дыры бывают разные, ядовитые файлы, бреши в сервисах, в железе, даже в протоколах обмена, соответственно и подход разный, но обычно используются более низкоуровневые языки, си, плюсы, асм, все зависит от ситуации