Kali 渗透工具实战：用 Nmap、curl 与 testssl.sh 完成授权 Web 资产验证和留痕

背景在授权渗透测试中，工具的价值不只是发现开放端口，更重要的是把资产识别、协议验证、证据留存和修复复测串成可重复的流程。下面以一台已纳入测试范围的 Web 服务器 192.0.2.10 为例，演示在 Kali Linux 中使用 Nmap、curl 和 testssl.sh 验证暴露面、HTTP 安全配置及 TLS 配置。192.0.2.0/24 是文档示例网段，实际操作时必须替换为授权范围内的地址。开始前应确认书面授权、测试窗口、源地址、目标清单和速率限制。本文只使用资产探测与配置验证功能，不包含口令爆破、漏洞利用或持久化操作。问题定位本场景需要回答四个问题：目标实际开放了哪些 TCP 服务；Web 服务是否存在不必要的方法或缺失安全响应头；TLS 是否仍支持旧协议和弱算法；测试过程能否留下足够证据供蓝队关联日志。建议先创建独立工作目录，并统一使用 UTC 时间。每次命令都保留原始输出、标准错误和文件哈希，避免复测时只剩截图而无法比较。export TARGET=192.0.2.10
export CASE=web-verify-$(date -u +%Y%m%dT%H%M%SZ)
mkdir -p

这类验证里，工具本身不是重点，建议把“授权边界、虚拟主机/SNI、证据可复核”串成一条流程。尤其不要只扫 IP：同一地址上可能挂多个站点，直接访问 IP 得到的证书和页面经常不是目标资产。

开始前先固定目标、时间和输出目录，并用 script 保存完整终端记录：

export CASE="web-verify-$(date -u +%Y%m%dT%H%M%SZ)"
export HOST="app.example.com"
export IP="203.0.113.10"
mkdir -p "$CASE"
script -q -f "$CASE/session.log"
date -u +'%FT%TZ'

Nmap 建议先做授权端口的小范围确认，再针对已开放端口识别服务，避免默认全端口或高并发影响业务：

nmap -Pn -T3 --max-rate 100 --host-timeout 10m \
  -p 80,443,8080,8443 -sV --version-light \
  --reason --open \
  -oA "$CASE/nmap-web" "$IP"

如果目标依赖虚拟主机，curl 用 --resolve 同时固定 DNS、Host 和 TLS SNI，比修改全局 hosts 文件更容易留痕：

curl --resolve "$HOST:443:$IP" \
  --proto '=https' --tlsv1.2 \
  --connect-timeout 5 --max-time 20 \
  -D "$CASE/headers.txt" -o "$CASE/body.html" \
  -w 'remote_ip=%{remote_ip}\nhttp_code=%{http_code}\ntime_total=%{time_total}\nssl_verify=%{ssl_verify_result}\n' \
  " | tee "$CASE/curl-metrics.txt"

不建议为了“验证成功”直接加 -k。证书失败时应保留错误，再单独检查证书链、主机名和本机 CA；否则容易把 SNI 配错、链不完整等问题掩盖掉。需要记录跳转链时可另跑一次 -L --max-redirs 5，不要覆盖首次响应证据。

testssl.sh 也应显式指定域名和 IP，输出机器可读结果；生产环境优先使用较温和的检查项：

./testssl.sh --ip "$IP" --warnings batch \
  --protocols --server-defaults --headers \
  --jsonfile "$CASE/testssl.json" \
  --htmlfile "$CASE/testssl.html" \
  "$HOST:443"

最后生成哈希清单，并补一份说明文件，记录授权单号、目标、源 IP、执行人、UTC 时间、工具版本和异常情况：

nmap --version > "$CASE/nmap-version.txt"
curl --version > "$CASE/curl-version.txt"
./testssl.sh --version > "$CASE/testssl-version.txt"
find "$CASE" -type f ! -name SHA256SUMS -print0 \
  | sort -z | xargs -0 sha256sum > "$CASE/SHA256SUMS"
exit

还有一个容易忽略的点：响应正文可能包含令牌、用户信息或内部路径。留痕包应按敏感证据管理；对外报告引用脱敏副本，原始文件只做受控保存，不要直接贴到工单或论坛。