{"id":34646,"date":"2019-10-31T21:59:35","date_gmt":"2019-10-31T18:59:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/web-tools-ili-s-chego-nachat-pentesteru\/"},"modified":"2019-10-31T21:59:35","modified_gmt":"2019-10-31T18:59:35","slug":"web-tools-ili-s-chego-nachat-pentesteru","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","title":{"rendered":"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/dsec\/blog\/447882\/\">J\u00e4tkame<\/a><\/noindex> kasulikest t\u00f6\u00f6riistadest pentesterile. Uues artiklis k\u00e4sitleme veebirakenduste turvaseisundi anal\u00fc\u00fcsi t\u00f6\u00f6riistu.<\/p>\n<p>Meie kolleeg <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/users\/belove\/\" class=\"user_link\">BeLove<\/a><\/noindex> on juba sarnase <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/125317\/\">valiku<\/a><\/noindex> umbes seitse aastat tagasi. Huvitav on vaadata, millised t\u00f6\u00f6riistad on oma positsioone s\u00e4ilitanud ja tugevdanud ning millised on taandunud ja praegu harva kasutuses.<br \/>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/a6d02b9593ebdbe1b11ccc38e6357b2f.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nOluline on m\u00e4rkida, et siia kuulub ka Burp Suite, kuid tema ja tema kasulike pistikprogrammide kohta tuleb eraldi publikatsioon.<\/p>\n<h2>Sisu:<\/h2>\n<p><\/p>\n<ul>\n<li> <noindex><a rel=\"nofollow\" href=\"#Amass\">Amass<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Altdns\">Altdns<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#aquatone\">aquatone<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#MassDNS\">MassDNS<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#nsec3map\">nsec3map<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Acunetix\">Acunetix<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Dirsearch\">Dirsearch<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#wfuzz\">wfuzz<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#ffuf\">ffuf<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#gobuster\">gobuster<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Arjun\">Arjun<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#LinkFinder\">LinkFinder<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#JSParser\">JSParser<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#sqlmap\">sqlmap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#NoSQLMap\">NoSQLMap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#oxml_xxe\">oxml_xxe<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#tplmap\">tplmap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#CeWL\">CeWL<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Weakpass\">Weakpass<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#AEM_hacker\">AEM_hacker<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#JoomScan\">JoomScan<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#WPScan\">WPScan<\/a><\/noindex><\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Amass\"><\/a><\/noindex>Amass<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/OWASP\/Amass\">Amass<\/a><\/noindex> \u2014 Go keeles t\u00f6\u00f6riist DNS-i alamdomeenide otsimiseks ja \u00fclesehitamiseks ning v\u00e4lise v\u00f5rgu kaardistamiseks. Amass on OWASP-i projekt, mis on loodud selleks, et n\u00e4idata, kuidas n\u00e4evad organisatsioonid Internetis v\u00e4lja v\u00e4ljastpoolt. Amass saab alamdomeenide nimesid erinevate meetodite abil, t\u00f6\u00f6riist kasutab nii rekurssiivset alamdomeenide \u00fclesehitamist kui ka otsingut avatud allikates.<\/p>\n<p>Amass kasutab t\u00f6\u00f6tamise ajal saadud IP-aadresse, et tuvastada omavahel seotud v\u00f5rgu segmente ja autonoomsete s\u00fcsteemide numbreid. K\u00f5ik leitud teave kasutatakse v\u00f5rgu kaardi koostamiseks.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Teabe kogumise tehnikad h\u00f5lmavad j\u00e4rgmist:<br \/>\n * DNS \u2014 alamdomeenide s\u00f5nastiku kaudu j\u00e4rkj\u00e4rguline otsimine, alamdomeenide bruteforce, \"nutikas\" otsimine, mis p\u00f5hineb leitud alamdomeenidel, p\u00f6\u00f6rdsuhted DNS-i p\u00e4ringud ja DNS-serverite otsimine, kus v\u00f5ib teha tsooni \u00fclekande p\u00e4ringu (AXFR); <\/p>\n<p>* Otsimine avatud allikatest \u2014 Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;<\/p>\n<p>* TLS-sertifikaatide andmebaaside otsimine \u2014 Censys, CertDB, CertSpotter, Crtsh, Entrust;<\/p>\n<p>* Otsingumootorite API-de kasutamine \u2014 BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;<\/p>\n<p>* Veebiarhiivide otsing: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;<\/li>\n<li>Integreerimine Maltego; <\/li>\n<li>Tagab k\u00f5ige t\u00e4iustatumate DNS-alamdomeenide otsingute \u00fclesande katvuse.