TLDR

  • La ricognizione è la prima fase di ogni attacco: prima di toccare un sistema, un pentester raccoglie tutto ciò che è pubblico. È anche la fase più sottovalutata da chi comincia.
  • Recon-ng è un framework OSINT con la logica di Metasploit: moduli, workspace, un database che tiene insieme domini, host, email e credenziali trovate.
  • In palestra lo usi su un dominio tuo o su un bersaglio esplicitamente autorizzato: l'OSINT su terzi senza permesso, anche se usa solo dati pubblici, è un problema legale ed etico.
  • La lezione difensiva è immediata: tutto ciò che Recon-ng raccoglie su di te è la tua superficie d'attacco. Ridurla è un esercizio di igiene, non di paranoia.

Perché conta ora

Chi comincia a studiare la sicurezza offensiva vuole subito l'exploit. Ma gli attacchi veri non iniziano con un exploit: iniziano con settimane di ricognizione. Prima di toccare un sistema, chi attacca sa già quanti server espone, quali sottodomini ha dimenticato di spegnere, quali email dei dipendenti girano in vecchie fughe di dati.

Questa fase si chiama ricognizione, o footprinting. È silenziosa, non lascia tracce sui sistemi del bersaglio perché non li tocca: raccoglie solo ciò che è già pubblico. Ed è la fase che, più di ogni altra, separa chi improvvisa da chi lavora con metodo.

Prima di cominciare, il confine: tutto ciò che segue vale su un bersaglio tuo o esplicitamente autorizzato. Profilare un'organizzazione terza, anche solo con dati pubblici, non è un gioco innocente. In palestra si usa un dominio proprio o un ambiente pensato per l'addestramento, esattamente come per le macchine vulnerabili del laboratorio.

Cos'è Recon-ng

Se hai già visto Metasploit, ti troverai a casa. Recon-ng ha la stessa logica: una console, dei moduli che fanno un lavoro ciascuno, un database che tiene insieme tutto quello che trovi. La differenza è lo scopo: Metasploit sfrutta, Recon-ng raccoglie.

Lo avvii dalla console:

recon-ng

Il primo concetto è il workspace: un contenitore per una singola indagine, con il suo database separato. Ne crei uno per il bersaglio su cui lavori:

workspaces create lab-target

Da qui, tutto quello che raccoglierai — domini, host, email — resterà ordinato in questo spazio, collegato tra sé.

Passo 1: il punto di partenza

Ogni ricognizione parte da un seme: di solito un nome di dominio. Lo inserisci nel database come primo tassello:

db insert domains

Recon-ng ti chiede il dominio e lo salva. Da questo singolo dato, i moduli lavoreranno per espanderlo in una mappa.

Passo 2: dai moduli alla mappa

I moduli si cercano e si caricano come in Metasploit. Vediamo quelli di partenza, che lavorano sui dati già pubblici.

Per scoprire i sottodomini a partire dai certificati TLS pubblici (ogni certificato emesso finisce in registri consultabili da chiunque):

marketplace search certificate
modules load recon/domains-hosts/certificate_transparency
run

Il modulo interroga i registri di certificate transparency e riempie la tabella degli host con i sottodomini trovati. È il modo più pulito per capire quanto è ampia la superficie di un dominio: spesso emergono vpn., test., old., dev. — nomi che raccontano server dimenticati.

Guardi cosa hai raccolto:

show hosts

La lista cresce da sola. Ogni riga è un host reale, collegato nel database al dominio di partenza.

Passo 3: incrociare le informazioni

La forza di Recon-ng è che un risultato alimenta il successivo. Dai sottodomini puoi risolvere gli indirizzi IP, dagli IP risalire alle reti, dal dominio cercare indirizzi email dei referenti pubblici. Ogni modulo prende ciò che è già nel database e aggiunge un livello.

Questo è il senso della ricognizione strutturata: non una ricerca isolata, ma una rete di dati che si tengono. Alla fine hai una fotografia del bersaglio molto più ricca di quanto chiunque, dall'esterno, immaginerebbe di star mostrando.

