Nmap扫出一个开放端口，常用测试只是渗透起点。真正决定一次渗透测试成败的工具，往往是常用测试接下来你选什么工具、怎么用。渗透我见过太多人抱着Burp Suite的工具Community版从头点到尾，结果连一个SQL注入都没跑出来——不是常用测试工具不行，是渗透没搞清楚每个工具到底该在什么场景下出场。

先说信息收集阶段。工具Nmap几乎是常用测试绕不开的，但很多人只记-sS和-sV。渗透实际上-sC加载默认脚本集，工具能直接帮你把目标跑的常用测试是什么CMS、有没有匿名FTP、渗透SMB有没有开放共享全列出来。工具我有次对一台边缘服务器做nmap -sC -sV -p-，脚本直接报出目标跑的是Jenkins 2.138，版本号精确到小数点后。这种信息比手动翻指纹快十倍。Masscan适合大网段快速扫，但精度不如Nmap，两个配合用——Masscan先探路，Nmap再精扫。

Web层面，Burp Suite的Proxy模块是标配，但真正拉开差距的是Repeater和Intruder的手动配合。自动化扫描器比如AWVS和Xray能出报告，但误报率不低。Xray的被动扫描模式挂在Burp下游，流量经过就自动跑POC，这个组合我用了两年多，比单独跑扫描器靠谱。sqlmap别一上来就--batch --level=5 --risk=3，先手动测出注入点，再用-r读Burp保存的请求文件，指定--technique和--dbms，速度快而且不容易把目标打崩。

提权环节，Linux上LinEnum和linux-exploit-suggester是常备的。LinEnum输出信息全但杂，我习惯先跑一遍，重点看SUID文件和cron任务。有次目标机器上有个/usr/bin/find带SUID位，直接find . -exec /bin/sh -p \;就拿到root。Windows上WinPEAS比PowerUp更直观，颜色标注把可利用项直接标红。Mimikatz现在被杀的厉害，实战中更多用procdump配合mimikatz离线读lsass，或者干脆用SharpHound先摸清域内路径。

内网横向，Impacket套件里的psexec.py和wmiexec.py比Metasploit的psexec模块更轻量，不容易触发告警。smbexec.py在目标没开445但开了135的时候能救命。Cobalt Strike功能全，但流量特征太明显，小项目里我用Sliver或者直接SSH隧道加proxychains。代理链配置是个坑，proxychains4 -f指定配置文件，strict_chain和dynamic_chain的区别得搞清楚，不然nmap的SYN扫描走代理会直接失败。

最后说一句，工具列表可以列很长，但渗透测试的核心不是工具本身。你拿Nmap扫出80端口，知道下一步该用Nikto还是直接上Burp，这靠的是对HTTP协议的理解，不是工具说明书。工具只是手的延伸，脑子里的攻击路径图才是关键。

(责任编辑：娱乐)