Pentest Agressivo: Você foi descoberto! (nmap, whatweb, gobuster, FFUF, nikto)

O que é um pentest agressivo

Um pentest agressivo é uma abordagem de teste de penetração que prioriza a velocidade e a cobertura completa sobre o sigilo. Neste vídeo, o instrutor Fabrizio Rodrigues demonstra na prática como ferramentas de scanning e enumeração, quando configuradas em modo agressivo, geram um volume intenso e facilmente identificável de tráfego de rede. A proposta central é educacional: mostrar que um pentester que não controla a quantidade de requisições, a velocidade de execução e o padrão de comportamento na rede acaba deixando rastros claros e óbvios para serem detectados por sistemas de defesa como IDS (Intrusion Detection System), IPS (Intrusion Prevention System), WAF (Web Application Firewall) e analistas de segurança.

Ambiente de demonstração controlado

Para garantir que todo o conteúdo fosse demonstrado de forma segura e autorizada, o instrutor montou um ambiente isolado com máquinas virtuais dedicadas. O ambiente inclui uma VM Kali Linux atuando como máquina atacante, uma VM Windows 10 com DVWA (Damn Vulnerable Web Application) como alvo, e o Windows 11 como máquina hospedeira. O DVWA é uma aplicação web propositalmente vulnerável, criada para fins educacionais e de treinamento em segurança ofensiva. Além disso, o Wireshark foi configurado para capturar todo o tráfego gerado durante os testes, permitindo visualizar e analisar cada pacote enviado e recebido.

Nmap: scanner de portas e detecção

O primeiro scanner demonstrado é o Nmap, uma das ferramentas mais populares para descoberta de hosts e mapeamento de serviços em uma rede. No modo agressivo, o Nmap realiza uma varredura de portas com intensidade máxima, enviando pacotes rapidamente e sem pausas entre as requisições. Durante a execução, o Wireshark captura o comportamento: uma quantidade massiva de requisições ICMP, TCP e UDP sendo enviadas em sequência, criando um padrão de tráfego muito óbvio. Qualquer IDS ou analista observando o fluxo de rede conseguirá identificar instantaneamente que um scan está em andamento, simplesmente pela quantidade e ritmo de pacotes.

WhatWeb: fingerprinting e identificação de tecnologias

O WhatWeb é um scanner web especializado em fingerprinting, ou seja, em identificar as tecnologias, frameworks e versões específicas que estão rodando no servidor web alvo. Em modo agressivo, o WhatWeb envia múltiplas requisições HTTP com diferentes payloads e padrões de busca para coletar informações sobre o servidor. O resultado visível no Wireshark mostra um padrão repetitivo e identitário de requisições HTTP, todas originadas da mesma máquina atacante em um curto período de tempo. Sistemas de defesa conseguem facilmente reconhecer esse padrão como um scanner automatizado.

Gobuster e FFUF: enumeração agressiva de diretórios

Gobuster e FFUF são ferramentas especializadas em enumeração de diretórios e conteúdo web, realizando basicamente um ataque de força bruta contra caminhos conhecidos e desconhecidos no servidor. Quando configuradas em modo agressivo, ambas disparam centenas ou milhares de requisições HTTP em paralelo, testando listas de dicionários e padrões fuzzy contra o servidor alvo. O tráfego capturado pelo Wireshark revela um fluxo contínuo de requisições GET, frequentemente recebendo respostas 404 (Not Found), 200 (OK) ou outras códigos de status. O padrão é extremamente óbvio: muitas requisições em pouco tempo, vindas da mesma origem, direcionadas a caminhos não comuns, formando um comportamento que nenhum cliente humano reproduziria naturalmente.

Nikto: scanning de vulnerabilidades web

O Nikto é um scanner web especializado em identificar configurações inseguras, plugins desatualizados, padrões de segurança conhecidos e vulnerabilidades comuns em servidores web. Quando executado em modo agressivo, o Nikto dispara uma bateria completa de testes contra o alvo, gerando centenas de requisições com payloads específicos e tentativas de bypass. O tráfego capturado no Wireshark durante a execução do Nikto mostra um padrão ainda mais denso e reconhecível: requisições com user agents especiais, tentativas de acesso a arquivos administrativos conhecidos, e comportamentos claramente associados a scanners automatizados.

Análise cruzada e conclusões

Ao final do vídeo, o instrutor cruza as evidências coletadas pelo Wireshark com a saída de cada ferramenta, demonstrando como cada scanner deixa assinaturas únicas e identificáveis no tráfego de rede. A lição central é que um pentest agressivo, embora possa ser rápido e abrangente, é facilmente detectável. Qualquer sistema de defesa bem configurado conseguirá identificar o ataque em tempo real ou após análise forense. O vídeo conclui reforçando que éntender o tráfego gerado é tão importante quanto dominar as ferramentas em si, e anuncia que a próxima sequência abordará pentest furtivo, focando em técnicas para reduzir o ruído e se manter invisível durante a varredura.