■acidbrns.de_

Pentesting · Werkzeugkasten

Die wichtigsten Pentesting-Tools: was sie tun und wie man einsteigt

Eine kompakte Landkarte. Jedes Werkzeug mit Einsatzzweck, typischen Befehlen und einem Hinweis, worauf man achten sollte. Keine vollständige Anleitung, sondern eine Orientierung, welches Tool wann passt.

Nur mit Erlaubnis. Diese Tools dürfen nur gegen eigene Systeme, Labore oder Ziele eingesetzt werden, für die eine schriftliche Freigabe vorliegt (Pentest-Auftrag, Bug-Bounty-Scope). Die Beispiele verwenden Platzhalter: example.com, das Dokumentationsnetz 192.0.2.0/24 und scanme.nmap.org, den offiziellen Testhost von Nmap.

01

Recon & OSINT

Informationen sammeln, bevor das Ziel überhaupt angefasst wird.

theHarvester

Einstieg

Sammelt öffentlich auffindbare Informationen zu einer Domain: E-Mail-Adressen, Subdomains, Hostnamen und IP-Adressen aus Suchmaschinen und Datenbanken.

Wofür man es nutzt

  • Namensschema und E-Mail-Adressen von Mitarbeitenden kartieren
  • Vergessene Hosts und Subdomains aufspüren
  • Grundlage für die Beschreibung der Angriffsfläche im Bericht
# Alle eingebauten Quellen abfragen
theHarvester -d example.com -b all

Hinweis: Manche Quellen brauchen API-Schlüssel. Suchergebnisse sind oft veraltet, deshalb immer gegenprüfen.

subfinder

Einstieg

Findet Subdomains passiv über Zertifikats-Transparenz-Logs, DNS-Datenbanken und Suchdienste. Das Ziel selbst wird dabei nicht direkt angefragt.

Wofür man es nutzt

  • Vollständige Subdomain-Liste einer Domain erstellen
  • Mit httpx prüfen, welche Hosts tatsächlich erreichbar sind
# Subdomains in eine Datei schreiben
subfinder -d example.com -silent -o subs.txt

# Nur erreichbare Hosts (benötigt httpx)
subfinder -d example.com -silent | httpx -silent

Hinweis: Die Liste ist ein Ausgangspunkt. Veraltete oder nicht zum Scope gehörende Einträge vor dem Scannen aussortieren.

02

Scanning

Erreichbare Hosts, offene Ports und laufende Dienste finden.

Nmap

Einstieg

Der Klassiker unter den Netzwerk-Scannern. Findet Hosts, offene Ports und Dienste, inklusive Version und grobem Betriebssystem.

Wofür man es nutzt

  • Erkennen, welche Hosts in einem Netz überhaupt antworten
  • Dienste und Versionen für die weitere Analyse ermitteln
  • Ergebnisse in mehreren Formaten sichern (-oA) für den Bericht
# Welche Hosts im Netz antworten (kein Portscan)
nmap -sn 192.0.2.0/24

# Dienste und Versionen auf den häufigsten Ports
nmap -sV -sC 192.0.2.10

# Alle 65 535 Ports, Ergebnis als normal, XML und grepable
nmap -p- -oA alle-ports 192.0.2.10

Hinweis: Zum Üben eignet sich scanme.nmap.org, der offizielle Testhost. Dort bitte moderat scannen, er wird von vielen genutzt.

Nuclei

Einstieg

Prüft Ziele mit einer großen Sammlung an YAML-Templates. Jedes Template beschreibt eine bekannte Schwachstelle, Fehlkonfiguration oder offen liegende Datei.

Wofür man es nutzt

  • Schnelle Breitenprüfung vieler Hosts auf bekannte CVEs
  • Typische Fehlkonfigurationen wie offene Admin-Panels oder Konfigurationsdateien finden
  • Regelmäßige Checks, z. B. im Bug-Bounty-Recon
# Nur mittlere bis kritische Findings
nuclei -u https://example.com -severity medium,high,critical

# Templates auf den aktuellen Stand bringen
nuclei -update-templates

Hinweis: Ein Treffer ist ein Hinweis, kein Beweis. Jedes Finding manuell nachprüfen, bevor es in einen Bericht wandert. Fehlalarme gibt es.

03

Web-Anwendungen

Webseiten, APIs und Login-Formulare Schritt für Schritt analysieren.

Burp Suite

Einstieg

Der Standard-Werkzeugkasten für Web-Pentests. Burp steht als Proxy zwischen Browser und Server und lässt jede Anfrage und Antwort ansehen und verändern.

Wofür man es nutzt

  • Proxy: Anfragen abfangen und manipulieren
  • Repeater: einzelne Requests gezielt wiederholen und anpassen
  • Intruder: Parameter automatisiert durchprobieren (in der Community-Edition gedrosselt)
  • Scanner: nur in der kostenpflichtigen Pro-Version
# Browser-Proxy auf 127.0.0.1:8080 einstellen und danach
# das Burp-CA-Zertifikat im Browser installieren.

