เครื่องมือ Pentest ยอดนิยม — Pentester มืออาชีพใช้อะไรบ้าง
เครื่องมือ (Tools) เป็นหนึ่งในคำถามที่พบบ่อยที่สุดเกี่ยวกับ Pentest: “ใช้เครื่องมืออะไรบ้าง?” บทความนี้รวบรวมเครื่องมือที่ Pentester มืออาชีพใช้จริงในแต่ละขั้นตอน พร้อมคำอธิบายว่าทำไมเครื่องมือเป็นเพียงส่วนหนึ่ง และ Manual Testing โดยผู้เชี่ยวชาญสำคัญกว่าเครื่องมือ
ข้อควรเข้าใจก่อน: เครื่องมือ ≠ Pentest
NIST SP 800-115 (Technical Guide to Information Security Testing and Assessment) ระบุว่าการทดสอบเจาะระบบคือกระบวนการที่ ผู้ทดสอบใช้ทักษะและประสบการณ์ เพื่อจำลองการโจมตีจริง ไม่ใช่แค่การรันเครื่องมือ [1] เครื่องมือช่วยเพิ่มประสิทธิภาพ แต่สิ่งที่ทำให้ Pentest แตกต่างจาก Automated Vulnerability Scan คือความสามารถของผู้ทดสอบในการ:
- เข้าใจ Business Logic และ Attack Surface เฉพาะขององค์กร
- Chain ช่องโหว่หลายจุดเข้าด้วยกัน
- ทดสอบสถานการณ์ที่เครื่องมืออัตโนมัติไม่ครอบคลุม
- แยกแยะ False Positive จากช่องโหว่จริง
1. Reconnaissance — เครื่องมือสำรวจเป้าหมาย
ขั้นตอนแรกของ Pentest คือการรวบรวมข้อมูลเกี่ยวกับเป้าหมาย (Information Gathering) ตาม PTES (Penetration Testing Execution Standard) [2]
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Nmap | Open Source | สแกนพอร์ตและบริการ (Port & Service Scanning) ค้นหาระบบปฏิบัติการ ทำ Network Mapping เป็นเครื่องมือพื้นฐานที่สุดของ Pentester ทุกคน |
| Shodan | Commercial (Free Tier) | Search Engine สำหรับอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต ค้นหา Server, IoT, Camera, SCADA ที่เปิดเผยสู่สาธารณะ |
| theHarvester | Open Source | รวบรวม Email, Subdomain, IP จากแหล่งข้อมูลสาธารณะ (OSINT) เช่น Search Engine, DNS, Certificate Transparency |
| Amass | Open Source (OWASP) | ค้นหา Subdomain แบบครอบคลุมด้วยเทคนิค DNS Enumeration, Web Scraping และ API Integration |
| Maltego | Commercial (Community Edition ฟรี) | ทำ OSINT แบบ Visual โดยเชื่อมโยงความสัมพันธ์ระหว่าง Domain, IP, Email, Person |
2. Web Application — เครื่องมือทดสอบเว็บแอปพลิเคชัน
การทดสอบเว็บแอปพลิเคชันเป็นส่วนที่พบช่องโหว่มากที่สุด โดย OWASP Testing Guide v4.2 เป็นกรอบอ้างอิงหลัก [3]
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Burp Suite Professional | Commercial | Intercepting Proxy อันดับหนึ่ง สำหรับดักจับ แก้ไข และวิเคราะห์ HTTP Request/Response มี Scanner, Intruder, Repeater และ Extension มากมาย |
| OWASP ZAP | Open Source (OWASP) | Intercepting Proxy ที่เป็น Open Source ทดแทน Burp Suite ได้ เหมาะสำหรับ Automated Scanning และ CI/CD Integration |
| SQLMap | Open Source | เครื่องมือเฉพาะทางสำหรับตรวจจับและ Exploit ช่องโหว่ SQL Injection แบบอัตโนมัติ รองรับฐานข้อมูลหลายประเภท |
| Nuclei | Open Source (ProjectDiscovery) | Template-based Vulnerability Scanner ที่มีชุมชนจัดทำ Template มากกว่า 8,000+ รายการ เร็วและปรับแต่งได้ง่าย |
| ffuf | Open Source | Fuzzer สำหรับค้นหา Hidden Path, Directory, Parameter ด้วยความเร็วสูง เขียนด้วย Go |