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Ole ettevaatlik amass.netdomainide osas \u2014 see \u00fcritab p\u00f6\u00f6rduda iga IP-aadressiga tuvastatud infrastruktuuris ja saada domeeninimesid tagasi DNS-p\u00e4ringutest ja TLS-sertifikaatidest. See on 'm\u00fcrarikas' tehnika, mis v\u00f5ib paljastada teie luuretoimingud uuritavas organisatsioonis. <\/li>\n<li>K\u00f5rge m\u00e4lutarbimine, v\u00f5ib tarbida kuni 2 GB RAM erinevates seadistustes, mis ei luba selle t\u00f6\u00f6riista k\u00e4ivitamist odavas VDS-is.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/37e1dd6c273eaef2c7c979a57f98c0d9.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Altdns\"><\/a><\/noindex>Altdns<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/infosec-au\/altdns\">Altdns<\/a><\/noindex> \u2014 Python'i t\u00f6\u00f6riist DNS-alasuboonuste rikka s\u00f5naraamatu koostamiseks. See v\u00f5imaldab genereerida mitmesuguseid alamsuboonuseid mutatsioonide ja permutatsioonide abil. Selleks kasutatakse s\u00f5nu, mis esinevad sageli alamsuboonustes (nt: test, dev, staging), k\u00f5ik mutatsioonid ja permutatsioonid rakendatakse juba tuntud alamsuboonustele, mida saab edastada Altdns-ile. Tulemuseks on loetelu alamsuboonuste variatsioonidest, mis v\u00f5ivad eksisteerida ja mida saab hiljem kasutada DNS-bruutforce'i korral.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>T\u00f6\u00f6tab h\u00e4sti suurte andmehulga korral.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"aquatone\"><\/a><\/noindex>aquatone<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/michenriksen\/aquatone\">aquatone<\/a><\/noindex> \u2014 oli varem tuntud kui veel \u00fcks alamdomeenide otsingu t\u00f6\u00f6riist, kuid autor loobus sellest \u00fclemineku t\u00f5ttu eespool mainitud Amassile. Praegu on aquatone \u00fcmber kirjutatud Go-s ja on rohkem suunatud veebisaitide eelnevaks uurimiseks. Selleks l\u00e4bib aquatone antud domeene ning otsib nende pealt veebisaite erinevatel portidel, kogudes seej\u00e4rel kogu teabe saidi kohta ja tehes ekraanipilte. See on mugav kiireks eelneva uurimiseks veebisaitide \u00fcle, mille j\u00e4rel saab valida prioriteetsed sihtm\u00e4rgid r\u00fcnnakute jaoks.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Loodud failide ja kaustade grupp, mida on mugav kasutada edasiseks t\u00f6\u00f6ks teiste t\u00f6\u00f6riistadega:<br \/>\n * HTML-raport koos kogutud ekraanipiltidega ja sarnasuse alusel r\u00fchmitatud vastuste pealkirjadega;<\/p>\n<p>* Fail k\u00f5igi URL-ide kohta, kust leiti veebisaite;<\/p>\n<p> * Fail statistika ja lehek\u00fclje andmetega;<\/p>\n<p>* Kaust failidega, milles on leitud sihtkohtadelt vastuste pealkirjad; <\/p>\n<p>* Kaust failidega, milles on leitud sihtkohtadelt vastuste sisu;<\/p>\n<p>* Ekraanipildid leitud veebisaitidest;<\/li>\n<li>Toetab XML-aruandeid Nmapilt ja Masscanilt;<\/li>\n<li>Kasutab headless Chrome'i\/Chromium'i ekraanipiltide renderdamiseks. <\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li> V\u00f5ib t\u00f5mmata t\u00e4helepanu sissetungide avastamise s\u00fcsteemidele, seega n\u00f5uab seadistamist.<\/li>\n<\/ul>\n<p>\nKuvat\u00f5mmis on tehtud \u00fche vanema versiooni aquatone'ist (v0.5.0), kus oli rakendatud DNS-alamdomeenide otsing. Vanemad versioonid on saadaval lehelt <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/michenriksen\/aquatone\/releases\">v\u00e4ljalaske lehelt<\/a><\/noindex>.<br \/>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/42cf06a7d2ea19f973f76dccd0442bb8.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"MassDNS\"><\/a><\/noindex>MassDNS<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/blechschmidt\/massdns\">MassDNS<\/a><\/noindex> \u2014 veel \u00fcks DNS-alamdomeenide otsingu t\u00f6\u00f6riist. Selle peamine erinevus seisneb selles, et see teeb DNS-p\u00e4ringuid otse mitmetele erinevatele DNS-resolveritele ja teeb seda m\u00e4rkimisv\u00e4\u00e4rse kiirusiga. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Kiire \u2014 suudab lahendada rohkem kui 350 tuhat nime sekundis.