# Dieselbe Anfrage per curl über Burp schicken
# (-k akzeptiert das Burp-Zertifikat, nur für den Test)
curl -x http://127.0.0.1:8080 -k https://example.com

Hinweis: Kostenlose Alternative mit ähnlichem Funktionsumfang: OWASP ZAP.

ffuf

Einstieg

Schneller Fuzzer. Ersetzt die Stelle FUZZ in einer URL, einem Header oder dem Body durch Einträge aus einer Wortliste und wertet die Antworten aus.

Wofür man es nutzt

  • Versteckte Verzeichnisse und Dateien finden (Backups, Admin-Bereiche, alte Versionen)
  • Parameternamen oder Subdomains durchprobieren
  • Ähnlicher Einsatz mit anderer Bedienung: Gobuster
# Pfade finden, nur Antworten mit Status 200, 301 und 403 anzeigen
ffuf -u https://example.com/FUZZ -w /usr/share/wordlists/dirb/common.txt -mc 200,301,403

Hinweis: Mit -rate die Anfragen pro Sekunde begrenzen, wenn der Server langsam wird. Größere Listen (z. B. SecLists) decken mehr ab, brauchen aber entsprechend länger.

sqlmap

Mittel

Automatisiert die Suche nach SQL-Injection in Web-Parametern und hilft, Datenbanktyp und Version zu bestimmen.

Wofür man es nutzt

  • Bestätigen, ob ein Parameter anfällig für SQL-Injection ist
  • Datenbank-Banner auslesen, um das Finding im Bericht zu belegen
  • Mit --batch läuft das Tool ohne Rückfragen, daher nur bei klar definiertem Scope
# Parameter prüfen und Datenbank-Banner anzeigen
sqlmap -u "https://example.com/item?id=1" --batch --banner

Hinweis: Die Standardwerte von --level und --risk nicht ohne Absprache erhöhen. Auch unauffällige Läufe erzeugen viele Anfragen.

04

Exploitation & Active Directory

Schwachstellen belegen und Rechte in Windows-Domänen nachvollziehen.

Metasploit Framework

Mittel

Großes Framework mit tausenden Modulen für Exploits, Payloads und Hilfsprogramme. Herzstück ist die Konsole msfconsole.

Wofür man es nutzt

  • Module suchen, konfigurieren und ausführen
  • Harmlose Scanner-Module nutzen, z. B. zur SMB-Versionsabfrage
  • Scan-Ergebnisse mit db_nmap direkt in die Datenbank des Frameworks übernehmen
msfconsole

# danach innerhalb von msfconsole:
search type:auxiliary smb
use auxiliary/scanner/smb/smb_version
set RHOSTS 192.0.2.10
run

Hinweis: Exploit-Module nur gegen Labormaschinen wie Metasploitable oder beauftragte Ziele einsetzen. Lab-VMs gehören in ein isoliertes Netz.

BloodHound

Fortgeschritten

Stellt Active Directory als Graphen dar: Benutzer, Gruppen, Computer und ihre Rechte. Sichtbar werden Wege, über die sich Rechte Schritt für Schritt bis zu Domain-Admin-Rechten ausweiten lassen.

Wofür man es nutzt

  • Versteckte Rechteketten finden, z. B. über Gruppenmitgliedschaften oder ACLs
  • Ergebnisse den Admins als Graph erklären, ein starkes Bild für den Bericht
  • Daten liefern Collectoren: SharpHound (Windows) oder bloodhound-python (Linux)
# Domänendaten als normaler Domänenbenutzer einsammeln
bloodhound-python -d corp.example -u auditor -p 'PASSWORT' -ns 192.0.2.5 -c all

Hinweis: Erzeugt viele LDAP- und SMB-Abfragen, daher vorher mit dem Auftraggeber abstimmen. Die Ergebnisse sind sehr sensibel, denn sie zeigen den kompletten Rechteplan des Netzes.

05

Netzwerk & Funk

Datenverkehr mitschneiden, verstehen und WLAN-Sicherheit prüfen.

Wireshark

Einstieg

Der Paket-Analyzer. Zeichnet Netzwerkverkehr auf und zeigt jedes Paket bis auf Feldebene. Die Kommandozeilenversion heißt tshark.

Wofür man es nutzt

  • Verstehen, was eine Anwendung tatsächlich überträgt
  • Unverschlüsselte Zugangsdaten oder Session-Tokens im Klartext erkennen
  • Auffälligkeiten und Fehler im Verkehr analysieren
# Verkehr auf Port 443 mitschneiden (Capture-Filter, BPF-Syntax)
sudo tshark -i eth0 -f "tcp port 443" -w mitschnitt.pcap

# Aus der Datei nur HTTP-Anfragen anzeigen (Display-Filter)
tshark -r mitschnitt.pcap -Y "http.request"

Hinweis: -f ist der Capture-Filter (BPF), -Y der Display-Filter (Wireshark-Syntax). Die Verwechslung ist der häufigste Anfängerfehler.

