Bezpieczeństwo IT to nie tylko teoria, to przede wszystkim praktyka. A praktyka wymaga odpowiednich narzędzi. Jeśli dopiero zaczynasz przygodę z pentestami lub szukasz darmowych alternatyw dla drogiego oprogramowania komercyjnego, ten wpis jest dla Ciebie.
Zebrałem tutaj zestawienie "must-have" – narzędzi Open Source, które w 2026 roku wciąż stanowią fundament pracy specjalistów od cyberbezpieczeństwa. Co najlepsze – wszystkie są dostępne za darmo.
1. Systemy Operacyjne: Fundament Twojego Laboratorium
Zanim zaczniesz cokolwiek instalować, potrzebujesz odpowiedniego środowiska. Tutaj od lat królują dwie dystrybucje:
- Kali Linux: To w zasadzie standard branżowy. Ogromny "kombajn", który ma preinstalowane niemal wszystko, czego możesz potrzebować. Jeśli idziesz na kurs lub certyfikację, prawdopodobnie będziesz pracować właśnie na Kali.
- Parrot Security OS: Często wybierany jako lżejsza, bardziej przyjazna dla użytkownika alternatywa. Jeśli interfejs Kaliego Cię męczy lub masz słabszy sprzęt, Parrot może być świetnym wyborem.
2. Infrastruktura i Sieć: Recon to Podstawa
Zanim zaatakujesz, musisz wiedzieć co atakujesz. Faza rekonesansu (zobacz nasz przewodnik po OSINT) jest kluczowa.
- Nmap: Absolutna klasyka. Służy do skanowania portów, mapowania sieci i wykrywania usług. Bez Nmapa ani rusz.
- Amass: Potężne narzędzie do OSINT-u i mapowania powierzchni ataku. Agreguje dane z dziesiątek źródeł, by znaleźć każdą subdomenę i adres IP powiązany z celem.
- Wireshark: Jeśli chcesz zobaczyć, co naprawdę dzieje się w sieci, Wireshark jest niezastąpiony do analizy pakietów "pod mikroskopem".
- Responder: Kluczowe narzędzie w testach sieci wewnętrznej. Nasłuchuje zapytań LLMNR/NBT-NS i "odpowiada" na nie, przechwytując hashe NTLM nieświadomych użytkowników.
- Impacket: Zbiór skryptów w Pythonie, bez których trudno wyobrazić sobie nowoczesny pentest Active Directory. Zawiera (słynny)
psexec.py, smbexec.py, secretsdump.py i wiele innych.
- BloodHound: Narzędzie, które zmieniło zasady gry w testach Active Directory. Wizualizuje ścieżki ataku, pokazując, jak najkrótszą drogą dojść od zwykłego użytkownika do Administratora Domeny.
- Mimikatz: Legenda. Pozwala na wyciąganie haseł, haseł w postaci prostego tekstu i ticketów Kerberosa bezpośrednio z pamięci Windowsa.
- OpenVAS: Solidny skaner podatności całej infrastruktury. Świetna, darmowa alternatywa dla płatnego Nessusa.
3. Aplikacje Webowe: Gdzie Najczęściej Leżą Błędy
Web to obecnie najczęstszy wektor ataku. Oto Twój arsenał:
- OWASP ZAP (Zed Attack Proxy): Potężny kombajn. Działa jako proxy, pozwala na automatyczne skanowanie i manualne testy. Godny rywal dla płatnego Burp Suite Pro.
- Burp Suite Community: Darmowa wersja najpopularniejszego narzędzia do web pentestingu. Ma pewne ograniczenia (brak automatycznego skanera), ale do manualnego przechwytywania i modyfikowania zapytań jest niezastąpiony.
- ffuf (Fuzz Faster U Fool): Obecny król fuzzingu webowego. Napisany w Go, niesamowicie szybki. Służy do odkrywania ukrytych katalogów, plików czy parametrów GET/POST.
- SQLMap: Jeśli podejrzewasz SQL Injection, SQLMap automatycznie to potwierdzi i – jeśli to możliwe – wyciągnie dane z bazy.
