Introducao Ao Pentest

O que acontece quando você entra numa rede e não sabe o que procurar

A primeira vez que fiz um teste de penetração real, pensei que seria como nos filmes: digitava comandos rápidos, a tela ficava verde, ponto final. Na prática, passei duas semanas tentando entender por que o nmap só retornava portas filtradas em um servidor Debian 11 que eu sabia estar aberto. O problema era uma regra de iptables mal configurada no host, não no serviço em si. Aprendi dessa forma dura que o cenário brasileiro de infraestrutura é uma confusão de NAT duplo, firewalls legados e ISPs que não documentam nada.

introducao ao pentest: o caminho que funciona

Pentest, ou teste de penetração, é basicamente a simulação autorizada de um ataque real contra sistemas, redes ou aplicações, com o objetivo de encontrar vulnerabilidades antes que alguém malo descubra. Diferente de um scan automático, um teste sério envolve análise manual, enumeração criativa e, muitas vezes, semanas de observação passiva antes de tocar em qualquer coisa. Eu comecei errando feitiçaria. Comprava VMs prontas no TryHackMe, passava os dias tentando rootear máquinas como se fosse um jogo, e achava que estava pronto para o mercado. A verdade é que TryHackMe e Hack The Box são ferramentas excelentes para fixar conceitos, mas o mundo real é bem mais chato e lento. Não tem timer, não tem flag no /root/flag.txt, e o cara que você está testando pode ter uma política de monitoramento ativo que te flagra em três horas se você escanear a porta errada no horário errado.

Um insight que ninguém conta no tutorial básico: a maior parte do tempo em um pentest profissional não é gasta explorando. É gasta documentando, mapeando, esperando e, principalmente, descartando hipóteses erradas. Num teste que fiz num datacenter em São Paulo, identifiquei uma URL de administração que parecia vulnerável a login por força bruta. Passei seis horas configurando um wordlist customizada com termos específicos do setor da empresa. No final, o sistema simplesmente retornava erro 403 para qualquer tentativa. O problema nunca foi o login. Era um certificado SSL autoassinado mal configurado que expunha informações do servidor Apache na resposta de erro. A vulnerabilidade real estava exposta, mas ninguém pensaria em olhar pra lá porque o foco natural ia pro campo de autenticação. Isso é o que separa o amador do profissional. Amador vê um botão de login e pensa em quebrar a senha. Profissional vê o mesmo botão e pensa em tudo mais que o servidor revela ao redor dele.

As fases que realmente importam

O padrão da indústria segue um ciclo que a maioria dos tutoriais resume mal. Vamos ser práticos. Reconhecimento passivo vem antes de qualquer scan. Você coleta inteligência sobre o alvo usando fontes públicas: WHOIS, DNS records, Wayback Machine, repositórios GitHub, perfis de funcionários no LinkedIn, documentos públicos da empresa. Isso pode levar dias. Numa oportunidade que peguei, encontrei um endpoint interno exposto porque um desenvolvedor havia deixado um arquivo debug.log no repositório público do projeto, linkado num comentário de Stack Overflow de 2019. Nenhuma ferramenta automática encontraria isso se você não soubesse onde procurar.

Escaneamento ativo vem depois. Ferramentas como nmap, masscan e sublist3r entram aqui. Mas o segredo é saber configurar o nmap direito. Scan rápido com -sS -p- não é solução pra tudo. Em redes com IDS ativo, você precisa ajustar timing templates, usar fragmentação de pacotes e espalhar o scan ao longo de horas. Eu já vi gente fazer scan completo em minutos e ser imediatamente isolada pelo SOC do cliente. O scan mais eficiente é aquele que não levanta bandeira. Exploração é a parte que todo mundo quer fazer, mas que representa talvez 20 por cento do trabalho real. Depois de mapear o terreno, você identifica vetores de entrada, testa exploits conhecidos e, quando possível, constrói exploits customizados. Aqui o conhecimento de scripting em Python e Bash faz diferença enorme. Não adianta só rodar Metasploit. O framework é útil para validação, mas a exploração manual é o que gera resultados únicos.

Pós-exploração e persistência é onde testes amadores travam. Conseguir acesso é uma coisa. Manter acesso de forma que não seja detectada e que funcione mesmo se o serviço reiniciar é outra. Rootkits, backdoors via crontab, tunnels SSH reversos, bind shells em portas altas — cada técnica tem seu trade-off entre discrição e estabilidade. Relatório é a parte mais subestimada e a que mais define seu valor no mercado. Um relatório ruim pode fazer um cliente ignorar uma vulnerabilidade crítica. Um relatório bom transforma um teste técnico em ação concreta. Você precisa descrever o impacto empresarial, não só o técnico. "RCE no servidor web" é fraco. "RCE que permite acesso direto à base de dados com dados de 47 mil clientes" é forte.