Aircrack-ng

Mittel

Werkzeugsammlung für WLAN-Audits: Funkkarte in den Monitor-Modus versetzen, Verkehr beobachten, Handshakes erfassen und die Verschlüsselung prüfen.

Wofür man es nutzt

  • Prüfen, ob das eigene WLAN WPA2 oder WPA3 mit einem langen Passwort nutzt
  • Sichtbarkeit: welche Netze, Kanäle, Verschlüsselungen und Clients in Reichweite sind
  • Ergebnisse nutzen, um das eigene WLAN zu härten
# Funkkarte in den Monitor-Modus bringen (wlan0 = Schnittstellenname)
sudo airmon-ng start wlan0

# Umgebung beobachten: Netze, Kanäle, Clients
sudo airodump-ng wlan0mon

Hinweis: Nur das eigene WLAN oder Netze mit schriftlicher Freigabe. Fremde Netze sind tabu, auch das bloße Mitschneiden.

06

Passwörter

Wie stark sind Passwörter und Hashes in der Praxis wirklich?

Hashcat

Mittel

Schnellstes Tool zum Knacken von Passwort-Hashes. Es nutzt Grafikkarten (GPU) und probiert Wörter, Regeln und Kombinationen durch, bis ein Hash passt.

Wofür man es nutzt

  • Zeigen, wie schnell schwache Passwörter aus einem Dump knackbar sind
  • Hash-Typ mit -m festlegen, z. B. 0 = MD5, 1000 = NTLM, 1800 = sha512crypt
  • Gefundene Treffer mit --show wieder anzeigen
# Hashes aus Datei gegen eine Wortliste prüfen (MD5 = Modus 0)
hashcat -m 0 -a 0 hashes.txt rockyou.txt

# Bereits gefundene Treffer anzeigen
hashcat -m 0 hashes.txt --show

Hinweis: Nur eigene Hashes oder Daten aus einem beauftragten Audit. Gefundene Klartext-Passwörter gehören nicht unmaskiert in den Bericht.

John the Ripper

Einstieg

Klassisches Cracking-Tool, das viele Hash-Formate selbst erkennt. Mit den mitgelieferten *2john-Helfern lassen sich Hashes aus ZIP-Archiven, SSH-Keys oder KeePass-Dateien extrahieren.

Wofür man es nutzt

  • Schnelle Erstversuche mit einer Wortliste
  • Hashes aus Archiven und Schlüsseln extrahieren und prüfen
  • Gut für den Einstieg, mit weniger Konfiguration als Hashcat
# Hash aus einem passwortgeschützten ZIP-Archiv extrahieren
zip2john archiv.zip > hash.txt

# Format erkennen lassen und mit einer Wortliste testen
john --wordlist=rockyou.txt hash.txt

# Gefundene Passwörter anzeigen
john --show hash.txt

Hinweis: Gleiche Regeln wie bei Hashcat: nur eigene oder beauftragte Daten verwenden.

Hydra

Einstieg

Brute-Force-Tool für Login-Dienste im Netz, z. B. SSH, FTP, RDP, Telnet oder HTTP-Formulare. Es probiert Kombinationen aus Benutzer- und Passwortlisten.

Wofür man es nutzt

  • Prüfen, ob Standard- oder sehr schwache Zugangsdaten akzeptiert werden
  • Testen, ob Account-Sperren oder Rate-Limits greifen
  • Parallelität mit -t niedrig halten, um den Dienst nicht zu belasten
# Benutzer- und Passwortliste gegen SSH, 4 parallele Verbindungen
hydra -L benutzer.txt -P passwoerter.txt -t 4 ssh://192.0.2.10

Hinweis: Kann Konten sperren und Dienste ausbremsen. Zeitfenster und Schwellen vorher mit dem Auftraggeber klären.

07

Zum Üben

Legale Umgebungen, in denen man die Tools ausprobieren kann, ohne fremde Systeme zu berühren.

Hack The Box

Legale Labormaschinen mit geführten Pfaden und einer großen Community.

TryHackMe

Einsteigerfreundliche Räume mit Schritt-für-Schritt-Anleitung.

OWASP Juice Shop

Bewusst verwundbare Webanwendung von OWASP, lokal per Docker oder Node.js startbar.

DVWA

Damn Vulnerable Web Application: klassische Web-Schwachstellen in vier Sicherheitsstufen.

Metasploitable 2

Absichtlich verwundbare Linux-VM für Übungen mit Metasploit. Nur im isolierten Netz betreiben.