Tool Penetration Testing: Guida Completa per Fase di Attacco"

Questa guida raccoglie tutti i tool offensivi usati nel penetration testing, organizzati per fase di attacco — non in ordine alfabetico. Dalla recon OSINT all’exploitation, dal lateral movement AD al pivoting su reti segmentate. Ogni tool ha il suo contesto, il suo momento, il suo caso d’uso reale. Ogni fase di un penetration test ha i suoi strumenti. Nmap non serve a nulla se non sai leggere l’output. Mimikatz non funziona senza i privilegi giusti. BloodHound è inutile se non hai prima enumerato il dominio. La scelta del tool sbagliato nel momento sbagliato è la causa principale di engagement falliti e lab non completati.

Il riferimento operativo per chi prepara OSCP, OSEP, lavora su HTB o esegue red team engagement. Per i servizi esposti su ogni porta e i relativi vettori, consulta la Guida Completa alle Porte TCP/UDP nel Penetration Testing.

Recon → Scanning → Enumeration → Exploitation → Post-Exploitation → Pivoting → Exfiltration

Top Offensive Toolkit 80/20 #

Se stai iniziando o prepari OSCP, questi sono i 10 tool che coprono l'80% dei casi reali. Imparali prima di tutto il resto.

NetExec vs CrackMapExec: NetExec è il fork attivo di CrackMapExec, sviluppato dalla community dopo l’abbandono del progetto originale. Stessa sintassi base, ma NetExec è più aggiornato. Usa NetExec per nuovi engagement, CME se segui documentazione che lo referenzia.

Indice #

• Recon & OSINT
• Network Scanning & Discovery
• Web Application Testing
• Exploitation
• Brute Force & Credenziali
• Active Directory & Windows
• Linux Post-Exploitation & PrivEsc
• Pivoting & Tunneling
• Sniffing & MITM
• Social Engineering & Phishing
• Cloud & Infrastructure
• LOLBins & Tool Nativi Windows
• Attack Chains Reali
• Hub correlati

Recon & OSINT #

Prima di toccare il target, raccogli tutto quello che puoi da fonti pubbliche. Subdomini, email, tecnologie, dipendenti, infrastruttura cloud — tutto quello che riduce il rumore nella fase successiva e aumenta la tua attack surface conosciuta.

Network Scanning & Discovery #

Identificato il perimetro OSINT, mappi l’infrastruttura. L’obiettivo è trovare tutti gli host attivi, tutte le porte aperte, tutti i servizi esposti. Nmap è il centro — gli altri lo affiancano per velocità o protocolli specifici.

Web Application Testing #

Trovati i servizi web, testi ogni superficie: directory nascoste, parametri vulnerabili, injection points, autenticazione debole. Il combo FFUF + Burp Suite copre il 90% dei casi.

Exploitation #

Identificata la vulnerabilità, passi all’exploitation. Metasploit gestisce i casi standardizzati. Per vulnerabilità custom o ambienti hardened, combini SearchSploit con exploit manuali e PoC pubblici.

Brute Force & Credenziali #

Quando non hai exploit disponibili, le credenziali deboli sono spesso la via. Hydra copre quasi tutti i protocolli in modalità online. Hashcat è per il cracking offline degli hash catturati.

Active Directory & Windows #

Il cluster più denso. In un AD engagement usi questi tool in sequenza: enumeri con BloodHound e Enum4linux, attacchi Kerberos con Rubeus, fai lateral movement con NetExec e Impacket, dumpi credenziali con Mimikatz.

Linux Post-Exploitation & PrivEsc #

Ottenuta una shell su Linux, l’obiettivo è diventare root. LinPEAS automatizza la ricerca di vettori, GTFOBins ti dice come sfruttarli. Pspy monitora i processi in tempo reale senza root — spesso è il modo per scoprire cron job con privilegi elevati.

Pivoting & Tunneling #

Dentro la rete, devi raggiungere segmenti non direttamente accessibili. Chisel e socat sono i più usati nei lab HTB. SSHuttle è il più trasparente in ambienti reali. ProxyChains instrada tool esistenti attraverso il tunnel senza modificarli.

