Steeds meer security auditors, pentesters en beveiligingsprofessionals zijn voor het hacken van systemen afhankelijk van geautomatiseerde exploit tools, terwijl goede beveiligers ook hun hersens voor het hacken moeten gebruiken. Pentesting tools kunnen nooit alle lekken vinden. "Mensen moeten hun kop voor het hacken van dingen gebruiken, niet alleen een programma," zegt de bekende beveiligingsonderzoeker en Metasploit ontwikkelaar HD Moore.

Volgens Moore missen pentesters, als ze zich alleen op exploits en beveiligingslekken richten, meer basale gaten in de infrastructuur. "Pen-tests moeten bijna altijd gerichte aanvallen tegen specifieke services, applicaties of mensen zijn. Een quick scan gevolgd door een exploit tool is geen pen-test."

Moore zal deze week tijdens de Black Hat conferentie demonstreren hoe je zonder exploits kunt hacken. "Het gaat om tactische aanvalsmethodes die geen typische exploitcode gebruiken. "Het gaat om het binnenkomen zonder het misbruiken van standaard lekken. Bijvoorbeeld het misbruiken van vertrouwensrelaties, profilen van een service om te bepalen wanneer een actie wordt uitgevoerd, om dan een kwetsbaarheid in het protocol aan te vallen."