```html

KaliLinux高级渗透测试

上周帮一个朋友看他们公司的内网，外网打点很干净，透测WAF 没给任何机会。透测但拿到一个低权限 VPN 账号后，透测我用 Kali 里的透测 chisel 做了个反向 socks 代理，十分钟摸到了域控的透测 445 端口。这不是透测什么神操作，但很多人卡在“拿到立足点之后不知道干什么”。透测Kali 本身不神奇，透测神奇的透测是你怎么用它。

新手常犯的透测错是把 Kali 当“一键日站”工具集。打开 msfconsole，透测搜个永恒之蓝，透测打过去弹个 shell，透测然后呢？透测没然后了。真正的渗透测试从你拿到第一个 shell 才开始。我习惯在 Kali 上开三个终端：一个跑 proxychains 挂代理，一个用 nxc（以前叫 crackmapexec）扫内网 SMB 签名，还有一个专门跑 bloodhound-python 收集域信息。这三个东西同时跑，你才能拼出网络拓扑和攻击路径。

说个具体场景。目标域环境，你手上有一个普通域用户。用 bloodhound-python -u user -p pass -d domain.local -ns 10.0.0.1 -c All 收集完数据，导入 BloodHound 一看——这用户对某台文件服务器有 GenericAll 权限，而那台服务器上有个域管登录过。接下来就是 impacket 的 smbexec.py 或者 atexec.py 的事了。Kali 里这些工具全都有，但没人会告诉你“看到 GenericAll 就马上去打”。你得自己判断：这台服务器有没有杀软？域管最近登录是什么时候？打草惊蛇了会不会触发 SOC 告警？

另一个被低估的工具是 responder。很多人只知道用它抓 NTLMv2 哈希，但配合 mitm6 才是内网大杀器。我试过一次，目标网络没开 IPv6，但 Windows 默认会优先请求 IPv6 的 WPAD。用 mitm6 伪造 DHCPv6 响应，再让 responder 抓哈希，半小时拿到三个服务账号。Kali 里这两个工具开箱即用，但默认配置得改——responder.conf 里要把 SMB 和 HTTP 关掉，不然会跟 mitm6 抢流量。

提权这块，linpeas.sh 和 winpeas.exe 确实好用，但别只会跑脚本。有次目标 Linux 机器，linpeas 报了一堆 SUID 文件，其中有个 /usr/bin/find。这玩意儿 GTFOBins 上就有提权方法：find . -exec /bin/sh -p \; -quit。但实际跑的时候发现 sh 被限制了，换成 bash 才成功。Kali 里自带 GTFOBins 的离线版？没有。你得自己记，或者提前把 gtfobins 的仓库 clone 到本地。

横向移动时，evil-winrm 比 psexec 安静得多。但很多人不知道它支持 -s 参数加载 PowerShell 脚本，配合 Invoke-Mimikatz 直接抓明文密码。我一般会先传个 SharpHound.exe 上去，收集完再决定打哪台。Kali 的 /usr/share/windows-resources 目录下有一堆现成的 exe 和 ps1，比你自己编译省事。

最后说个坑。Kali 滚动更新，metasploit 的模块路径偶尔会变。有次 msfconsole 里 use exploit/windows/smb/ms17_010_eternalblue 提示找不到模块，查了半天发现是 postgresql 没启动，数据库连接失败导致模块加载不全。systemctl start postgresql 再 msfdb init 就好了。这种问题没人写进教程，但你一定会遇到。

渗透测试不是集邮，不是“我用了多少种工具”。是你在某个深夜，盯着 tcpdump 抓到的异常 DNS 请求，突然意识到内网有台机器在解析一个不存在的域名——那可能是 C2 心跳。Kali 只是你的瑞士军刀，刀法得自己练。

```

本文地址：http://www.79wt.cn/news/1685e9599736.html