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>MassDNS v\u00f5ib p\u00f5hjustada m\u00e4rkimisv\u00e4\u00e4rset koormust kasutatavatele DNS-resolveritele, mis v\u00f5ib viia nende serverite blokeerimiseni v\u00f5i teie teenusepakkujale kaebuste esitamisse. Lisaks sellele tekitab see suure koormuse ettev\u00f5tte DNS-serveritele, kui need olemas on ja kui nad vastutavad domeenide eest, mida te proovite lahendada. <\/li>\n<li> Resolverite loetelu on praegu aegunud, kuid kui eemaldada mitte t\u00f6\u00f6tavad DNS-resolverid ja lisada uusi tuntud \u2014 siis peaks k\u00f5ik korras olema.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/a53181d6982b8d115ec5ece79fbca157.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Kuvat\u00f5mmis aquatone v0.5.0<\/i><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"nsec3map\"><\/a><\/noindex>nsec3map<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/anonion0\/nsec3map\">nsec3map<\/a><\/noindex> \u2014 Pythonis loodud t\u00f6\u00f6riist, et saada t\u00e4ielikku nimekirja DNSSEC-iga kaitstud domeenidest.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Tuvastab DNS-tsoonides hoste kiiresti minimaalsete p\u00e4ringute arvuga, kui tsoonis on aktiveeritud DNSSEC tugi;<\/li>\n<li>John the Ripper'i plugina, mida saab kasutada NSEC3 r\u00e4side purustamiseks;<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Paljusid DNS-olid t\u00f6\u00f6deldakse valesti;<\/li>\n<li>NSEC-kirjete t\u00f6\u00f6tlemise automaatset paralleelset jagamist ei toimu \u2014 nimetusruum tuleb k\u00e4sitsi jagada;<\/li>\n<li>Suure koguse m\u00e4lu tarbimine.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Acunetix\"><\/a><\/noindex>Acunetix<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.acunetix.com\/\">Acunetix<\/a><\/noindex> \u2014 veebivulnerabiliteetide skanner, mis automatiseerib veebirakenduste turvakontrolli. Testib rakendust SQL-i s\u00fcstimise, XSS-i, XXE, SSRF-i ja paljude teiste veebivulnerabiliteetide osas. Siiski, nagu iga teinegi veebivulnerabiliteetide skanner, ei asenda see pentesterit, kuna keerulisi haavatavuste ahelat v\u00f5i loogika haavatavusi ei suuda leida. Selle asemel katab see palju erinevaid haavatavusi, sealhulgas erinevaid CVE-sid, millele pentester v\u00f5is isegi unustada, seega on see v\u00e4ga mugav igap\u00e4evaste kontrollide vabastamiseks.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Madala valeh\u00e4ire taseme;<\/li>\n<li>Tulemusi saab eksportida aruannete vormis;<\/li>\n<li>Teostab suurt hulka kontrollimisi erinevate haavatavuste osas;<\/li>\n<li>Mitme hosti samaaegne skaneerimine. <\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Dedublikaatsiooni algoritmi ei ole (Acunetix peab funktsionaalselt sarnaseid lehti erinevateks, kuna neil on erinevad URL-id), kuid arendajad t\u00f6\u00f6tavad selle kallal;<\/li>\n<li>N\u00f5uab installimist eraldi veebiserverisse, mis raskendab kliendi s\u00fcsteemide testimist VPN-iga \u00fchenduses ja skanneri kasutamist isoleeritud kohalikus kliendiv\u00f5rgus;<\/li>\n<li>V\u00f5ib uuritud teenust \"m\u00fcrgitada\", n\u00e4iteks saata saidi kontaktivormi liiga palju r\u00fcndesuuniseid, muutes seel\u00e4bi \u00e4ri protsesse oluliselt keerulisemaks;<\/li>\n<li>On patenteeritud ja seega mitte tasuta lahendus.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/3756cfae6f3cbf221c42c8a439f6ee86.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Dirsearch\"><\/a><\/noindex>Dirsearch<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/maurosoria\/dirsearch\">Dirsearch<\/a><\/noindex> \u2014 Pythonis loodud t\u00f6\u00f6riist kataloogide ja failide bruutimine veebilehtedel. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Suudab eristada t\u00f5elisi \"200 OK\" lehti lehtedest \"200 OK\" koos tekstiga \"lehte ei leitud\";<\/li>\n<li>Tuleb koos mugava s\u00f5nastikuga, millel on hea tasakaal suuruse ja otsingu efektiivsuse vahel. Sisaldab standardteid, mis on iseloomulikud paljudele CMS-idele ja tehnoloogia virnadele;<\/li>\n<li>Oma s\u00f5nastiku formaat, mis v\u00f5imaldab saavutada head efektiivsust ja paindlikkust failide ja kataloogide uurimisel;<\/li>\n<li>Mugav v\u00e4ljund \u2014 lihtne tekst, JSON;<\/li>\n<li>Toimib korrektse throttling'u \u2014 k\u00fcsimuste vahelised pausid, mis on eluliselt vajalikud igasuguste n\u00f5rkade teenuste jaoks.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Laiendusi tuleb edastada stringina, mis on ebamugav, kui tuleb edastada korraga palju laiendusi;<\/li>\n<li>Selleks, et kasutada oma s\u00f5naraamatut, tuleb see veidi t\u00f6\u00f6tada s\u00f5naraamatute Dirsearch formaati maksimaalse efektiivsuse saavutamiseks.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/00676a0d7916ecc4cc521a3a5e8607e5.