1) Иметь на компьютере perl/php
2) Знать баг движка и, соответственно, иметь сплойт для данной версии движка(при условии, что эта бага не закрыта)
3) Запустить сплойт с параметрами сервера. Параметры определяются типом дыры и сплойтом.
***
Желательно иметь хоть какие-то знания в веб-программировании, ибо в большинстве сплойтов намеренно допущены ошибки для "защиты от дурака"
Большинство серверов л2 имеют движок STRESS WEB 8.0, 10, для них сплойтов не существует, да и вообще они малоуязвимы.
Так же для некоторых сплойтов требуются опр. права на сервере. Например, для сплойта под phpBB 3.0+ требуются права администратора системы.