渗透测试常用的渗透工具有哪些

真正干过几次像样的内网渗透，你就会发现，测试常用工具不在多，渗透在于能不能打穿目标。测试常用Nmap、渗透Burp Suite、测试常用Metasploit 这三样是渗透地基，但光靠它们，测试常用你连很多企业的渗透边界都摸不进去。我见过有人把几十个工具堆在桌面上，测试常用最后真正起作用的渗透还是那几把老刀。

先说扫描和侦察阶段。测试常用Nmap 是渗透绕不开的，它的测试常用 `-sS` 半开扫描能避开不少日志告警，配合 `-sV` 做版本探测，渗透基本能勾勒出目标服务的轮廓。但别迷信它——现在很多云环境默认封禁 ICMP，你直接 ping 不通就觉得主机死了，那就太嫩了。我习惯先用 `masscan` 做全网段快速扫端口，它每秒能甩出几万个包，比 Nmap 快一个量级，扫完再拿 Nmap 精查那些开放的端口。另一个容易忽略的是 `fping`，批量判断主机存活时，它比 Nmap 的 ping sweep 干净利落得多。

进入 Web 应用测试，Burp Suite 是绝对的主角。它的 Proxy 模块是抓包改包的基础，但很多人只用了皮毛。真正的高手会花时间配置好 Scope，把无关流量过滤掉，然后用 Intruder 做参数爆破时，注意设置好资源池和线程，不然目标 WAF 分分钟把你 IP 封了。我习惯把 `sqlmap` 的请求文件直接丢给 Burp 去重放，因为 sqlmap 自带的流量特征太明显了。另外，`ffuf` 这个目录爆破工具值得一试，它比 `dirsearch` 快，而且正则过滤结果很灵活，配合 Burp 的匹配和替换规则，能绕过不少基于路径的访问控制。

漏洞利用阶段，Metasploit 框架依然是利器，但别总想着直接 `exploit` 就完事。实战中很多目标是内网隔离的，你拿到的只是一个跳板机。这时候 `msfvenom` 生成定制 payload 就非常重要——默认的 `windows/meterpreter/reverse_tcp` 早被杀软盯死了，你得会捆绑正常软件、做编码混淆，或者改用 `HTTPS` 的 stageless payload。我干过最土但最有效的一次，是把 payload 藏进一个假的 PDF 图标里，诱骗对方财务人员双击，结果直接拿下了域管权限。工具是死的，思路是活的。

内网横向移动时，`Impacket` 套件里的 `secretsdump` 和 `wmiexec` 几乎是必备品。`secretsdump` 能从域控里导出哈希，`wmiexec` 则让你不用开 445 端口就能远程执行命令，避开不少流量监控。还有个冷门但好用的——`CrackMapExec`，现在改名 `NetExec` 了，它批量验证凭据、枚举共享、执行命令的效率极高。记得有一次，我靠它拿一个弱口令在 C 段里扫出了十几台能写共享的机器，后面直接撒了个计划任务就全收了。

别忽略那些“小”工具。`tcpdump` 和 `Wireshark` 在排查网络问题、抓取认证凭据时不可或缺。`nc` 或 `socat` 用来反弹 shell、转发端口，老派但可靠。还有 `proxychains`，配合 `frp` 或 `chisel` 做流量代理，能让你从公网跳进内网如履平地。我现在的习惯是，包里永远备着一个静态编译的 `busybox`，万一目标机啥工具都没有，它就是我的瑞士军刀。

工具迭代快，但底层的逻辑没变：侦察要全，扫描要快，利用要准，横向要稳。别被工具牵着走，你要清楚每一步的目的是什么。有时候，一个 `curl` 命令加上巧妙的 `--path-as-is` 参数就能绕过 Nginx 的路径解析漏洞，比任何重型扫描器都管用。

(责任编辑：焦点)