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"wfuzz\"><\/a><\/noindex>wfuzz<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/xmendez\/wfuzz\">wfuzz<\/a><\/noindex> \u2014 Python-poodide veebi\u00e4pid. T\u00f5en\u00e4oliselt \u00fcks tuntumaid veebipoodide t\u00f6\u00f6riistu. P\u00f5him\u00f5te on lihtne: wfuzz v\u00f5imaldab poodida igasuguses HTTP-p\u00e4ringus, mis annab v\u00f5imaluse poodida GET\/POST parameetreid, HTTP-pealkirju, sealhulgas K\u00fcpsiseid ja muid autentimise pealkirju. Samuti on mugav ka lihtsaks kaustade ja failide bruteforsimiseks, mille jaoks on vajalik hea s\u00f5naraamat. Samuti on tal paindlik filtrite s\u00fcsteem, millega saab filtreerida kodulehe vastuseid erinevate parameetrite j\u00e4rgi, mis v\u00f5imaldab saavutada efektiivseid tulemusi. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Mitmeotstarbeline \u2014 modulaarne struktuur, kokku panemine v\u00f5tab paar minutit;<\/li>\n<li>Mugav filtreerimise ja fuzzing'u mehhanism;<\/li>\n<li>V\u00f5ib fuzzida igasuguseid HTTP-meetodeid ja igasuguseid kohti HTTP-p\u00e4ringus.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Arendusetapis.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/f3b2ae5036eb8b8032f16516e78c82d0.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"ffuf\"><\/a><\/noindex>ffuf<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/ffuf\/ffuf\">ffuf<\/a><\/noindex> \u2014 Go keeles loodud veebifuzzing t\u00f6\u00f6riist, mis on valmistatud wfuzz-i \u201ekujunduse ja sarnase j\u00e4rgi\u201d, v\u00f5imaldab brutforsida faile, kaustu, URL teid, parameetrite GET\/POST nimetusi ja v\u00e4\u00e4rtusi, HTTP-pealkirju, sealhulgas Host pealkirja virtuaalsete hostide brutforsimiseks. Erinevalt oma eelk\u00e4ijast wfuzzist pakub see suuremat kiirus ja m\u00f5ningaid uusi funktsioone, n\u00e4iteks toetab see Dirsearch formaadis s\u00f5naraamatuid.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Filtrid sarnanevad wfuzz filtritele ja v\u00f5imaldavad brutforsingu paindlikku seadistamist;<\/li>\n<li>Lubab fuzzida HTTP-pealkirjade v\u00e4\u00e4rtusi, POST-p\u00e4ringute andmeid ja erinevaid URL osi, sealhulgas GET-parameetrite nimesid ja v\u00e4\u00e4rtusi;<\/li>\n<li>V\u00f5ib m\u00e4\u00e4rata mis tahes HTTP meetodi.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Arendusetapis.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/f432340ca10a6d834d01be4577f65fe2.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"gobuster\"><\/a><\/noindex>gobuster<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/OJ\/gobuster\">gobuster<\/a><\/noindex> \u2014 Go keeles loodud uurimist\u00f6\u00f6riist, millel on kaks t\u00f6\u00f6re\u017eiimi. Esimene on m\u00f5eldud failide ja kaustade brutforsimiseks veebisaidil, teine DNS-alamdomeenide genereerimiseks. T\u00f6\u00f6riist ei toeta algselt failide ja kaustade rekurssiivset genereerimist, mis loomulikult s\u00e4\u00e4stab aega, kuid teisest k\u00fcljest tuleb igat uut l\u00f5pp-punkti brutforsida eraldi.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Suurep\u00e4rane kiirus nii DNS-alamdomeenide genereerimisel kui ka failide ja kaustade brutforsimisel.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Praeguses versioonis ei toetata HTTP-pealkirjade seadistamist;<\/li>\n<li>Vaikimisi loetakse kehtivateks ainult teatud HTTP-olekukoode (200, 204, 301, 302, 307).<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/2ce6c6ae6bbd0d2dc851ed632b5bc309.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Arjun\"><\/a><\/noindex>Arjun<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/s0md3v\/Arjun\">Arjun<\/a><\/noindex> \u2014 t\u00f6\u00f6riist varjatud HTTP-parameetrite r\u00fcndamiseks GET\/POST-parameetrites ning JSONis. Sisseehitatud s\u00f5nastik sisaldab 25 980 s\u00f5na, mille Ajrun kontrollib peaaegu 30 sekundiga. Oluline on see, et Ajrun ei kontrolli iga parameetrit eraldi, vaid anal\u00fc\u00fcsib korraga ~1000 parameetrit ja vaatab, kas vastus muutub. Kui vastus on muutunud, jaotab ta selle 1000 parameetrit kaheks osaks ja kontrollib, milline neist osadest m\u00f5jutab vastust. Nii leitakse ebamugava binaarse otsingu abil parameeter v\u00f5i mitu varjatud parameetrit, mis m\u00f5jutasid vastust ja v\u00f5ivad seega eksisteerida. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>K\u00f5rge t\u00f6\u00f6kiirus binaarse otsingu t\u00f5ttu;<\/li>\n<li>GET\/POST-parameetrite ja JSON-vormingus parameetrite tugi;<\/li>\n<\/ul>\n<p>\nSarnase printsiibi j\u00e4rgi t\u00f6\u00f6tab ka Burp Suite'i plugin \u2014 <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/PortSwigger\/param-miner\"><b>param-miner<\/b><\/a><\/noindex>, mis on samuti v\u00e4ga hea varjatud HTTP-parameetrite otsimisel. R\u00e4\u00e4gime sellest l\u00e4hemalt tulevas artiklis Burpist ja selle pistikprogrammidest.