Kali里敲下第一条命令之前，何渗得先搞清楚一件事：你打算渗透的透网那个网站，到底归不归你管。何渗去年有个朋友兴冲冲跑去拿arpspoof搞隔壁公司的透网官网，结果流量还没抓够三分钟，何渗对方运维就顺着MAC地址找上门了。透网所以下面聊的何渗所有操作，前提都是透网你已经拿到了书面授权，或者靶机就架在你自己虚拟机里。何渗

信息收集这步最枯燥，透网但漏掉一个子域名可能就白干一整天。何渗whois查注册邮箱，透网dig axfr试域传送，何渗theHarvester爬邮箱和主机名，透网这些都是何渗老套路了。我习惯先用whatweb扫一遍指纹，看看对方跑的是WordPress还是ThinkPHP——这直接决定后面用wpscan还是找ThinkPHP的RCE。有一次扫一个客户站，whatweb报的是nginx 1.18，但响应头里Server字段被改过，实际是IIS 10。这种小把戏骗不过nmap的指纹库，-sV参数一跑就露馅。

目录爆破别只认dirb。feroxbuster支持递归和多线程，速度比dirb快一个量级。字典用SecLists里的raft-medium-directories就行，别贪大，十万条的字典跑完天都黑了。看到返回200的路径先别激动，可能是软404。用curl -I对比一下正常页面和疑似404页面的Content-Length，长度一样的直接过滤掉。有次扫出个/admin/，状态码200，结果点进去是个自定义的“页面不存在”提示，白高兴一场。

漏洞扫描阶段，nikto和nuclei配合着用。nikto报的误报多，但偶尔能挖出些冷门问题，比如备份文件泄露。nuclei的模板更新快，CVE出来几小时内就有检测规则。不过别全信扫描器的结果——它说存在SQL注入，你得手动加个单引号验证一下。sqlmap的--batch模式适合挂机跑，但遇到WAF就歇菜。这时候可以试试用burp抓包后改User-Agent和Referer，或者上tamper脚本，space2comment和between这些老脚本对某些云WAF还是管用的。

拿到shell之后的事更麻烦。msfvenom生成的payload经常被defender秒杀，得用veil或者自己改shellcode。权限维持别老想着写注册表，计划任务和wmi事件订阅更隐蔽。有次在内网看到运维用psexec横向，结果因为目标机器开了UAC远程限制，卡了半天。后来换成wmiexec才通。

最后说个真事。某次授权测试，客户坚持说他们的后台登录页有验证码，不可能爆破。我抓包一看，验证码是前端JS生成的，后端根本没校验。用burp的intruder挂上rockyou.txt，十分钟就进了。所以工具再花哨，不如先老老实实把请求响应看明白。Kali里的每个命令都只是锤子，知道往哪敲才是关键。