Kali Linux 默认装好的高级那套工具，很多人只用了不到三成。渗透msfconsole 敲个 search 就完事，测试nmap 扫完端口直接扔一边——这不是简介渗透测试，这是高级工具试用。真正的渗透高级渗透，拼的测试是对目标业务逻辑的理解，以及把零散信息串成攻击链的简介能力。

去年给一家电商做红队评估，高级外网只开了一个 443 端口。渗透nmap 扫出来是测试 nginx，whatweb 识别到 WordPress 5.8。简介wpscan 跑出三个插件有漏洞，高级但都打了补丁。渗透常规思路到这儿就卡住了。测试换个角度：WordPress 的 REST API 默认暴露用户列表，/wp-json/wp/v2/users 直接返回了管理员用户名。配合之前 wpscan 抓到的登录页面路径，用 hydra 挂上 rockyou.txt 跑了一晚上，密码是 admin123!——不是弱密码，是管理员图省事把默认密码改了感叹号。进去之后用 theme editor 写了个 PHP 反弹 shell，拿到 www-data。这步没什么技术含量，但如果你只盯着 CVE 编号，根本走不到这里。

提权才是分水岭。LinEnum 跑完发现 /usr/bin/find 有 SUID 位，GTFOBins 上查一下，一行命令拿到 root：find . -exec /bin/sh -p \; -quit。但真实环境里 SUID 提权越来越少见，更多是内核漏洞和配置错误。比如 sudo 版本低于 1.8.28 的 CVE-2019-14287，允许用户以非 root 身份执行 sudo -u#-1 绕过限制。这个漏洞在 Kali 的 searchsploit 里能直接搜到利用脚本，但前提是你得先拿到一个能 sudo 的普通用户。

横向移动阶段，Kali 自带的 CrackMapExec 比 MSF 好用得多。一条命令 cme smb 192.168.1.0/24 -u user -p pass --shares 就能把整个 C 段的共享目录、登录权限、可写路径全列出来。之前有个客户内网有 200 多台 Windows，用 CME 的 --local-auth 参数配合从域控抓到的 NTLM hash，半小时拿到 80% 机器的本地管理员权限。Metasploit 的 psexec 模块也能做，但 CME 的并发和输出格式更适合批量操作。

Web 渗透里，Burp Suite 的 Collaborator 是容易被忽略的利器。很多盲注、SSRF、XXE 没有回显，但 Collaborator 能通过 DNS 和 HTTP 请求确认漏洞存在。Kali 上装 Burp 社区版就够用，配合 proxychains 把流量转发到内网，比在目标机器上留后门干净得多。有一次测一个 Java 应用，登录接口的 rememberMe 字段是 AES 加密的，用 ysoserial 生成 CommonsCollections 链的 payload，base64 编码后替换，直接弹回 shell。整个过程没碰过数据库，也没上传任何文件。

无线渗透这块，Kali 的 aircrack-ng 套件依然能打。但 5GHz 频段和 WPA3 的普及让很多老教程失效。实测 hcxdumptool 抓 PMKID 比传统抓 4 次握手快得多，不需要等客户端重连，直接向 AP 发关联请求就能拿到。跑 hashcat 的时候记得用 -m 22000 模式，老版本的 -m 2500 已经不支持 PMKID 格式了。

工具用熟只是门槛。真正拉开差距的是信息收集的深度——比如从 GitHub 提交记录里翻出开发人员不小心上传的 AWS 密钥，或者从 LinkedIn 员工动态推断出内网使用的 VPN 品牌。Kali 里有个 theHarvester 能自动跑这些，但结果需要人工筛选。机器扫出来的东西永远比人多，但人知道哪些东西值得深挖。

最后说个反直觉的：Kali 不是越新越好。2023 版把 metasploit-framework 升级到 6.3 之后，某些老模块的兼容性反而变差。我习惯在虚拟机里保留一个 2021.4 的镜像，专门跑那些依赖 Ruby 2.7 的 exploit。渗透测试不是追新，是追稳。