<br \/>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/9571552d9954c5d9902ab658ecb77bbb.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"LinkFinder\"><\/a><\/noindex>LinkFinder<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/GerbenJavado\/LinkFinder\">LinkFinder<\/a><\/noindex> \u2014 Pythonis kirjutatud skript linkide leidmiseks JavaScripti failides. Kasulik varjatud v\u00f5i unustatud l\u00f5pp-punktide\/URL-ide leidmiseks veebirakenduses.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Kiire;<\/li>\n<li>Chrome'i jaoks on olemas spetsiaalne LinkFinderi p\u00f5hine pistikprogramm.<\/li>\n<\/ul>\n<p>.<\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Ebamugav l\u00f5ppv\u00e4ljund;<\/li>\n<li>Ei anal\u00fc\u00fcsi JavaScripti d\u00fcnaamiliselt;<\/li>\n<li>Linkideotsimise loogika on \u00fcsna lihtne \u2014 kui JavaScript on mingil viisil obfuskeeritud v\u00f5i lingid puuduvad ja genereeritakse d\u00fcnaamiliselt, siis ei suuda see midagi leida. <\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/4cbb12ad81b249cdb21a2f4861acc346.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"JSParser\"><\/a><\/noindex>JSParser<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nahamsec\/JSParser\">JSParser<\/a><\/noindex> \u2014 Pythoni skript, mis kasutab <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tornadoweb.org\/en\/stable\/\">Tornado<\/a><\/noindex> ja <noindex><a rel=\"nofollow\" href=\"https:\/\/beautifier.io\/\">JSBeautifier<\/a><\/noindex> relatiivsete URL-ide anal\u00fc\u00fcsimiseks JavaScripti failidest. V\u00e4ga kasulik AJAX-p\u00e4ringute tuvastamiseks ja API meetodite loendi koostamiseks, millega rakendus suhtleb. T\u00f5husalt t\u00f6\u00f6tab LinkFinderiga koos. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Kiire JavaScripti failide anal\u00fc\u00fcs.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/20812f77021319d9d1d7eafd5d394383.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"sqlmap\"><\/a><\/noindex>sqlmap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/sqlmapproject\/sqlmap\">sqlmap<\/a><\/noindex> \u2014 t\u00f5en\u00e4oliselt \u00fcks tuntumaid veebirakenduste anal\u00fc\u00fcsi t\u00f6\u00f6riistu. Sqlmap automatiseerib SQL-injektsioonide otsimist ja ekspluateerimist, t\u00f6\u00f6tades mitmete SQL-i dialektidega ning sisaldab suures koguses erinevaid tehnikaid, alustades otsestest tsitaatidest ja l\u00f5petades keerukate ajap\u00f5histe SQL-injektsioonide vektoritega. Lisaks sisaldab see mitmeid edasise ekspluateerimise tehnikaid erinevatele andmebaasis\u00fcsteemidele, seega on see kasulik mitte ainult SQL-injektsioonide skaneerimise t\u00f6\u00f6riistana, vaid ka v\u00f5imsa t\u00f6\u00f6riistana juba leitud SQL-injektsioonide ekspluateerimiseks.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Mitmeid erinevaid tehnikaid ja suundi;<\/li>\n<li>Madala valeh\u00e4irete arv;<\/li>\n<li>Palju kohandamisv\u00f5imalusi, erinevad tehnikad, sihtandmebaas, WAF-ist m\u00f6\u00f6dumiseks m\u00f5eldud skriptid;<\/li>\n<li>V\u00f5ime eksportida v\u00e4ljundandmete dump'i;<\/li>\n<li>Palju erinevaid kasutusv\u00f5imalusi, n\u00e4iteks m\u00f5nede andmebaaside puhul automaatne failide laadimine\/laagimine, k\u00e4su t\u00e4itmise v\u00f5imaluse (RCE) saamine ja muud;<\/li>\n<li>Otsese andmebaasi\u00fchenduse tugi r\u00fcnnaku k\u00e4igus saadud andmete abil;<\/li>\n<li>Sisendina saab kasutada Burpi t\u00f6\u00f6 tulemuste tekstifaili \u2014 ei ole vaja k\u00e4sitsi koostada k\u00f5iki k\u00e4skuargumendi atribuute.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Raskused kohandamisega, n\u00e4iteks oma kontrollide kirjutamine on keeruline n\u00f5rga dokumentatsiooni t\u00f5ttu;<\/li>\n<li>Ilma vastava seadistamiseta viib l\u00e4bi mittet\u00e4ielikke kontrolle, mis v\u00f5ib eksitada.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/f99ac42bd3139894668353924112d416.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"NoSQLMap\"><\/a><\/noindex>NoSQLMap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/codingo\/NoSQLMap\">NoSQLMap<\/a><\/noindex> \u2014 Pythonil p\u00f5hinev t\u00f6\u00f6riist NoSQL-i s\u00fcstimisv\u00f5tetes otsingu ja \u00e4rakasutamise automatiseerimiseks. Mugav kasutada mitte ainult NoSQL-andmebaasides, vaid ka otse NoSQL-i kasutavate veebirakenduste auditeerimisel.