TLDR

  • Si attacca in palestra, non nel mondo reale: un laboratorio isolato ti fa esercitare tecniche offensive reali senza toccare sistemi di altri e senza rischi legali.
  • Il minimo indispensabile: una macchina attaccante (Kali o Parrot) e uno o più bersagli volutamente vulnerabili (Metasploitable 2/3, DVWA, Juice Shop, le VM di VulnHub).
  • La regola che tiene tutto in piedi è la rete: metti attaccante e bersagli in una rete 'host-only' o interna, senza ponte verso Internet o verso la tua LAN di casa.
  • Quando il lab locale ti sta stretto, HackTheBox e TryHackBox ti danno bersagli nuovi, ma restano ambienti autorizzati: è questo che distingue un pentester da un criminale.

Perché conta ora

C'è una frase che gira in ogni corso di sicurezza offensiva: impari ad attaccare per imparare a difendere. È vera, ma manca un pezzo.

Impari ad attaccare in palestra.

Nessuno diventa un buon pentester leggendo. Si diventa bravi provando: lanciando lo scanner, sbagliando il payload, bloccandosi su una privilege escalation per due ore e poi capendo. Il punto è dove lo fai. Esercitarsi su un sistema di qualcun altro, anche "solo per guardare", è un reato in Italia e quasi ovunque. Esercitarsi su una macchina costruita apposta per essere bucata è esattamente quello che fanno i professionisti.

Questa guida apre la sezione Hacking di Able2Code. Qui si attacca sul serio, con i comandi veri, ma dentro un recinto. Montare quel recinto è la prima cosa da fare, e questo è l'articolo da cui partire.

La regola che viene prima di tutto

Prima di scaricare qualsiasi cosa, tieni a mente due confini. Non sono moralismo, sono quello che separa un hobby da un guaio.

Primo: attacchi solo ciò che è tuo o esplicitamente offerto. Le macchine di cui parliamo — Metasploitable, DVWA, le VM di VulnHub, i lab di HackTheBox — esistono per essere attaccate. Scaricandole o iscrivendoti, l'autorizzazione te la stanno dando loro. Un sito a caso, il Wi-Fi del vicino, il gestionale di un'azienda: lì non c'è nessuna autorizzazione, e "volevo solo testare" non è una difesa in tribunale.

Secondo: il laboratorio resta isolato. Una macchina volutamente vulnerabile è un bersaglio anche per chiunque altro. Se finisce raggiungibile da Internet, viene compromessa in fretta e diventa un ponte verso il resto della tua rete. La palestra sta in una stanza chiusa.

Il resto dell'articolo è tecnica. Questi due punti valgono per tutti i pezzi della sezione.

I due mattoni: attaccante e bersaglio

Un laboratorio minimo ha due macchine virtuali.

L'attaccante. Una distribuzione pensata per il pentest, con i tool già pronti:

  • Kali Linux, lo standard di fatto. Scarichi direttamente l'immagine per VirtualBox o VMware dal sito ufficiale.
  • Parrot Security OS, alternativa più leggera e con qualche attenzione in più alla privacy.

Dentro trovi già nmap, Metasploit, Burp Suite, sqlmap, John the Ripper, Hydra, Wireshark e il resto dell'arsenale. Non devi installarli uno per uno.

Il bersaglio. Una o più macchine costruite per cadere:

  • Metasploitable 2: una Linux volutamente piena di servizi vulnerabili, leggerissima. È la prima palestra di tutti. Perfetta per imparare la scansione, l'enumerazione dei servizi e l'uso di Metasploit.
  • Metasploitable 3: più moderna e più vicina a un sistema reale, con versioni Windows e Linux. Più impegnativa da montare, ottima come secondo passo.
  • DVWA (Damn Vulnerable Web Application) e OWASP Juice Shop: due applicazioni web vulnerabili, per allenare SQL injection, XSS, upload malevoli e logiche rotte. Juice Shop in particolare è moderna e piena di sfide a livelli.
  • VulnHub: un catalogo enorme di VM da scaricare, molte in stile "boot2root": accendi, trovi l'IP, e l'obiettivo è arrivare da zero accessi a root.