| Postman / httpx | ผสม | ทดสอบ API Endpoint ตรวจสอบ Authentication, Authorization และ Input Validation |
3. Network / Infrastructure — เครื่องมือทดสอบระบบเครือข่าย
การทดสอบระดับ Network มุ่งเน้นที่ Internal Network, Active Directory และ Infrastructure Services ดูบริการ Network Pentest ของ ITSL
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Metasploit Framework | Open Source (Pro = Commercial) | Framework สำหรับการ Exploit ที่ครอบคลุมที่สุด มี Module มากกว่า 2,000+ รายการ รองรับทั้ง Exploit, Payload และ Post-exploitation |
| CrackMapExec (NetExec) | Open Source | เครื่องมือ Post-exploitation สำหรับ Active Directory ทำ Credential Testing, Share Enumeration, Command Execution บนหลาย Host พร้อมกัน |
| Impacket | Open Source | ชุดเครื่องมือ Python สำหรับทำงานกับ Network Protocol ระดับล่าง เช่น SMB, LDAP, Kerberos, WMI ใช้ทำ Kerberoasting, Pass-the-Hash, DCSync |
| Responder | Open Source | ดักจับ Credential จาก LLMNR, NBT-NS และ MDNS Poisoning ใน Local Network เครื่องมือสำคัญสำหรับ Internal Pentest |
| BloodHound | Open Source | วิเคราะห์ Attack Path ใน Active Directory แบบ Visual แสดงเส้นทางจาก User ธรรมดาสู่ Domain Admin |
| Wireshark | Open Source | วิเคราะห์ Network Traffic ในระดับ Packet ใช้ตรวจสอบ Clear-text Protocol, Credential Leak และ Anomaly |
4. Mobile Application — เครื่องมือทดสอบแอปมือถือ
การทดสอบแอปมือถือครอบคลุมทั้ง Android และ iOS โดยอ้างอิง OWASP Mobile Application Security Testing Guide (MASTG) [4]
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Frida | Open Source | Dynamic Instrumentation Toolkit สำหรับ Hook Function, Bypass SSL Pinning, ดัดแปลง Runtime Behavior ของแอป |
| Objection | Open Source | สร้างบน Frida เพิ่มชุดคำสั่งสำเร็จรูปสำหรับ Bypass SSL Pinning, Root Detection, Explore Filesystem |
| MobSF | Open Source | Mobile Security Framework ทำ Static และ Dynamic Analysis แอป Android/iOS แบบอัตโนมัติ |
| jadx | Open Source | Decompiler สำหรับ Android APK แปลง DEX กลับเป็น Java Source Code เพื่อวิเคราะห์ Logic |
| apktool | Open Source | Reverse Engineering เครื่องมือ Android ถอด APK ดู Resource, Manifest และ Smali Code |
| Ghidra | Open Source (NSA) | Reverse Engineering Framework สำหรับวิเคราะห์ Native Library (.so/.dylib) ในแอปมือถือ |
5. Password / Credential — เครื่องมือทดสอบรหัสผ่าน
การทดสอบรหัสผ่านเป็นส่วนสำคัญ เนื่องจาก Credential Abuse ยังเป็นช่องทางเริ่มต้นอันดับหนึ่งของการโจมตี ตาม Verizon DBIR 2025 [5]
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Hashcat | Open Source | ถอดรหัส Hash ด้วย GPU Acceleration รองรับ Hash Type มากกว่า 350+ ประเภท เร็วที่สุดในปัจจุบัน |
| John the Ripper | Open Source | ถอดรหัส Hash แบบ CPU-based รองรับหลายแพลตฟอร์ม มี Wordlist Rule ที่หลากหลาย |
| Hydra | Open Source | Brute-force Login สำหรับ Protocol ต่าง ๆ เช่น SSH, FTP, HTTP, RDP, SMB |