Sniffing & MITM #

Sulla LAN, il traffico non cifrato è immediata fonte di credenziali. Responder avvelena la rete e cattura NTLM hash in automatico. Wireshark e tcpdump analizzano il traffico. Ettercap e Bettercap gestiscono attacchi MITM completi con modifica dei pacchetti in tempo reale.

Social Engineering & Phishing #

Quando non ci sono vulnerabilità tecniche sfruttabili, l’attacco passa per le persone. GoPhish gestisce campagne phishing complete con tracking. EvilGinx2 cattura credenziali e session cookie bypassando MFA.

Cloud & Infrastructure #

Ambienti cloud mal configurati espongono bucket S3 pubblici, ruoli IAM con privilegi eccessivi, API senza autenticazione. Questi tool automatizzano la ricerca di questi vettori su AWS, Azure e GCP.

LOLBins & Tool Nativi Windows #

I tool nativi di Windows sono i più stealth: già presenti sul sistema, firmati Microsoft, raramente bloccati da AV/EDR. Usali sempre prima di scaricare tool esterni sul target — meno rumore, meno tracce, meno detection.

Attack Chains Reali #

I tool non si usano in isolamento. Queste sono le chain più comuni che incontri in ambienti reali, ProLab HTB e assessment OSCP.

Chain 1 — External Recon → Web RCE #

Amass / Subfinder     →  Enumerazione subdomini
HTTPX                 →  Probe HTTP su tutti i subdomini trovati
Nmap                  →  Port scan + version detection sui target vivi
Nikto / Nuclei        →  Scan automatico vulnerabilità web note
FFUF                  →  Directory brute force, parameter fuzzing
Burp Suite            →  Analisi manuale, intercept, injection test
SQLmap / Commix       →  Exploitation — dump DB o OS shell
Weevely3              →  Webshell persistente per post-exploitation

Chain 2 — AD Attack Chain (da rete LAN) #

Nmap                  →  Identifica DC, host Windows, porte AD aperte
Enum4linux-ng         →  Null session — utenti, share, policy dominio
Responder             →  LLMNR/NBT-NS poisoning → cattura NTLMv2 hash
Hashcat               →  Crack hash offline con wordlist
NetExec               →  Valida credenziali, password spray, enumera rete
BloodHound            →  Mappa attack path — trova percorso verso DA
Rubeus                →  Kerberoasting → hash account servizio
Hashcat               →  Crack hash Kerberos offline
Impacket secretsdump  →  DCSync → dump tutti gli hash del dominio
Mimikatz              →  Golden Ticket / credenziali da LSASS
Domain Admin          ✅

Chain 3 — Linux Post-Exploitation #

Shell iniziale        →  whoami, id, uname -a, ip a
LinPEAS               →  Enumera tutto — SUID, cron, sudo, capability
Pspy                  →  Monitora processi — trova cron job root
GTFOBins              →  Identifica binario sfruttabile per privesc
Getcap                →  Controlla capabilities — python3, perl, openssl
Root                  ✅
MimiPenguin           →  Dump credenziali da memoria
Chisel + ProxyChains  →  Pivoting verso subnet interna

Chain 4 — Internal Windows Lateral Movement #

Nmap                  →  Mappa rete interna — host Windows attivi
CrackMapExec          →  Verifica accesso su tutti gli host
SMBmap / SMBclient    →  Enumera share — cerca file con credenziali
Pass-the-Hash         →  Usa NTLM hash senza password in chiaro
Evil-WinRM            →  Shell su host via WinRM (5985)
WinPEAS / Seatbelt    →  Enumera privesc locale
SharpDPAPI            →  Dump credenziali salvate — browser, Windows
Mimikatz              →  Dump LSASS — NTLM hash e ticket Kerberos
BloodHound            →  Aggiorna attack path con nuove credenziali
Lateral movement      →  Ripeti fino a Domain Admin ✅

Hub correlati #

Per penetration test professionali su infrastrutture reali, scopri i servizi di HackIta.