Virtualizzi tutto con VirtualBox (gratuito) o VMware Workstation Player. Su Apple Silicon la strada più comoda è UTM.

Il cuore del lab: la rete

Qui si gioca la sicurezza di tutto l'esercizio. Le schede di rete delle VM vanno configurate così:

  • Host-only (o "rete interna"): attaccante e bersagli si vedono tra loro e vedono il tuo PC, ma non Internet e non la tua LAN di casa. È la modalità giusta per i bersagli vulnerabili.
  • NAT: dà accesso a Internet ma isola la VM dalla LAN. Comoda sulla macchina attaccante quando devi aggiornare i tool, da spegnere quando attacchi.
  • Bridge: mette la VM sulla tua rete reale. Per i bersagli vulnerabili, da evitare: è esattamente il ponte da non costruire.

Lo schema che funziona: attaccante con due schede (una NAT per aggiornarsi, una host-only per il lab), bersagli con la sola scheda host-only. Così puoi scaricare un exploit aggiornato e poi lanciarlo sul bersaglio che vive in una rete chiusa.

Un controllo rapido prima di cominciare: dalla macchina bersaglio, prova a raggiungere un sito esterno. Se non ci riesce, la rete è isolata come deve.

Il primo contatto: trova e interroga il bersaglio

Con Kali e Metasploitable 2 accesi sulla stessa rete host-only, il primo obiettivo non è bucare niente: è trovare il bersaglio e capire cosa espone.

Scopri quali IP sono vivi sulla rete del lab:

# sostituisci con la sottorete host-only mostrata da "ip a"
nmap -sn 192.168.56.0/24

Trovato l'IP del bersaglio, chiedi quali porte e servizi sono aperti:

nmap -sV -sC 192.168.56.101

-sV identifica la versione di ogni servizio, -sC lancia gli script di base. Su Metasploitable 2 ti ritrovi davanti una lista generosa: FTP, SSH, un web server datato, database esposti. Ogni riga è una porta di studio: prendi la versione del servizio, cercala, scopri a quali vulnerabilità note corrisponde.

Questa è la fase di enumerazione, ed è dove un pentest si vince o si perde. L'exploit vero è spesso la parte più breve: il tempo sta nel capire cosa hai davanti.

La metodologia, in breve

Qualsiasi macchina tu attacchi in palestra, il percorso è sempre lo stesso. Vale la pena averlo chiaro fin dal primo giorno, perché è lo stesso schema di un pentest reale:

  1. Ricognizione: cosa esiste, quali IP, quali servizi.
  2. Enumerazione: versioni, utenti, configurazioni, directory web nascoste.
  3. Exploitation: sfrutti una debolezza per ottenere un primo accesso, spesso con privilegi bassi.
  4. Privilege escalation: da utente limitato a root/Administrator. È la parte che su HackTheBox separa i curiosi dai bravi.
  5. Post-exploitation e reporting: cosa potresti fare adesso e, soprattutto, come lo scriveresti in un report che un'azienda può usare per sistemare le cose.

L'ultimo punto è quello che rende la differenza fuori dalla palestra. Un attaccante buca e se ne va; un pentester buca e poi spiega come richiudere il buco.

Quando il lab locale ti sta stretto

Metasploitable e qualche VM di VulnHub bastano per mesi. Quando li hai finiti, il passo successivo sono le piattaforme online:

  • HackTheBox: centinaia di macchine, dai livelli introduttivi a quelli da incubo, più i percorsi guidati (Academy) se preferisci imparare con una struttura.
  • TryHackMe: più didattico, con "room" tematiche spiegate passo passo. Ottimo come ponte tra il lab locale e HackTheBox.
  • PortSwigger Web Security Academy: gratuita, è il riferimento per il lato web. I suoi lab sono costruiti dagli autori di Burp Suite.
  • CTF: le competizioni Capture The Flag (su piattaforme come CTFtime trovi il calendario) sono palestra pura, a tempo, spesso in squadra.