Ferramentas que eu uso todos os dias

Vou listar o que realmente importa, sem romantismo. nmap. Você vai usar isso até cansar. Domine os scripts NSE, saiba quando usar -O, -sV e -A, e entenda as limitações de cada flag. O nmap é lento em scans completos de rede grande, então eu uso masscan primeiro pra mapear portas abertas em faixas amplas, e aí entro com nmap nos alvos específicos.

Burp Suite. Essencial para testes em aplicações web. A versão Community é suficiente pra começar, mas a Professional tem recursos de intruder e repeater que economizam horas. Se você trabalha com API REST, o Proxy e o Sequencer do Burp vão salvar sua vida. John the Ripper e hashcat. Para quebra de senhas e hashes. Hashcat é mais rápido por usar GPU, mas John ainda tem utilidade em cenários específicos onde a velocidade não é crítica e a compatibilidade de formatos sim.

Metasploit Framework. Ótimo para prototipagem e validação de exploits. Não é bala de prata. Muitas vezes, adaptar um exploit do Msf pra rodar manualmente é mais eficiente do que confiar no módulo pronto, especialmente em ambientes com WAF ou proteção contra fuzzing. Gobuster e Dirb. Enumeração de diretórios e arquivos em servidores web. Gobuster com wordlists customizadas é muito mais eficiente do que usar listas genéricas. Eu sempre monto my wordlist combinando termos do setor da empresa + padrões comuns de desenvolvimento (.php, .bak, .sql, .env, .config).

Wireshark. Análise de tráfego de rede. Você vai usar isso pra entender como os protocolos se comportam, capturar credenciais em e validar se suas explorações estão funcionando como esperado.

O erro que mais vejo iniciantes cometerem

A maioria tenta aprender pentest pela documentação oficial e tutoriais de YouTube. Isso é incompleto. A prática real acontece em ambientes controlados. Monte sua própria rede doméstica com Kali Linux, VirtualBox e máquinas vulneráveis como Metasploitable, DVWA e WebGoat. Faça testes em seus próprios sistemas antes de colocar a mão em qualquer coisa que não seja sua. Legalidade é otro ponto crítico. Testar sem autorização é crime em praticamente qualquer jurisdição. No Brasil, a Lei Carolina Dieckmann (12.737/2012) pune invasão de dispositivos informaticos com reclusão de um a quatro anos. Mesmo que seu intuito seja bom, entrar em qualquer rede sem contrato assinado pode te colocar na cadeia.

Certificações ajudam, mas não são garantia de competência. O CEH é reconhecido por empresas grandes que contratam para compliance, mas o mercado de segurança séri preferencia quem sabe resolver problemas reais. ECPPT da eLearnSecurity é mais respeitadi no meio técnico. O OSCP, embora caro e exigente, continua sendo o padrão de ouro para quem quer provar que consegue fazer o trabalho sozinho, sem de ferramentas automatizadas.

A verdade sobre o mercado brasileiro

O Brasil tem uma demanda crescente por profissionais de segurança, mas o nível médio das equipes é baixo. Muitas empresas contratam consultorias estrangeiras porque não encontram talento local com experiência prática. Isso é uma oportunidade, mas também significa que você vai competir com gente que estudou nos Estados Unidos e Europa, onde os materiais são mais maduros. Para se destacar, foque em especialização. Pentest em aplicações web é um mercado saturado de iniciantes. Pentest em infraestrutura industrial, sistemas embarcados e IoT é um campo quase vazio de profissionais qualificados no país. Um colega meu que fez curso de segurança em SCADA e OT conseguiu uma vaga pagando 40 por cento acima da média de mercado porque literalmente não existia ninguém no Brasil com aquele perfil.

O caminho é sólido, mas exige paciência. Não existe atalho. Você vai passar meses estudando redes, sistemas operacionais, protocolos e linguagens de programação antes de se sentir confortável com qualquer ferramenta de pentest. E mesmo depois disso, vai continuar aprendendo todo dia. O campo muda rápido, novos vetores de ataque aparecem constantemente, e o que funcionava mês passado pode não funcionar mais hoje. Se você quiser começar agora, recomendo passos práticos:

Primeiro, instale Kali Linux numa VM e domine o terminal. Se você não souber navegar no Linux sem mouse, vai travar em qualquer cenário real. Segando, complete o caminho "Jr Penetration Tester" da eLearnSecurity. É um curso barato que cobra na prática, não na teoria. Terceiro, contribua com bug bounties em plataformas como HackerOne e Bugcrowd. Mesmo que você não encontre nada no começo, o processo de tentativa e erro é onde você realmente aprende. A área é desafiadora, frustrante e extremamente recompensadora quando você finally descobre aquela falha que ninguém mais viu. Não espere dominar tudo em três meses. Espere levar anos, mas valer cada hora.