内容摘要：拿到一台Kali，默认配置下能直接打穿内网的环境越来越少了。去年我给一家做物流的客户做评估，他们的边界防火墙做得挺像样，WAF也上了，但内网一台Jenkins服务器还跑着2019年的插件版本。从外网到

拿到一台Kali，透测默认配置下能直接打穿内网的透测环境越来越少了。去年我给一家做物流的透测客户做评估，他们的透测边界防火墙做得挺像样，WAF也上了，透测但内网一台Jenkins服务器还跑着2019年的透测插件版本。从外网到拿下域控，透测总共花了不到四十分钟。透测Kali在这中间扮演的透测角色，说白了就是透测一把瑞士军刀——但刀怎么用，取决于拿刀的透测人。

很多人装完Kali第一件事是透测更新源然后apt upgrade，这没错。透测但真正该做的透测第一件事是搞清楚自己手里这套工具集的版本状态。Metasploit、透测Nmap、Burp Suite这些核心组件的版本差异，直接决定了你能不能用某些较新的漏洞利用模块。我见过有人拿着三年前的MSF去怼一个需要最新exploit的靶机，折腾一晚上没结果，最后发现是模块没更新。

信息收集阶段的取舍

Nmap扫描谁都会跑，但参数组合反映的是思路。nmap -sS -sV -O -p- --min-rate 5000这种全端口扫描在实战里要慎用，动静太大。更务实的做法是先扫常见端口，再针对性地做服务识别。有一次我扫一个C段，发现一台机器开着8080，返回的是Tomcat的默认页。大部分人到这里就停了，但把/manager/html拼上去之后，弱口令直接进了后台。信息收集的深度不取决于工具，取决于你愿不愿意多试一步。

DNS枚举这块，dnsrecon和dnsenum各有侧重。我习惯先用dnsrecon跑一遍标准查询，拿到NS和MX记录之后，再用 fierce 做子域名爆破。fierce的字典不算大，但胜在速度快。如果目标有泛解析，记得加--wildcard参数过滤掉噪音。

漏洞利用不是点按钮

Metasploit的search命令很好用，但搜出来的模块不一定能直接打。每个exploit的target列表、payload兼容性、以及目标系统的补丁级别，都会影响成功率。一个典型的坑是：MS17-010的永恒之蓝模块，在打了KB4012598补丁的Win7上直接哑火。你得先通过SMB版本和系统build号判断补丁状态，再决定用哪个模块。

Burp Suite的Intruder模块在爆破场景下很顺手，但线程数别开太高。我一般设成10到15，再高容易触发目标的服务端限流或者WAF封IP。有一回客户的内网OA系统，Intruder跑太快直接把Tomcat线程池打满了，业务那边打电话过来问怎么回事。渗透测试的节奏感，有时候比技术本身更重要。

后渗透阶段的隐蔽性

拿到shell只是开始。Meterpreter的migrate命令要尽快用，把会话迁移到稳定进程里，比如explorer.exe。但别往杀软监控的进程里钻，否则刚迁过去就被查杀。权限维持方面，注册表Run键和计划任务是最老套但也最不容易被清理的方式。不过现在EDR对这两处的监控很严，更稳妥的做法是写一个自定义的WMI事件订阅，触发条件设得刁钻一点。

横向移动时，PsExec和WMIExec各有适用场景。PsExec会在目标机器上留服务，容易被发现；WMIExec无文件落地，但依赖WMI服务可用。CrackMapExec把这两者都封装好了，一条命令就能批量试。cme smb 192.168.1.0/24 -u admin -p password --local-auth，跑完一圈就知道哪些机器能进。

Kali的工具箱每年都在变，但核心逻辑没怎么动过：先摸清目标，再找薄弱点，最后用最合适的工具打进去。工具会过时，思路不会。