Tutte queste hanno una cosa in comune: sei dentro un ambiente che ti autorizza. È lo stesso principio del lab in casa, solo con bersagli che non devi mantenere tu.

Errori comuni

"Tanto è solo una prova, la metto in bridge." È il modo più rapido per farti bucare la macchina da qualcun altro e trasformare il tuo lab in un problema per la tua rete. Host-only, sempre, per i bersagli.

"Ho lanciato l'exploit e non funziona, passo al prossimo." Nove volte su dieci non hai enumerato abbastanza. La versione esatta del servizio, un parametro, una directory nascosta: la risposta è quasi sempre nella fase che hai saltato.

"Seguo il write-up e copio i comandi." All'inizio va bene, ma se non capisci perché un comando funziona, su una macchina nuova sei fermo. Usa i write-up per sbloccarti, non per saltare il ragionamento.

"Il lab è isolato, quindi posso scaricare qualsiasi cosa sul bersaglio." Attento a cosa fai girare anche in palestra: tratta gli eseguibili sconosciuti con la stessa diffidenza che avresti su una macchina vera. Le buone abitudini si prendono qui.

La cosa da ricordare

Il laboratorio è la differenza tra studiare l'hacking ed essere un problema. Due macchine, una rete chiusa, bersagli che ti danno il permesso di attaccarli: con questo hai tutto quello che serve per imparare sul serio, comandi veri inclusi, senza rischi legali e senza toccare sistemi di altri.

Da qui parte la sezione. Nei prossimi pezzi entriamo nelle singole palestre con i comandi alla mano.

Se non hai ancora l'attaccante pronto, parti da Kali Linux 2026.2: la workstation per HackTheBox e Metasploit e da Metasploitable3: la palestra con Metasploit prima di HackTheBox. Per il lato difensivo, HackTheBox Sherlocks: leggere un attacco dai log con il blue team mostra l'altra metà del mestiere.

FAQ

Fare hacking su queste macchine è legale?

Sì, se attacchi sistemi tuoi o esplicitamente pensati per essere attaccati. Metasploitable, DVWA, le VM di VulnHub e i lab di HackTheBox esistono apposta e ti danno l'autorizzazione. Attaccare un sistema di terzi senza permesso scritto è reato, anche se 'volevi solo provare'.

Che differenza c'è tra Metasploitable e HackTheBox?

Metasploitable è una macchina virtuale che scarichi e fai girare sul tuo PC, in totale isolamento. HackTheBox è una piattaforma online con centinaia di macchine sempre nuove, utile quando il lab locale non basta più. La prima è la palestra sotto casa, la seconda la palestra attrezzata.

Mi serve un PC potente?

No. Kali più una o due VM vulnerabili girano bene con 8-16 GB di RAM. Metasploitable 2 è leggerissima. Se la macchina fatica, accendi un bersaglio alla volta invece di tenerli tutti attivi.

Perché la rete del laboratorio deve essere isolata?

Perché una macchina volutamente vulnerabile è un invito aperto. Se la esponi a Internet, in poche ore la compromette qualcun altro, e diventa un trampolino per attaccare il resto della tua rete. Host-only o rete interna la tengono raggiungibile solo dall'attaccante.

Da dove comincio se non ho mai fatto niente del genere?

Kali più Metasploitable 2, stessa rete host-only, e il tuo primo obiettivo è semplicemente trovare l'IP del bersaglio con nmap. Poi DVWA per il lato web. I write-up 'facili' di HackTheBox e le room introduttive di TryHackMe fanno il resto.

Fonti