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Nagu sqlmap, v\u00f5imaldab see mitte ainult leida v\u00f5imalikke haavatavusi, vaid ka kontrollida nende ekspluateerimise v\u00f5imalust MongoDB ja CouchDB jaoks.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Ei toeta NoSQL-tandemina Redis, Cassandra, selle suunas k\u00e4ib arendus.<\/li>\n<\/ul>\n<h2><noindex><a rel=\"nofollow\" name=\"oxml_xxe\"><\/a><\/noindex>oxml_xxe<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/BuffaloWill\/oxml_xxe\">oxml_xxe<\/a><\/noindex> \u2014 t\u00f6\u00f6riist XXE XML-exploitide integreerimiseks erinevatesse failit\u00fc\u00fcpidesse, kus kasutatakse XML-formaati.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Toetab paljusid levinud formaate, nagu DOCX, ODT, SVG, XML.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>PDF, JPEG, GIF toe t\u00e4ielik teostamine on pooleli;<\/li>\n<li>Loob ainult \u00fche faili. Selle probleemi lahendamiseks saab kasutada t\u00f6\u00f6riista <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/BuffaloWill\/oxml_xxe\">docem<\/a><\/noindex>, mis suudab luua suure hulga faile erinevates kohtades koos payloadidega. <\/li>\n<\/ul>\n<p>\nEeltoodud utiliidid teevad suurep\u00e4rast t\u00f6\u00f6d XXE testimisel dokumendide laadimise korral, mis sisaldavad XML-i. Kuid \u00e4rge unustage, et XML-formaadiga t\u00f6\u00f6tlejate leidmine v\u00f5ib esineda ka paljus muus kontekstis, n\u00e4iteks v\u00f5ib XML-i kasutada andmevorminguna JSON-i asemel.<\/p>\n<p>Seet\u00f5ttu soovitame p\u00f6\u00f6rata t\u00e4helepanu j\u00e4rgmisele repole, mis sisaldab suurt hulka mitmekesiseid payload'e: <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/swisskyrepo\/PayloadsAllTheThings\">PayloadsAllTheThings<\/a><\/noindex>.<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"tplmap\"><\/a><\/noindex>tplmap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/epinna\/tplmap\">tplmap<\/a><\/noindex> \u2014 Python'i t\u00f6\u00f6riist, mis automaatselt tuvastab ja eksploteerib Server-Side Template Injection'i haavatavusi, omab sarnasusi sqlmap'i seadete ja lippudega. Kasutab mitmeid erinevaid tehnikaid ja vektoreid, sealhulgas pimesi sisestusi, ning sisaldab tehnikaid koodi t\u00e4itmiseks ja failide \u00fcles-\/allalaadimiseks. Lisaks on tal oma arsenalis tehnikaid k\u00fcmne erineva mallimootori jaoks ja m\u00f5ned tehnikaid eval()-sarnaste koodi sisestuste leidmiseks Pythonis, Ruby's, PHP's ja JavaScript'is. Eduka ekspluateerimise korral avab see interaktiivse konsooli.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Mitmeid erinevaid tehnikaid ja suundi; <\/li>\n<li>Toetab mitmeid mallirenderdusmootoreid;<\/li>\n<li>Rohked ekspluateerimise tehnikad.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"CeWL\"><\/a><\/noindex>CeWL<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/digininja\/CeWL\">CeWL<\/a><\/noindex> \u2014 Ruby's s\u00f5nastiku generaator, mis on loodud ainulaadsete s\u00f5nade v\u00e4ljav\u00f5tmiseks antud veebisaidilt, k\u00fclgneb linkide kaudu saidil m\u00e4\u00e4ratud s\u00fcgavusele. Koostatud ainulaadsete s\u00f5nade s\u00f5nastikku saab hiljem kasutada paroolide bruteforce'imiseks teenustes v\u00f5i failide ja kaustade bruteforce'imiseks samal veebisaidil, v\u00f5i r\u00fcnnakute jaoks saadud r\u00e4si hashcat'i v\u00f5i John the Ripperiga. Kasulik \u201csihtm\u00e4rk\u201d paroolide loendi koostamisel.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Lihtne kasutada.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Otsige s\u00fcgavuse osas ettevaatlikult, et mitte m\u00f5nda \u00fcleliigset domeeni haarata.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Weakpass\"><\/a><\/noindex>Weakpass<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/weakpass.com\">Weakpass<\/a><\/noindex> \u2014 teenus, mis sisaldab hulgaliselt s\u00f5naraamatuid unikaalsete paroolidega. V\u00e4ga kasulik erinevate paroolirikkumisega seotud \u00fclesannete jaoks, alates lihtsast veebip\u00f5hisest j\u00f5hkr\u00fcnnakust sihtteenuste kontodele kuni saadud r\u00e4si off-line j\u00f5hkr\u00fcnnakuni. <noindex><a rel=\"nofollow\" href=\"https:\/\/hashcat.net\/hashcat\/\">hashcat<\/a><\/noindex> v\u00f5i <noindex><a rel=\"nofollow\" href=\"https:\/\/www.openwall.com\/john\/\">John The Ripper<\/a><\/noindex>. Sisaldab umbes 8 miljardit parooli pikkusega 4 kuni 25 t\u00e4hte. