Metasploit 的网络控制台弹出一行绿字：Meterpreter session 1 opened。目标是渗透一台跑了五年没打补丁的 Windows Server 2008，从扫描到拿到 shell，测试全程不到四分钟。工具这就是网络渗透测试工具的日常——它们把复杂的漏洞利用过程压缩成几条命令，让安全人员能在攻击者动手之前，渗透先替他们走一遍路。测试
端口扫描是工具第一步，绕不开 Nmap。网络这东西 1997 年就有了，渗透到现在还是测试最靠谱的侦察工具。一条 nmap -sV -sC 192.168.1.0/24 下去，工具网段里哪台机器开着 445、网络哪台跑着老版本 Apache，渗透清清楚楚。测试我见过有人用 Nmap 的脚本引擎（NSE）直接扫出 MS17-010 漏洞，连漏洞扫描器都省了。不过 Nmap 的扫描速度得调，-T4 是常用档位，-T5 在真实网络里容易丢包，反而误事。
拿到端口信息之后，下一步是找入口。Burp Suite 在这个环节几乎是标配。它当代理用，浏览器流量全走它，改包、重放、爆破、扫目录，一个界面全包了。社区版免费，但 Intruder 模块限速，跑大字典能急死人。专业版一年几百刀，公司一般都给配。有次我测一个登录接口，Burp 的 Repeater 里手动改了十几遍参数才试出 SQL 注入点——自动化工具扫不出来的东西，还得靠人盯着看。
漏洞利用阶段，Metasploit 是主力。它的模块库有几千个 exploit，从永恒之蓝到各种 Web 应用 RCE，基本覆盖了公开漏洞。但别指望它万能。定制化的业务系统漏洞，MSF 里没有现成模块，得自己写 Ruby 或者转用 Python 的 pwntools。我认识的一个渗透测试工程师，包里常年装着三样东西：MSF、Cobalt Strike 的试用版、还有自己攒的一堆 Python 脚本。他说工具是死的，人是活的。
Web 方向还有几个绕不开的。sqlmap 跑 SQL 注入，--batch --dbs 一开，剩下的它自己跑。但目标站有 WAF 的时候，sqlmap 的默认 payload 会被拦，得配合 tamper 脚本改流量特征。XSStrike 测 XSS，比手动快，但误报率不低，结果还得人工验证。Nikto 扫 Web 服务器配置问题，速度快，但噪音大，容易被 IDS 抓。
内网渗透是另一个世界。BloodHound 用图数据库把域环境里的用户、组、权限关系画出来，哪条路能走到域控，一眼就能看到。配合 SharpHound 收集数据，再结合 Mimikatz 抓内存里的明文密码或者哈希，横向移动的路径就出来了。Cobalt Strike 更重，Beacon 回连、提权、凭据窃取、隧道代理，一套流程下来，整个域基本就捏在手里了。不过 CS 贵，而且被各大杀软盯得紧，特征库更新很快。
工具再强，也替代不了对目标的理解。同一个漏洞，在不同网络环境里的利用方式可能完全不一样。有次我测一个内网，Nmap 扫出来 3389 开着，但直接连被防火墙挡了。后来发现得先通过一个 Web 漏洞拿到低权限 shell，再从里面做端口转发才能连上 RDP。工具给的是可能性，怎么组合、怎么绕过限制，靠的是人的判断。
最后说一句，这些工具在未授权的情况下用，就是犯罪。渗透测试和黑客攻击的区别不在技术，在授权书。拿到书面许可再动手，这是底线。