Der erste Schritt des Test-Hackers besteht zumeist darin, Basisinformationen über das Einbruchsziel zu sammeln. Dabei kann es sich um IP-Adressen der Web-Server, aber auch Namen und Telefonnummern von Ansprechpartnern handeln. Schon eine einfache "Who-is"-Anfrage auf der Website des Internic oder einer anderen Domain-Registrierungsstelle liefert brauchbare Ergebnisse.
Mit Netz-Tools wie "Zone Transfers" oder "Traceroute" lassen sich weitere Angaben wie Domain-Namen, IP-Adressen, Netztopologie und vorhandene Zugangsgeräte (Router oder Firewalls) herausfinden. Traceroute verfolgt den Weg eines Datenpakets zwischen Sender und Empfänger. Mit dem Utility kann ein Hacker beispielsweise überprüfen, ob ein Router die Übertragung zu einer bestimmten Server-Adresse blockt. Es lässt sich damit aber auch feststellen, über welchen Weg ein Zielobjekt mit einem Internet-Service-Provider (ISP) verbunden ist.
Tools nutzen gezielt Systemschwächen ausProgramme wie "Nmap" zum Scannen von Netzwerk-Ports helfen dann herauszufinden, welche Ports auf einem Zielrechner für welche Dienste (Telnet, HTTP etc.) geöffnet sind. In den meisten Fällen ist Port 80 für Web-Traffic freigegeben. Ein einfacher Telnet-Einwählversuch kann dem Angreifer dann schon verraten, welche Web-Server-Software benutzt wird. Hat er dies herausgefunden, lassen sich spezielle Tools benutzen, um Schwächen des jeweiligen Systems auszunutzen.
Es ist aber beispielsweise unter Windows NT auch möglich, eine "Null"-Session zu starten. NT nutzt diese Art der Verbindung zur Kommunikation zwischen verschiedenen Services. Dabei werden weder Passwörter noch sonst eine Art der Identifikation verwendet. Auf der Zielmaschine kann zwar nichts manipuliert werden, es lassen sich aber die Namen von Usern ausspähen. Gelingt es dann, auch nur ein einziges unsicheres Passwort zu erraten (oder erwischt man ein Default-Passwort, das der Administrator nicht verändert hat), steht das System offen.
Die restlichen, verschlüsselten Passwörter können nun kopiert und mit Hilfe von Spezialsoftware gecrackt werden. Im schlimmsten Fall gelingt es einem Hacker so, als "Super-User" Zugang zum Zielsystem zu finden. Dem Zugriff auf wichtige Daten oder andere Systeme steht dann nichts mehr im Weg.