Nmap 扫出一台数据库服务器开着 3306，透测我顺手挂上 Hydra 跑 MySQL 爆破，试工三分钟不到 root 密码就出来了——123456。透测这不是试工段子，是透测去年一个甲方内网的真实情况。渗透测试工具能帮你省掉大量重复劳动，试工但工具本身不会思考，透测关键还是试工用的人怎么选、怎么用。透测

信息收集：从踩点到摸清家底

Nmap 大概是试工绕不开的。端口扫描、透测服务识别、试工操作系统指纹，透测一条 nmap -sV -sC -O target 下去，试工目标的透测基本轮廓就出来了。我习惯先跑一遍全端口 -p-，再针对开放端口做深度探测。有时候 8080 上跑着个 Jenkins 没设密码，这比什么漏洞都直接。

子域名收集用 Sublist3r 或者 Amass。Amass 的被动模式能拉出一堆证书透明日志里的记录，配合 DNS 解析验证，经常能发现一些测试环境或者遗留系统。那些 test.xxx.com、old.xxx.com 往往是防守最弱的地方。WhatWeb 和 Wappalyzer 用来识别 CMS 和框架版本，Drupal 7 还是 WordPress 5.2，后续利用方向完全不同。

漏洞扫描：别把扫描器当答案

Nessus 和 OpenVAS 是商业和开源阵营里的两个代表。Nessus 插件库更新快，误报控制得还行，但扫大网段时那个速度让人想砸键盘。OpenVAS 免费，配置起来麻烦一些，不过社区插件覆盖也够用。

Web 方向，AWVS 和 Burp Suite 的 Scanner 模块是主力。AWVS 的爬虫能力比 Burp 强，适合覆盖面广的初筛；Burp 的 Scanner 配合手动抓包，能挖到更深层的逻辑漏洞。我见过有人把 AWVS 报告直接贴给客户，里面三十多个“漏洞”有一半是误报，这就很尴尬。扫描器给的是线索，不是结论。

漏洞利用：Metasploit 不是万能的

Metasploit 的模块化设计确实方便，search、use、set、exploit 四步走。但实际遇到的环境里，MS17-010 这种经典漏洞越来越少，更多是需要自己改 EXP 或者写 POC。SQLMap 倒是很稳，--os-shell 拿到系统权限的情况不少见，尤其是那些老旧的 PHP 应用。

Burp Suite 的 Intruder 模块做爆破和 fuzz 很顺手。Repeater 更是每天都要点开几十次的东西。不过 Burp 的社区版没有 Scanner，Intruder 还限速，商业版价格不便宜。很多人转投 Caido 或者用 ffuf、Gobuster 这类命令行工具替代，效率反而更高。

后渗透与维持：别只顾着打点

Mimikatz 抓 Windows 明文密码和哈希，Cobalt Strike 做 C2 管理。CS 的 Beacon 在内存里跑，流量伪装成正常 HTTPS，防守方不仔细看根本发现不了。但 CS 太贵，而且已经被各大厂商重点盯防，特征明显。Sliver 和 Havoc 是这两年比较火的替代品，开源、支持多平台，缺点是文档和社区还在完善中。

BloodHound 用来分析域内权限关系，一张图就能看出从普通用户到域管的攻击路径。配合 SharpHound 收集数据，经常能找到一些意想不到的 ACL 配置错误。这种工具的价值在于把复杂的 AD 关系可视化，比手动查 LDAP 高效太多。

工具之外的事

工具清单可以列很长，但真正决定渗透测试质量的，是对目标业务的理解和手动测试的深度。自动化扫描能覆盖 60% 的常见问题，剩下的 40% 藏在业务逻辑、权限校验和那些“开发觉得没问题”的角落里。我见过有人用 Burp 的 Collaborator 挖到盲注，也见过有人靠手动改一个 user_id 参数就越权看了全站订单。工具是手的延伸，脑子才是核心。