Passo 4: il report

Recon-ng chiude il cerchio con i moduli di reporting, che trasformano il database in un documento leggibile:

modules load reporting/html
options set FILENAME ~/lab-target-report.html
run

Ottieni un report HTML con host, email e dati raccolti. In un pentest reale, questo è l'allegato che apre l'ingaggio: ecco tutto ciò che il bersaglio espone senza saperlo.

Cosa hai imparato davvero

Non hai attaccato niente. Eppure, se hai lavorato su un dominio con una storia, probabilmente hai trovato più di quanto il suo proprietario si aspetti: un sottodominio di test ancora in piedi, un server che doveva essere spento, un indirizzo email in un archivio pubblico.

Questo è il punto. La ricognizione non buca nulla: mostra. E ciò che mostra è la vera lista della spesa di chi attacca. L'exploit, dopo, è solo l'ultimo passo su un bersaglio che è già stato studiato a fondo.

La lettura difensiva

Giriamo Recon-ng contro noi stessi: tutto quello che raccoglie su di te è la tua superficie d'attacco. Ridurla è l'esercizio difensivo più diretto che esista.

  • Spegni ciò che non serve. Il sottodominio test. di tre anni fa, la VPN dismessa, il vecchio portale: ogni host pubblico che non ha più una funzione è solo un bersaglio in più. La ricognizione li trova per primi.
  • Sappi cosa esponi. Fai tu stesso, periodicamente, la ricognizione sui tuoi domini. Non puoi proteggere una superficie che non conosci. Molte compromissioni partono da un server che nessuno ricordava di avere acceso.
  • Tratta le email come dati sensibili. Gli indirizzi dei dipendenti sono la materia prima del phishing. Sapere quali sono già pubblici aiuta a formare le persone giuste.
  • Controlla le fughe di dati. Le credenziali esposte in vecchi data breach alimentano gli attacchi di credential stuffing. Verificare se i propri domini compaiono in archivi pubblici è parte dell'igiene.

L'attaccante che oggi ha un modello IA ad affiancarlo fa questa raccolta più in fretta e la riassume meglio. La difesa, di nuovo, non cambia natura: meno cose esposte, consapevolezza di cosa si mostra, pulizia regolare.

La cosa da ricordare

Hai imparato la fase che tutti saltano e nessun professionista salta. Prima di qualsiasi exploit c'è una mappa, e costruirla è metà del mestiere.

Il passo successivo è trasformare ciò che hai trovato in un ingresso: in Metasploitable 2: dalla scansione al primo root parti da un bersaglio già individuato e arrivi alla shell. E per allenare l'occhio su un bersaglio nuovo ogni volta, le sfide Capture The Flag mettono proprio la ricognizione al primo posto.

FAQ

Recon-ng attacca i sistemi?

No. Recon-ng raccoglie informazioni pubbliche: sottodomini, host, indirizzi email, dati già esposti online. È la fase di ricognizione, quella che viene prima di qualsiasi tentativo di intrusione. Serve a sapere cosa hai davanti.

Posso usarlo su un'azienda qualsiasi per esercitarmi?

No. Anche se raccoglie solo dati pubblici, profilare un'organizzazione terza senza autorizzazione è fuori dai confini. In palestra si lavora su un dominio proprio, su un target di un programma di bug bounty che lo consente, o su ambienti di addestramento pensati per questo.

Che differenza c'è con una semplice ricerca su Google?

Recon-ng automatizza e organizza. Invece di cento ricerche a mano, lanci moduli che interrogano fonti diverse e salvano tutto in un database strutturato, dove un dominio è collegato ai suoi host, alle email, ai dati trovati. È la differenza tra appunti sparsi e una mappa.

Servono chiavi API?

Alcuni moduli funzionano senza, altri interrogano servizi esterni che richiedono una chiave gratuita. Recon-ng ha un gestore di chiavi integrato. Per cominciare bastano i moduli che non ne hanno bisogno: rendono già l'idea del metodo.

A cosa serve questa fase se poi l'attacco è altrove?

Perché l'attacco nasce qui. Un sottodominio dimenticato, un server di test esposto, un'email in una vecchia fuga di dati: sono questi i punti d'ingresso che la ricognizione trova. Chi salta questa fase attacca alla cieca.

Fonti