经常被AV拦，不如自己用msfvenom生成个shellcode，再拿Donut转成位置无关的，免杀效果好不少。当然，授权测试里别乱弹shell，客户可能没开日志，你弹完自己都忘了清理。

内网渗透，Cobalt Strike太贵，Sliver现在够用。但真正好使的是Impacket套件。secretsdump.py抓哈希，psexec.py横向，wmiexec.py更隐蔽。有次内网里全是Windows Server 2012，smbexec一抓一个准。但注意，别用默认的ADMIN$共享，日志里全是你的痕迹。换成C$或者自己建个共享，动静小很多。

提权工具WinPEAS和LinPEAS基本是标配。但别直接跑，先看看目标机器上有没有EDR。有回跑LinPEAS，刚执行三秒就被falcon杀了，还触发了告警。后来改成手动查sudo -l和SUID，反而找到了个mysql的udf提权。工具是死的，环境是活的。

最后说报告。别用模板，客户看得出来。Dradis或者Serpico能帮你整理，但风险描述得自己写。有次我写“该漏洞可导致数据库泄露”，客户没当回事。后来改成“攻击者可通过该接口直接下载包含用户手机号和地址的Excel文件，无需任何认证”，第二天就修了。说人话，说后果，别堆CVSS分数。

渗透用啥？用脑子，用耐心，用对目标系统的理解。工具只是你手指的延伸，别让它们替你思考。

(责任编辑：休闲)