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Sisaldab nii spetsiifilisi s\u00f5naraamatuid kui ka s\u00f5naraamatuid, mis sisaldavad k\u00f5ige sagedamini esinevaid paroole \u2014 saad valida konkreetse s\u00f5naraamatu oma vajaduste j\u00e4rgi;<\/li>\n<li>S\u00f5naraamatud uuendatakse ja t\u00e4iendatakse uute paroolidega;<\/li>\n<li>S\u00f5naraamatud on sorteeritud efektiivsuse j\u00e4rgi. Saad valida variandi nii kiireks on-line j\u00f5hkr\u00fcnnakuks kui ka p\u00f5hjalikuks paroolide leidmiseks mahukast s\u00f5naraamatust viimasest lekkest;<\/li>\n<li>Saadaval on kalkulaator, mis n\u00e4itab paroolide rikkumise aega sinu seadmetes.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/1e9daeca2b42b5ba4dd7750bee2ef36c.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEraklassi soovime esile t\u00f5sta CMS-kontrollide t\u00f6\u00f6riistu: WPScan, JoomScan ja AEM hacker. <\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"AEM_hacker\"><\/a><\/noindex>AEM_hacker<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/0ang3el\/aem-hacker\">AEM hacker<\/a><\/noindex> \u2014 t\u00f6\u00f6riist rakenduste Adobe Experience Manager (AEM) haavatavuste tuvastamiseks. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Saab tuvastada AEM-rakendusi URL-ide loendist, mis on talle sisendiks antud;<\/li>\n<li>Sisaldab skripte RCE omandamiseks JSP-shelle \u00fcles laadides v\u00f5i SSRF-i \u00e4rakasutamise teel.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"JoomScan\"><\/a><\/noindex>JoomScan<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/rezasp\/joomscan\">JoomScan<\/a><\/noindex> \u2014 Perl'i t\u00f6\u00f6riist, mis automatiseerib haavatavuste avastamist Joomla CMS-i kasutamisel. <\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Suudab leida konfiguratsiooni puudusi ja administratiivsete seadete probleeme;<\/li>\n<li>Loetleb Joomla versioonid ja nendega seotud haavatavused, samuti eraldi komponente;<\/li>\n<li>Sisaldab \u00fcle 1000 exploiti Joomla komponente jaoks;<\/li>\n<li>Kokkuv\u00f5ttearuannete genereerimine tekstivormingus ja HTML-vormingus.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/2f9561213895d338f8e88127bf02c3e6.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"WPScan\"><\/a><\/noindex>WPScan<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/wpscanteam\/wpscan\">WPScan<\/a><\/noindex> \u2014 T\u00f6\u00f6riist WordPressi veebisaitide skanneerimiseks, sisaldab haavatavusi nii WordPressi enda s\u00fcsteemile kui ka m\u00f5nedele pluginatele.<\/p>\n<h4>Plussid:<\/h4>\n<p><\/p>\n<ul>\n<li>Suudab loetleda mitte ainult ohte WordPressi pistikprogrammide ja teemade puhul, vaid ka saada kasutajate nimekirja ja TimThumb-faile;<\/li>\n<li>V\u00f5ib l\u00e4bi viia brutaalr\u00fcndesid WordPressi veebisaitidele.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Miinused:<\/h4>\n<p><\/p>\n<ul>\n<li>Ilma vastava seadistamiseta viib l\u00e4bi mittet\u00e4ielikke kontrolle, mis v\u00f5ib eksitada.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Veebit\u00f6\u00f6riistad, v\u00f5i kuidas alustada pentestimist?\" src=\"\/wp-content\/uploads\/2019\/05\/eb391071eb62381da16c425d95e7cec5.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00dcldiselt eelistavad erinevad inimesed oma t\u00f6\u00f6ks erinevaid t\u00f6\u00f6riistu: k\u00f5ik on omamoodi head, ja see, mis meeldib \u00fchele, ei pruugi teisele sobida. Kui arvate, et oleme eba\u00f5iglaselt t\u00e4helepanuta j\u00e4tnud m\u00f5ne hea utiliidi \u2014 kirjutage meile kommentaarides!<br \/>\n<br \/>Allikas: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/dsec\/blog\/452836\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041d\u0430\u0448 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 BeLove \u0443\u0436\u0435 \u0434\u0435\u043b\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043f\u043e\u0434\u0431\u043e\u0440\u043a\u0443 \u043e\u043a\u043e\u043b\u043e \u0441\u0435\u043c\u0438 \u043b\u0435\u0442 \u043d\u0430\u0437\u0430\u0434. \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438 \u0438 \u0443\u043a\u0440\u0435\u043f\u0438\u043b\u0438 \u0441\u0432\u043e\u0438 \u043f\u043e\u0437\u0438\u0446\u0438\u0438, \u0430 \u043a\u0430\u043a\u0438\u0435 \u043e\u0442\u043e\u0448\u043b\u0438 \u043d\u0430 \u0437\u0430\u0434\u043d\u0438\u0439 \u043f\u043b\u0430\u043d \u0438 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0441\u044e\u0434\u0430 \u0436\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0438 Burp Suite, [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34646","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 4.9.10 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041d\u0430\u0448 