打开Kali Linux，终端里敲下`nmap -sV 192.168.1.100`，扫描结果跳出来那一刻，你就能看到目标服务器上跑着Apache 2.4.49。这个版本有个CVS-2021-41773的路径穿越漏洞，攻击者能读取/etc/passwd。我上周在虚拟机里复现时，用curl发了个编码过的请求，两秒后就拿到了root用户的哈希。这不是电影桥段，是真实发生在未打补丁的Web服务器上的日常。

Kali自带的工具集里，Burp Suite和sqlmap是挖Web漏洞的两把尖刀。Burp的代理拦截功能可以让你改包改到怀疑人生——比如把`user_id=1`改成`user_id=1' OR '1'='1`，如果后端没做参数化查询，整个用户表就摊在你面前。sqlmap更直接，`sqlmap -u "http://test.com/news.php?id=1" --dbs`，它会自动探测注入点、猜表名、爆字段。我见过一个政府站点的登录框，用`admin' --`就绕过了密码验证，后台功能随便点。这种漏洞在2023年的今天依然遍地都是，不是因为技术难防，是开发图省事。

文件上传漏洞在Kali里用weevely配合最顺手。生成一个PHP后门：`weevely generate password /root/shell.php`，上传到目标服务器的upload目录。如果服务器只检查Content-Type不检查文件内容，直接抓包改`Content-Type: image/jpeg`就能传上去。连上去之后`weevely http://target.com/upload/shell.php password`，你就有了一个交互式shell。我测试过某CMS的编辑器插件，上传图片时把文件名改成`shell.php.jpg`，后端居然只取第一个点之前的部分，结果直接解析成PHP。这种逻辑漏洞比缓冲区溢出好挖多了，不需要逆向，只需要观察和试错。

XSS在Kali里通常用BeEF来利用。启动`beef-xss`，在目标页面注入hook脚本，比如``。等管理员访问被污染的评论区，他的浏览器就会出现在BeEF的控制面板里。你可以让他弹计算器、偷cookie、甚至用他的浏览器发起内网扫描。去年有个电商站点的搜索框反射型XSS，我构造了一个``，把链接发给客服，十分钟后拿到了她的session。这种漏洞的可怕之处在于，攻击代码跑在受害者的浏览器里，服务器完全不知情。

Kali不是魔法，它只是把散落在各处的安全工具打包在一起。真正决定成败的是你对HTTP协议的理解、对后端逻辑的猜测、以及愿意花几个小时盯着Burp的Repeater反复改参数的那股劲。工具会更新，漏洞会修补，但“输入未过滤就拼接到查询或输出”这个根本问题，只要还有程序员偷懒，就永远有得玩。我在Kali里最常敲的命令不是msfconsole，而是`curl -v`和`python3 -m http.server`——前者看请求响应细节，后者用来接收反弹shell。简单，但够用。

(责任编辑：探索)