kali渗透测试实战

第一次在Kali里敲下nmap -sV 192.168.1.1，渗透实战屏幕刷出七八行端口信息的测试时候，我盯着那个“open”看了很久。渗透实战那种感觉跟看教程完全不是测试一回事——教程里永远是干净的输出、完美的渗透实战结果，而真实环境里你永远不知道下一秒会蹦出什么。测试

这篇文章不讲安装Kali，渗透实战也不讲怎么配虚拟机。测试那些东西网上一搜一大把，渗透实战装完了你依然不知道该干嘛。测试我直接说几个实战里真正会卡住人的渗透实战点。

信息收集不是测试走流程

很多人把信息收集当成清单打勾：whois查一下、nmap扫一遍、渗透实战dirb跑一轮，测试然后呢？渗透实战然后就没有然后了。数据堆在那里，不知道怎么用。

我拿自己做过的一个靶机举例。nmap扫出来22、80、3306三个端口。22是SSH，80是Apache，3306是MySQL。大部分人扫到这里就去试SSH弱密码了，admin/admin、root/123456，试半天没结果就换目标。但那天我先去看了80端口的网站，发现是个WordPress站点，版本号在页面源码的meta标签里写得清清楚楚。用wpscan --url http://target --enumerate vp一跑，出来一个插件漏洞，直接拿到了shell。

关键在哪？nmap告诉你“有什么”，但“怎么用”得靠你自己去串。3306开放不代表你要直接怼数据库，它可能只是告诉你这台机器上跑着Web应用，而Web应用才是真正的入口。

MSF好用，但别只会use exploit/multi/handler

Metasploit确实是Kali里最顺手的工具之一。但新手最容易犯的毛病是：拿到一个漏洞就急着search对应的模块，找到就use，设完RHOSTS和LHOST就run。跑通了觉得牛逼，跑不通就懵了。

问题出在payload的选择上。同样的漏洞模块，windows/meterpreter/reverse_tcp和windows/x64/meterpreter/reverse_tcp的区别不只是位数。我有次打一台64位Win7，用32位payload死活弹不回shell，换64位一秒就通。这不是玄学，是目标进程的架构决定的。你注入的是一个64位进程，塞个32位payload进去，它当然跑不起来。

还有个细节：LHOST别填127.0.0.1。听起来像废话，但我见过不止一个人这么干，然后问我为什么弹不回来。

密码破解的耐心问题

Hashcat和John the Ripper的用法网上教程够多了。我想说的是字典的选择和规则的搭配。

rockyou.txt确实经典，但2024年了，很多靶场和真实环境早就不用那套密码了。我现在的习惯是：先用cewl从目标网站爬一份自定义字典，再用hashcat的-r规则文件做变形。比如目标网站反复出现“acme”这个词，那cewl爬出来的字典里就有它，配合best64.rule能生成Acme2024、acme@123这类变体。比硬跑rockyou快得多。

另外，hashcat的-O参数会限制密码长度上限，跑长密码的时候记得别加。

最后说个心态问题

Kali里的工具几百个，你不可能全都会。我到现在也没用过Armitage，sqlmap的--tamper脚本也只记得三四个常用的。但这不影响我干活。工具是拿来解决问题的，不是拿来收集的。遇到具体场景，知道该往哪个方向找工具、怎么读文档、怎么根据报错调整参数，比背命令有用得多。

渗透测试这件事，说到底就是不断试错、不断调整的过程。Kali只是给你提供了一个装满工具的箱子，怎么用，还得看你自己。