| CeWL | Open Source | สร้าง Wordlist จากเว็บไซต์เป้าหมาย เพื่อใช้ถอดรหัสรหัสผ่านที่เกี่ยวข้องกับองค์กร |
6. Wireless — เครื่องมือทดสอบระบบไร้สาย
| เครื่องมือ | ประเภท | ใช้ทำอะไร |
|---|---|---|
| Aircrack-ng | Open Source | ชุดเครื่องมือทดสอบ WiFi ครบวงจร ทำ Packet Capture, Deauthentication, WPA/WPA2 Cracking |
| Eaphammer | Open Source | ทำ Evil Twin Attack สำหรับ WPA2-Enterprise ดักจับ Credential ผ่าน Rogue Access Point |
| Kismet | Open Source | Wireless Network Detector และ Sniffer ตรวจจับ Access Point, Hidden SSID, Bluetooth |
| Wifite | Open Source | Automated Wireless Auditing ทำ WPS, WPA, WEP Cracking แบบอัตโนมัติ |
7. Reporting — การรายงานผล
เครื่องมือที่ดีที่สุดไม่มีประโยชน์ถ้ารายงานไม่ดี รายงาน Pentest ที่มีคุณภาพควรประกอบด้วย:
- Executive Summary — สรุปผลสำหรับผู้บริหาร ระบุความเสี่ยงภาพรวมและข้อเสนอแนะหลัก
- Technical Findings — รายละเอียดช่องโหว่แต่ละรายการ พร้อม CVSS Score, Proof of Concept, ขั้นตอนทำซ้ำ และคำแนะนำการแก้ไข
- Attack Narrative — เรื่องราวการโจมตีตั้งแต่ต้นจนจบ แสดง Attack Chain ที่ทำได้จริง
- Remediation Roadmap — แผนแก้ไขที่จัดลำดับตามความรุนแรงและความง่ายในการแก้ไข
เครื่องมือช่วยจัดทำรายงาน ได้แก่ Ghostwriter (Open Source) สำหรับจัดการโครงการ Pentest, SysReptor สำหรับสร้างรายงาน และ Custom Template ที่ปรับตามมาตรฐานองค์กร
สิ่งที่เครื่องมืออัตโนมัติทำไม่ได้
OWASP Testing Guide v4.2 ระบุช่องโหว่หลายประเภทที่ต้องใช้ Manual Testing [3]:
- Business Logic Flaw — ช่องโหว่ที่เกิดจากข้อผิดพลาดในกระบวนการทางธุรกิจ เช่น สั่งซื้อสินค้าราคาติดลบ
- Race Condition — ช่องโหว่จากการทำรายการพร้อมกัน เช่น ถอนเงินซ้ำ
- Authorization Bypass — การข้ามสิทธิ์เข้าถึงข้อมูลของผู้ใช้อื่น (IDOR)
- Chained Vulnerabilities — การเชื่อมต่อช่องโหว่ระดับต่ำหลายจุดเพื่อให้เกิดผลกระทบระดับสูง
- Context-specific Attacks — การโจมตีที่ต้องเข้าใจบริบทเฉพาะขององค์กร เช่น Workflow Abuse
สรุป: เครื่องมือเป็นแค่ “มือ” ของ Pentester ทักษะ ประสบการณ์ และความเข้าใจทางธุรกิจคือ “สมอง” ที่ทำให้ Pentest มีคุณค่า
ITSL ใช้เครื่องมือผสม Manual Testing
ITSL ใช้เครื่องมือทุกประเภทที่กล่าวมาข้างต้น ผสมกับ Manual Testing โดยผู้เชี่ยวชาญที่ได้รับ Certification ระดับสากล ดูบริการ Web Pentest, Network Pentest หรือเริ่มต้นเรียนรู้กับ หลักสูตร Basic Pentest ของเรา
แหล่งอ้างอิง
- NIST. SP 800-115: Technical Guide to Information Security Testing and Assessment. https://csrc.nist.gov/publications/detail/sp/800-115/final
- PTES. Penetration Testing Execution Standard — Intelligence Gathering. http://www.pentest-standard.org/
- OWASP. Web Security Testing Guide (WSTG) v4.2. https://owasp.org/www-project-web-security-testing-guide/
- OWASP. Mobile Application Security Testing Guide (MASTG). https://mas.owasp.org/MASTG/
- Verizon. 2025 Data Breach Investigations Report (DBIR). https://www.verizon.com/business/resources/reports/dbir/