黑客工具包

你打开一个Kali Linux的终端，敲下 msfconsole，工具屏幕上滚过一堆加载信息，黑客然后出现那个熟悉的工具 msf6 > 提示符。这一刻你手里攥着的黑客，是工具一千多个现成的漏洞利用模块。但真正干过活的黑客人都知道，Metasploit只是工具工具包里的螺丝刀，不是黑客整个工具箱。

大多数人第一次接触“黑客工具包”这个概念，工具是黑客从电影里来的。黑底绿字，工具敲几下键盘，黑客五角大楼的工具防火墙就塌了。现实完全不是黑客这回事。我见过一个做了十年渗透测试的老手，他的工具包其实就三样东西：一个改过的Burp Suite、一个自己写的Python脚本合集、还有一台装了各种虚拟机的笔记本。就这些。他跟我说，工具越多，你越不知道该用哪个。真正值钱的是知道什么时候不用工具。

Nmap算是个例外。这东西几乎出现在每一个工具包里，不管你是搞渗透还是做运维。但有意思的是，很多人跑 nmap -sV -T4 target 就以为自己扫完了。实际上Nmap的脚本引擎（NSE）才是真正的好东西。我见过有人用 http-enum 脚本把一个后台管理路径给翻出来，那个路径连开发自己都忘了。工具本身不厉害，厉害的是你知道它还能这么用。

再说说Burp Suite。社区版免费，但那个限速让人抓狂。我认识一个漏洞赏金猎人，他硬是用社区版加一个自己写的插件，在HackerOne上拿了三万多美金。他的秘诀是：把Intruder的线程数调到1，然后去睡觉。第二天起来看结果。听起来很蠢对吧？但他说这样反而比专业版更专注，因为慢，所以你会认真看每一个请求。

“工具包不是收藏品。你不需要拥有所有工具，你需要的是知道哪个工具在哪个场景下最不碍事。”——某位不愿透露姓名的红队成员

后渗透阶段是另一个世界。Mimikatz一跑，内存里的明文密码就出来了。但现在的Windows Defender不是吃素的，你直接扔个mimikatz.exe上去，大概率当场被删。所以工具包得更新。现在流行的是用 procdump 先 dump lsass 的内存，然后把 .dmp 文件拖回本地用 mimikatz 离线读。或者更狠一点，用 Cobalt Strike 的 beacon 直接注入。工具在变，思路没变——拿到凭证，横向移动。

BloodHound是个分水岭。以前你拿到一个域用户，得手动查ACL、查组关系，像在迷宫里摸墙走。BloodHound把整个AD环境画成一张图，最短攻击路径直接标红。我第一次跑的时候，看着屏幕上那条从普通用户到域管的路径，就三跳。三跳。那个域的管理员后来跟我说，他花了两个月才把那条路径堵上。

工具包还有一个隐藏维度：自己写的脚本。GitHub上那些star几千的工具，很多时候不如你花半小时写的二十行Python。因为你的目标环境是特定的，你知道哪个端口开着，你知道那个老版本Apache的路径长什么样。我见过一个家伙，用 requests 加 BeautifulSoup 写了个爬虫，专门爬目标公司的员工邮箱格式，然后拿去撞库。简单粗暴，但有效。

最后说个反直觉的事。真正的高手，工具包往往很干净。没有花哨的GUI，没有几十个G的字典。一个终端，一个浏览器，一个笔记软件。剩下的全在脑子里。工具会过时，CVE会修复，但“找到入口、扩大战果、清理痕迹”这个流程不会变。你包里装什么不重要，重要的是你知道什么时候该把包放下，用手去摸。