linux渗透工具

Metasploit的透工console界面在深夜的终端里泛着幽绿的光，我敲下use exploit/multi/handler，透工等待一个反向shell回连。透工这套框架庞大得像个军火库，透工但真正干活时，透工你往往只需要其中几件趁手的透工家伙。Linux渗透测试的透工乐趣就在这儿——工具多到让你眼花缭乱，但每一样都透着股“自己动手”的透工糙劲。

Nmap是透工绕不开的起点。别光记着-sS和-sV，透工那只是透工皮毛。我习惯先跑一次nmap -p- --min-rate 5000 target，透工全端口扫描速度快得让人上瘾。透工扫完再看服务版本，透工顺手用--script=vuln探测已知漏洞。透工有一次在客户内网，Nmap报出某台打印机开着9100端口，我随手试了试--script=printer-vuln，居然直接拿到了设备管理页面的权限——那台打印机成了横向移动的跳板。

拿到立足点后，提权是场硬仗。Linux的提权工具里，LinEnum和linux-exploit-suggester是我的首选。前者把系统信息一股脑倒出来，SUID文件、计划任务、可写目录，全列得清清楚楚；后者则根据内核版本自动匹配可利用的exp。记得有次渗透测试，目标内核是4.4.0，linux-exploit-suggester直接报出CVE-2017-16995，编译完一跑，root到手。但提权这事儿，工具只能帮你缩小范围，真正拼的是你对系统配置的敏感度——比如发现/etc/passwd可写，那还找什么exp，直接塞个root权限用户进去。

流量转发和隧道是渗透里最脏最累的活，但工具也不少。chisel是我常用的，它能把内网流量通过HTTP隧道转发出来，免安装，单二进制文件。场景通常是这样的：你拿下一台DMZ区的机器，内网还有一堆段要访问。用chisel在本地起个server，目标机上跑client，-R 8000:10.0.0.1:80，直接把内网web服务映射到本地。正经点说，这是代理；糙点说，这就是在别人家里开了扇后门，还带遥控器。

密码抓取是另一个重头戏。Mimikatz是Windows的，Linux下你得靠mimipenguin或者直接读/etc/shadow。但更实用的是抓内存里的明文——用gdb dump出sshd进程的内存，然后strings搜索关键字，偶尔能撞见管理员刚输过的密码。这方法土，但管用。有一次测试，我靠这招从一台Ubuntu服务器上捞出了域管理员的明文密码，那哥们儿居然用同一个密码登录了所有Linux机器。

别忽视了那些不起眼的小工具。socat能当瑞士军刀用，转发端口、绑定shell、甚至加密流量；proxychains配合任意SOCKS代理，能让你所有命令都走隧道；hydra爆破SSH虽然吵，但在内网里往往有奇效。有一次我对着一个只允许密钥登录的SSH服务没辙，后来发现它同时开着telnet——用hydra跑弱口令，三分钟就进去了。工具是死的，思路是活的。

最后说句实在话。这些工具在Kali里全都有，但装了不代表你会用。真正的高手往往只靠一个bash脚本加几个原生命令就能干翻一台机器。工具永远是辅助，你对Linux本身的理解——文件权限、进程管理、网络栈——才是渗透的核心。别沉迷于收集工具，多想想怎么用最少的工具解决最多的问题。