打开终端，透工敲下 `nmap -sV 192.168.1.1`，透工几秒后屏幕上跳出目标主机开放的透工端口和服务版本。这就是透工Kali Linux给人的第一印象——它不跟你寒暄，直接给结果。透工

Kali里塞了六百多个工具，透工但真正常用的透工就那么二三十个。新手容易犯的透工错是贪多，把菜单从头翻到尾，透工结果一个都不熟。透工我见过有人抱着《Kali工具大全》啃了三个月，透工遇到实际靶机还是透工只会打开Metasploit瞎点。工具这东西，透工用进废退。透工

信息收集：别急着开枪

渗透测试八成的透工时间花在信息收集上，剩下两成才是漏洞利用。Kali里做信息收集的工具分几类：被动侦察用`whois`、`theHarvester`，主动扫描靠`nmap`、`masscan`。`masscan`扫全网段快得离谱，但容易漏服务，我一般先用它摸个大概，再用`nmap -sS -sV -O`精扫。

有个细节值得说：`nmap`的`-sV`参数探测服务版本时，会发送特定探针。某些老旧的FTP或SMTP服务收到这些探针会直接崩溃。生产环境慎用，靶场随便玩。

漏洞利用：Metasploit不是万能钥匙

Metasploit的`msfconsole`是Kali的招牌。但很多人不知道，它自带的`searchsploit`才是真正干活的。这个命令行工具直接搜Exploit-DB的本地副本，离线也能用。比如 `searchsploit apache 2.4.49`，秒出CVE-2021-41773的利用脚本。比在msf里慢慢搜模块快多了。

Metasploit的payload分staged和stageless。`windows/meterpreter/reverse_tcp`是分阶段的，先传一个小loader再拉主体，体积小但依赖网络稳定。`windows/meterpreter_reverse_tcp`是stageless，一次性传完，适合内网跳板这种丢包率高的场景。选错了payload，shell弹不回来是常事。

密码攻击：Hashcat的算力游戏

`hashcat`跑字典的速度取决于GPU。同样一个NTLM哈希，CPU跑`rockyou.txt`要半小时，一块RTX 3080两分钟完事。Kali里默认装了hashcat，但驱动得自己配。NVIDIA显卡要装CUDA toolkit，AMD的走OpenCL。装完跑 `hashcat -I` 确认设备识别正常，不然它默认用CPU，慢到你想砸键盘。

字典不是越大越好。`rockyou.txt`有一千四百万条，但实际命中率高的就前几万条。我习惯用`cewl`爬目标网站生成定制字典，再配合`crunch`做规则变形。比无脑跑大字典效率高得多。

无线渗透：网卡选对就成功一半

Kali做无线渗透，第一件事是确认网卡支持监听模式和注入。`airmon-ng`能看，但更直接的是 `iw list`，看“Supported interface modes”里有没有“monitor”。Realtek RTL8812AU芯片的网卡兼容性好，几十块钱的USB网卡就能用。别用笔记本内置的Intel网卡，驱动折腾半天，注入成功率还低。

`aircrack-ng`抓WPA握手包，`reaver`跑WPS PIN。WPS这玩意儿现在路由器默认都关了，但有些老设备还开着。跑reaver之前先 `wash -i wlan0mon` 看目标开没开WPS，没开就别浪费时间。

写在最后

Kali只是个工具箱，里面的锤子扳手不会自己修车。真正决定渗透成败的是对目标系统的理解——知道Apache的配置文件长什么样，比会敲`msfconsole`重要得多。工具更新换代快，但协议、服务、架构这些底层知识十年不变。花时间读RFC，比刷工具教程管用。

另外，别在未授权的网络上练手。Kali的logo是条龙，但你不是。