Dopo aver scoperto i punti deboli e le vulnerabilità, si accede direttamente al sistema, cioè è la parte in cui vengono effettivamente effettuati gli attacchi. In generale, i test principali consistono nel far cadere backdoor per testare la facilità di ingresso e mantenimento dell'attacco.
Inoltre, vengono utilizzati altri attacchi come SQL injection. Quindi, essendo riusciti ad entrare, i test servono ora per identificare cosa è possibile fare con quell'attacco effettuato, come cambiare una password o rubare un database. È anche in questo momento che viene svolta l'ingegneria sociale, utilizzando un dipendente dell'azienda che non è a conoscenza del processo svolto, in modo da non interferire con la loro partecipazione.