Gerencia a allowlist de alvos autorizados para testes.

NENHUMA ferramenta de scan funcionará sem que o alvo esteja aqui. Configure sempre antes de iniciar um pentest.

Verifica se o alvo responde via ping antes de iniciar qualquer scan. Use como primeira verificação para evitar scans desnecessários.

Realiza varredura de portas usando Nmap. Use SEMPRE como primeira fase.

Enumera subdomínios via reconhecimento passivo usando Subfinder. Use quando o alvo for um domínio público, após o Nmap inicial.

Enumera diretórios e arquivos ocultos usando Gobuster. Use após identificar portas HTTP/HTTPS no Nmap, antes do Nikto.

Faz crawling da aplicação web para descobrir endpoints e parâmetros usando Katana. Use após o Gobuster. URLs com parâmetros na saída são candidatas a Dalfox e SQLMap.

Executa varredura de vulnerabilidades web usando Nikto. Use quando o Nmap identificar portas HTTP/HTTPS abertas.

Detecta: arquivos sensíveis expostos, cabeçalhos ausentes, métodos HTTP perigosos, versões desatualizadas, vetores XSS/injeção, SSL/TLS fraco.

Analisa configuração SSL/TLS usando testssl.sh. Use quando Nmap identificar porta 443 ou outro serviço HTTPS.

Detecta: protocolos fracos (SSLv2/v3, TLS 1.0/1.1), cifras fracas, BEAST/POODLE/HEARTBLEED, certificados inválidos/expirados, HSTS ausente.

Detecta CVEs e vulnerabilidades conhecidas via templates usando Nuclei. Use após o Nikto para cobrir CVEs específicos baseados nas versões identificadas.

Testa Cross-Site Scripting (XSS) usando Dalfox. Use quando a URL contiver parâmetros GET ou o Katana descobrir formulários.

Detecta: Reflected XSS, DOM XSS, bypass de filtros WAF.

Testa credenciais fracas em serviços de autenticação usando Hydra. Use quando Nmap identificar SSH, FTP, HTTP-Auth, RDP ou Telnet.

ATENÇÃO: pode bloquear contas ou gerar alertas. Use só em ambientes autorizados.

Serviços válidos: ssh, ftp, http-get, http-post-form, rdp, telnet, smtp, pop3, imap, smb

Para http-post-form, configure: http_form_path: caminho do formulário. Ex: "/wp-login.php", "/login" http_form_data: campos do formulário com ^USER^ e ^PASS^. Ex: "log=^USER^&pwd=^PASS^&wp-submit=Log+In" http_form_fail: string presente na resposta em caso de falha. Ex: "ERROR", "Invalid", "incorrect"

Testa SQL Injection usando SQLMap. Use quando a URL contiver parâmetros GET/POST ou o Nikto reportar possível SQLi.

Escalonamento obrigatório — sempre comece no nível mais baixo: Conservador: risk=1, level=1 Moderado: risk=2, level=3 Máximo: risk=3, level=5 ← pode modificar dados, use só com autorização explícita

Captura screenshot da aplicação web para documentar evidências usando Gowitness. Screenshots salvos em /tmp/gowitness/ dentro do container.

Verifica exposição de arquivos e diretórios sensíveis usando Gobuster com wordlist dedicada.

Detecta: .env, wp-config.php.bak, phpinfo.php, backup.zip, .git/, debug.log, composer.json, secrets.yml, database.sql, e dezenas de outros arquivos críticos. Use logo após o Gobuster padrão para cobertura específica de leaks.

Executa auditoria completa de WordPress usando WPScan. Use quando identificar um site WordPress (wp-login.php, wp-content/ no Gobuster/Nikto).

Detecta: plugins e temas vulneráveis, usuários enumerados, senhas fracas, xmlrpc habilitado, configurações inseguras, backups expostos.

Faz requisição HTTP customizada para verificar conteúdo, headers ou testar payloads. Use para confirmar arquivos expostos (.env, phpinfo.php, backups), inspecionar responses de endpoints ou enviar payloads manuais durante verificação de evidências.

Analisa headers de segurança HTTP e flags de cookies do alvo. Retorna análise estruturada: headers presentes, ausentes ou misconfigurados, com severidade (high/medium/low) para cada achado.

Verifica: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security, Referrer-Policy, Permissions-Policy, CORS (Access-Control-Allow-Origin), cookies (HttpOnly, Secure, SameSite).

Fuzzing rápido usando ffuf. Mais veloz e flexível que gobuster. Suporta fuzzing de diretórios, parâmetros GET/POST e endpoints de API REST.

Testa o endpoint xmlrpc.php do WordPress para vetores de ataque. Use quando WPScan ou Nikto reportar xmlrpc.php acessível.

Verifica vulnerabilidade de upload irrestrito de arquivos (CWE-434). Envia um arquivo PHP de prova-de-conceito inócuo e verifica se é executável.

ATENÇÃO: Cria um arquivo PHP sem comandos destrutivos no servidor de teste. Use somente em ambientes autorizados.

Conecta diretamente ao MySQL e enumera bancos, tabelas, usuários e hashes de senha. Use quando Nmap identificar porta 3306 exposta com credenciais fracas.

Para WordPress: passe database="wordpress" para extrair hashes da tabela wp_users e quebrá-los offline com hashcat (formato phpass).

ATENÇÃO: acesso direto ao banco — use somente em ambientes autorizados.

Lista todos os scans salvos em disco para um alvo, permitindo retomar um pentest interrompido sem perder o progresso anterior.

Outputs são salvos automaticamente em ~/mcps/outputs/kali-mcp// a cada scan.

Lista findings registrados no banco de dados, filtrados opcionalmente por alvo.

Gera relatório consolidado de todos os findings de um alvo. Arquivo salvo em ~/.kali-mcp/workspaces/_.

Executa o pipeline completo de pentest de forma autônoma na ordem correta.