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 BeLove \u0443\u0436\u0435 \u0434\u0435\u043b\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043f\u043e\u0434\u0431\u043e\u0440\u043a\u0443 \u043e\u043a\u043e\u043b\u043e \u0441\u0435\u043c\u0438 \u043b\u0435\u0442 \u043d\u0430\u0437\u0430\u0434. \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438 \u0438 \u0443\u043a\u0440\u0435\u043f\u0438\u043b\u0438 \u0441\u0432\u043e\u0438 \u043f\u043e\u0437\u0438\u0446\u0438\u0438, \u0430 \u043a\u0430\u043a\u0438\u0435 \u043e\u0442\u043e\u0448\u043b\u0438 \u043d\u0430 \u0437\u0430\u0434\u043d\u0438\u0439 \u043f\u043b\u0430\u043d \u0438 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0441\u044e\u0434\u0430 \u0436\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0438 Burp Suite,\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 4.9.10\" \/>\n\t\t<meta property=\"og:locale\" content=\"et_EE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Web tools, \u0438\u043b\u0438 \u0441 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0443? | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041d\u0430\u0448 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 BeLove \u0443\u0436\u0435 \u0434\u0435\u043b\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043f\u043e\u0434\u0431\u043e\u0440\u043a\u0443 \u043e\u043a\u043e\u043b\u043e \u0441\u0435\u043c\u0438 \u043b\u0435\u0442 \u043d\u0430\u0437\u0430\u0434. \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438 \u0438 \u0443\u043a\u0440\u0435\u043f\u0438\u043b\u0438 \u0441\u0432\u043e\u0438 \u043f\u043e\u0437\u0438\u0446\u0438\u0438, \u0430 \u043a\u0430\u043a\u0438\u0435 \u043e\u0442\u043e\u0448\u043b\u0438 \u043d\u0430 \u0437\u0430\u0434\u043d\u0438\u0439 \u043f\u043b\u0430\u043d \u0438 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0441\u044e\u0434\u0430 \u0436\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0438 Burp Suite,\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:59:35+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:59:35+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Veebit\u00f6\u00f6riistad, v\u00f5i kust alustada pentesterina? | ProHoster","description":"J\u00e4tkame r\u00e4\u00e4kimist kasulikest t\u00f6\u00f6riistadest pentesterile. Uues artiklis uurime veebirakenduste turvaseisundi anal\u00fc\u00fcsi t\u00f6\u00f6riistu. Meie kolleeg BeLove koostas sarnase kogumi umbes seitse aastat tagasi. On huvitav vaadata, millised t\u00f6\u00f6riistad on s\u00e4ilitanud ja tugevdanud oma positsioone, ning millised on taandunud ja praegu harva kasutuses. Siia alla kuulub ka Burp Suite.","canonical_url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Web tools, \u0438\u043b\u0438 \u0441 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0443? | ProHoster","og:description":"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041d\u0430\u0448 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 BeLove \u0443\u0436\u0435 \u0434\u0435\u043b\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043f\u043e\u0434\u0431\u043e\u0440\u043a\u0443 \u043e\u043a\u043e\u043b\u043e \u0441\u0435\u043c\u0438 \u043b\u0435\u0442 \u043d\u0430\u0437\u0430\u0434. \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438 \u0438 \u0443\u043a\u0440\u0435\u043f\u0438\u043b\u0438 \u0441\u0432\u043e\u0438 \u043f\u043e\u0437\u0438\u0446\u0438\u0438, \u0430 \u043a\u0430\u043a\u0438\u0435 \u043e\u0442\u043e\u0448\u043b\u0438 \u043d\u0430 \u0437\u0430\u0434\u043d\u0438\u0439 \u043f\u043b\u0430\u043d \u0438 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0441\u044e\u0434\u0430 \u0436\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0438 Burp Suite,","og:url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:59:35+00:00","article:modified_time":"2019-10-31T18:59:35+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34646","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 20:04:30","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:17:23","updated":"2026-01-21 20:04:30"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/34646","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=34646"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/34646\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media\/26108"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=34646"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=34646"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=34646"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}