- Nuclei: Nowoczesny, niesamowicie szybki skaner oparty na szablonach. Kiedy pojawia się nowe CVE, społeczność Nuclei często wypuszcza szablon testowy w ciągu kilku godzin.
- Wapiti: Skaner typu "black box", który sprawdza aplikacje pod kątem znanych podatności poprzez fuzzing formularzy i parametrów.
- Dalfox: Jeśli szukasz XSS-ów (Cross-Site Scripting), Dalfox jest jednym z najlepszych dedykowanych narzędzi do tego celu.
- Nikto: Prosty, ale skuteczny skaner, który sprawdzi konfigurację samego serwera WWW i poszuka starych, zapomnianych plików.
4. Analiza Kodu (SAST): Znajdź Błędy u Źródła aka "Left Shift"
Coraz częściej bezpieczeństwo wchodzi w proces CI/CD. Tutaj przydają się skanery kodu:
- Semgrep: Rewelacyjne narzędzie. Szybkie, wielojęzyczne (Python, Java, JS, Go i inne) i łatwe do dostosowania własnymi regułami.
- SonarQube (Community): Kompleksowa platforma, która ocenia nie tylko bezpieczeństwo, ale i ogólną jakość kodu.
- Gitleaks: Przeszukuje repozytoria git (historię commitów!) w poszukiwaniu przypadkowo wrzuconych haseł, kluczy API czy tokenów.
- Trivy: Kompleksowy skaner dla świata kontenerów. Sprawdzi obrazy Dockera i zależności (biblioteki) pod kątem znanych dziur.
- Bandit: Dedykowany skaner bezpieczeństwa dla kodu w Pythonie.
- SpotBugs + FindSecBugs: Klasyka dla świata Javy. Znajduje typowe błędy bezpieczeństwa w kodzie bajtowym.
5. Łamanie Haseł: Kiedy Bruteforce to Jedyna Droga
Czasami po prostu musisz złamać hasha.
- Hashcat: "Najszybszy łamacz haseł na świecie". Wykorzystuje moc karty graficznej (GPU), co daje mu niesamowite osiągi.
- John the Ripper: Klasyk, świetny do działania offline, głównie na procesorze (CPU). Obsługuje mnóstwo rzadkich formatów hashy.
- Hydra: Jeśli musisz zaatakować formularz logowania online (np. SSH, FTP, formularz WWW) metodą słownikową, Hydra jest narzędziem pierwszego wyboru.
6. Eksploitacja i Inżynieria Wsteczna (Reverse Engineering)
Na koniec – "broń" właściwa i zaglądanie do środka binarek.
- Metasploit Framework: Prawdopodobnie najbardziej znane narzędzie hakerskie na świecie. Ogromna baza gotowych exploitów i payloadów.
- Searchsploit: Pozwala na przeszukiwanie bazy Exploit-DB offline. Niezbędne, gdy audytujesz sieć odciętą od Internetu.
- Ghidra: Potężne narzędzie od NSA udostępnione jako Open Source. Deasembler i dekompilator, który rzucił wyzwanie drogiemu IDA Pro.
7. Inne: Niezbędnik Warsztatowy
- CyberChef: "Scyzoryk szwajcarski" dla danych. Aplikacja webowa (działa też offline), która pozwala na błyskawiczne kodowanie, dekodowanie, szyfrowanie, hashowanie i przekształcanie danych w dowolny sposób. Must-have w zakładkach każdego pentestera.
[!CAUTION]
Ważne ostrzeżenie prawne
Pamiętaj, że posiadanie młotka nie czyni z Ciebie stolarza, ale uderzenie nim sąsiada czyni z Ciebie przestępcę. Używanie tych narzędzi wobec systemów i sieci, do których nie posiadasz wyraźnych uprawnień (najlepiej pisemnej zgody), jest nielegalne. Testuj wyłącznie na własnej infrastrukturze lub w dedykowanych środowiskach (laboratoriach).
Powodzenia w nauce i bezpiecznego hackowania!
