Сканеры показывают, какие двери есть, а открывать их почти всегда приходится руками. По выводу nmap -sC -sV выпиши каждый сервис с точной версией и по каждому поищи известные уязвимости: searchsploit, запрос «сервис версия exploit». Потом пройди веб глазами: что за движок, формы входа, стандартные пароли, загрузка файлов, параметры в URL, исходник страницы и комментарии в нём; заодно проверь анонимный вход на FTP и SMB, если они открыты. Если ничего не цепляется, скорее всего пропущен порт или виртуальный хост: сделай полный скан всех TCP-портов (nmap -p-), пробегись по топовым UDP, а домен из редиректа пропиши в /etc/hosts и перебери Host через ffuf. И возьми пару ретайред-машин с разборами IppSec или 0xdf, там виден сам ход мысли на этапе первичного доступа, а не только ответ.
