Kali Linux 里的渗透工具多得像瑞士军刀，但真正让我觉得“卧槽还能这样”的工具，是渗透 msfvenom 和 Metasploit 这套组合拳。你别看网上教程把“渗透测试”吹得神乎其神，工具说白了，渗透大部分时间你就是工具在跟端口、漏洞库和反弹shell打交道。渗透有一次我拿自家虚拟机练手，工具目标是渗透个没打补丁的Windows 7，用msfvenom生成一个exe，工具放到共享文件夹里，渗透诱导“受害者”（我室友的工具虚拟机）双击——三秒后，meterpreter会话弹出，渗透我甚至能看到他的工具摄像头指示灯亮了一下。那一刻我后背发凉，渗透这玩意儿真不是闹着玩的。

但Kali不只是“一键攻击”的玩具。你得学会看Nmap的扫描结果。默认的SYN扫描快得离谱，可如果对方开了防火墙，你就得换-sT（TCP连接扫描）或者-sA（ACK扫描）去探测规则。我见过太多新手上来就nmap -sS -A -p- 怼着公网IP扫，结果被对方WAF直接封了IP，还一脸懵。工具是死的，人是活的——你得根据响应包的类型判断目标到底是个路由器还是个云主机，这活儿靠的是经验，不是命令参数。

说到Web渗透，Burp Suite是绕不开的。它的代理功能能让你把浏览器发的每个请求都掰开揉碎看一遍。记得有次测一个本地搭建的论坛，登录框存在SQL注入，我用sqlmap跑了几轮都没出数据。后来手动用Burp抓包，发现参数被URL编码了两次，sqlmap默认没识别出来。改成--level=5 --risk=3再跑，直接爆出管理员密码哈希。这事给我教训：自动化工具卡住的时候，回到手工，看原始流量，往往比换个工具更管用。

无线网络这块，Aircrack-ng套件听着过时，但对付WPA2的弱密码依然高效。抓四次握手包，然后扔给hashcat用GPU跑字典。我试过用rockyou.txt跑一个“password123”的AP，不到十秒就出来了。可你要是碰上WPA3或者开启了PMF（管理帧保护），这套就废了。所以现在搞无线渗透，更多人会去研究WPA3的dragonblood漏洞或者用wackerly做evil twin攻击，但那些需要额外的硬件和更复杂的配置，不是装个Kali就能解决的。

还有个常被忽略的实用工具是Responder。它能在内网里监听LLMNR/NBT-NS协议，骗Windows主机把用户名和哈希发过来。有次我在客户的内网测试，就插了一根网线，没跑任何漏洞利用，光靠Responder钓了半小时，就拿到了域管账户的Net-NTLMv2哈希。后来用hashcat加上规则集，硬是爆出了明文。这种攻击不依赖系统漏洞，纯粹利用协议设计缺陷——你甚至不需要知道目标IP，只要在同个广播域里等着就行。

最后聊聊心态。Kali里几百个工具，你不可能全用上。我常用的也就十来个，其他都是偶尔翻翻文档才想起来。真正的渗透高手，不是背命令背得多，而是清楚每个工具在什么场景下会失效。比如ncat可以用来做正向/反向连接，但如果你目标是个容器环境，可能没有nc，这时候你就得用bash /dev/tcp或者powershell的Invoke-WebRequest来凑合。工具是死的，思路是活的——这话老套，但你真在实战里被卡住过，就知道它有多实在。