拿到一台Kali，渗透第一件事不是攻击急着打开msfconsole。我见过太多新手，渗透装完系统就直奔Metasploit，攻击结果连目标IP都没扫清楚，渗透上来就`use exploit`，攻击最后卡在payload兼容性上折腾一整天。渗透渗透测试的攻击本质是信息收集，工具只是渗透最后那一下锤子。

Kali里预装了六百多个工具，攻击但真正高频使用的渗透就那么二十来个。nmap排第一，攻击没争议。渗透我习惯先跑一遍`nmap -sS -sV -p- 192.168.1.0/24`，攻击把整个网段摸一遍。渗透有次给一家小公司做内网评估，扫出来一台打印机开着9100端口，固件版本老得离谱——后来证明那是整条攻击链的入口。nmap的脚本引擎更狠，`--script vuln`一挂，CVE编号直接列出来，省掉大量手动比对时间。

Web方向，Burp Suite社区版够用了。拦截改包、Intruder爆破、Repeater反复调参，这三个模块吃透就能应付大部分场景。配合ffuf做目录爆破，字典用SecLists里的`raft-medium-directories.txt`，速度调到`-t 100`，一般中小型站点几分钟出结果。有回碰到一个后台路径藏在`/api/v2/_internal/`下面，ffuf跑出来的，手动猜根本想不到。

漏洞利用环节，Metasploit确实方便，但别把它当唯一选择。searchsploit查本地漏洞库，配合`-m`参数直接复制exp到当前目录，改改IP和端口就能打。有次打一个Tomcat弱口令，msf的`tomcat_mgr_login`模块跑半天没反应，换成searchsploit找的Python脚本，三分钟拿shell。工具是死的，思路得活。

提权阶段，LinEnum.sh和WinPEAS是最常用的两个脚本。上传到目标机器，给执行权限，跑完看输出。SUID文件、计划任务、内核版本、可写服务配置——这些信息一条条过。印象最深的一次，目标机器上有个自定义的systemd服务，配置文件权限是777，直接改`ExecStart`指向反弹shell，重启服务就拿到root。这种配置错误比内核漏洞常见得多。

横向移动靠的是凭据复用。mimikatz抓内存里的明文密码和NTLM哈希，crackmapexec批量验证。`crackmapexec smb 192.168.1.0/24 -u administrator -H `一条命令扫全网段，能打进去的机器直接标绿。域环境里，BloodHound分析AD关系图，找最短路径到Domain Admin。有次发现一个服务账户对某台文件服务器有WriteDacl权限，配合RBCD攻击，两跳就拿到域控。

持久化别搞太复杂。注册表Run键、计划任务、服务——选一个隐蔽性好的就行。见过有人在目标机器上装了个SSH后门，结果被EDR直接告警。简单点，用`schtasks /create /sc onlogon /tn "WindowsUpdate" /tr "C:\temp\beacon.exe"`，名字起得像系统组件，比花哨的rootkit活得久。

最后说一句，Kali只是工具箱。真正决定渗透成败的，是对目标系统的理解、对协议细节的把握，以及耐心。工具跑不出结果的时候，回去翻日志、看配置、理网络拓扑。那些藏在细节里的东西，才是突破口。