Nmap 扫出一个 22 端口，于网我盯着屏幕愣了两秒。络安目标机器只开了 SSH，全渗按理说这种配置没什么可挖的透测。但那次渗透测试偏偏就从这个端口撕开了口子——管理员用弱口令，试工密码是于网公司名加 2023。这事让我明白一个道理：工具再锋利，络安也抵不过人的全渗疏忽。

渗透测试工具分几类，透测但界限没那么清晰。试工信息收集阶段，于网Nmap 和 Masscan 是络安绕不开的。Nmap 胜在精细，全渗扫得慢但结果准，透测脚本引擎 NSE 能直接检测漏洞。试工Masscan 快得离谱，全网段扫也就几分钟，代价是容易丢包，结果得交叉验证。我习惯先用 Masscan 圈范围，再用 Nmap 做深度探测。别信工具输出的“开放端口”就一定是开放，防火墙可能故意放几个蜜罐端口钓鱼。

漏洞扫描器里，Nessus 和 OpenVAS 算老牌。Nessus 的插件库更新快，界面也顺手，但商业版贵得肉疼。OpenVAS 免费，扫出来的报告却经常夹带误报，得人工过滤。有个细节：Nessus 扫 Web 漏洞时，对 JavaScript 渲染的页面基本瞎眼，这时候得换 Burp Suite 这类抓包工具手动测。工具不是万能的，知道它什么时候失灵比会用更重要。

说到 Burp Suite，这玩意儿在 Web 渗透里几乎人手一个。Proxy 模块拦截请求，Repeater 反复改包，Intruder 跑字典爆破。我见过有人拿 Intruder 跑目录扫描，速度慢得能泡杯茶回来还没跑完。其实目录爆破用 dirsearch 或 ffuf 更合适，Burp 的强项是逻辑漏洞——比如改个参数绕过支付验证，或者篡改 JWT 里的角色字段。这类漏洞扫描器扫不出来，全靠手工。

Metasploit 是另一个极端。它把漏洞利用做成了流水线：选模块、配参数、run，拿到 shell。方便是真方便，但依赖太重。有次在内网环境里，目标机器没装 meterpreter 需要的依赖库，折腾半小时才换了个普通 shell。后来我学乖了，先手动验证漏洞存在，再决定用不用 MSF。工具自动化程度越高，你越容易忽略底层原理——哪天它抽风了，你连排查方向都没有。

内网渗透阶段，Cobalt Strike 和 Empire 是常客。CS 的 beacon 回连稳定，团队协作功能强，但流量特征早被厂商盯上了。默认 profile 直接上，等于举着牌子告诉蓝队“我来啦”。得改心跳间隔、加 malleable C2 配置文件，甚至套层 CDN。有次我用 CS 的 SMB beacon 做横向，结果目标内网禁了 445 端口，当场卡住。后来换成 TCP beacon 走 8080 才通。工具得跟着环境变，死守一套配置迟早翻车。

写报告是渗透测试最烦的环节，但绕不过去。Dradis 和 Faraday 能整合扫描结果，自动生成漏洞列表。可自动化报告往往缺上下文——比如“SQL 注入”四个字，不写清楚是哪个参数、怎么复现、能读到什么数据，开发看了直接扔回来。我现在的习惯是：工具出初稿，手动补细节，截图加请求响应原文。花两小时写清楚，比返工三次划算。

工具终究是工具。那次 SSH 弱口令的案例里，Nmap 只告诉我端口开着，Hydra 跑出密码，但“用公司名加年份”这个规律是我翻目标官网新闻稿猜出来的。工具帮你省力，判断还得靠人。渗透测试的乐趣也在这儿——每个目标都不一样，每套工具组合都得随机应变。下次你扫到一个孤零零的端口，别急着跳过，多瞄两眼。

(责任编辑：时尚)