拿下一台目标机器，渗透用第一件事永远是渗透用摸清它的“路数”——它开着哪些端口，跑着什么服务，渗透用补丁打到哪一年。渗透用你总不能提着撬棍去开密码锁吧？渗透用

端口扫描是基本功。Nmap一把梭，渗透用SYN半开扫描比全连接快得多，渗透用也隐蔽些。渗透用扫出个22端口，渗透用八成是渗透用SSH；3306是MySQL；8080可能是管理员后台，也可能是渗透用某个脆弱的Java应用。别急着动手，渗透用先看版本号。渗透用老版本OpenSSH有CVE-2024-6387，渗透用新版本可能就白费力气。渗透用这事儿我干过不止一次——对着一个看似铁桶的靶机折腾半天，最后发现是台2019年的旧系统，一个已知漏洞直接打穿，连提权都省了。

Web应用是另一条肥路。SQL注入？现在少多了，但参数化查询没做好的地方依然遍地都是。XSS倒是常见，可它多半只能偷个cookie，想拿shell还得找上传点或反序列化。我最喜欢的是那种“文件上传”功能——明明只让传图片，可你改个后缀名、塞段PHP代码，服务器就乖乖执行了。有一次碰到个培训机构的网站，上传头像处没校验文件头，我传了个带图片头部的WebShell，直接拿下整个服务器。事后看日志，管理员还在后台改课程表，浑然不知。

弱口令永远是最后的保底手段。别笑，真有人用admin/admin123。内网里扫一遍常见服务，SSH、RDP、MySQL，挨个试。有一次渗透测试，目标是个制造业公司，防火墙做得跟铁桶似的，外部进不来。结果我蹲在客户厕所门口，连上他们访客WiFi，用默认密码“12345678”进了内部OA系统，再横向跳了两台机器，最后在域控上拿到了管理员权限。客户全程懵：你们怎么进来的？我说，从你们前台打印机共享文件夹里找到的通讯录，上面写着WiFi密码。

工具链得顺手。Metasploit是瑞士军刀，但太响容易被杀软拦。我习惯先用Burp Suite抓包看逻辑漏洞，比如越权访问——改个ID就能看别人订单那种。再不行就上Cobalt Strike，但那是后话。真正的高手，往往用一条curl命令加一段Python脚本就能搞定，工具只是辅助，思路才是核心。

对了，别忽略社会工程学。有一次我假装某软件公司的技术支持，打电话给目标公司的IT小哥，说系统升级需要远程协助。他真给我开了TeamViewer。五分钟后，我坐在他工位上，用他的账号登录了所有内部系统。走的时候还帮他修了个打印机驱动，他连声道谢。

说到底，渗透没有固定套路。每台机器都是新的，每个网络都有自己的脾气。你只能像修表匠一样，先观察，再试探，找到那个最脆弱的齿轮。有时候是技术漏洞，有时候是人。但最关键的，永远是耐心——别急着打进去，先想清楚，进去之后往哪走，拿什么留后门，怎么清理痕迹。这行当，急躁的人死得快。