વેબ સંસાધનોને પેન્ટેસ્ટ કરવા માટે મફત સાધનોની સમીક્ષા અને વધુ v2

થોડા સમય પહેલા મેં તેના વિશે લખ્યું હતું આ, પરંતુ થોડી ઓછી અને અસ્તવ્યસ્ત. પછીથી, મેં સમીક્ષામાં સાધનોની સૂચિને વિસ્તૃત કરવાનું, લેખમાં માળખું ઉમેરવાનું અને ટીકાને ધ્યાનમાં લેવાનું નક્કી કર્યું (ખૂબ આભાર લેફ્ટી સલાહ માટે) અને તેને SecLab પરની સ્પર્ધામાં મોકલ્યો (અને પ્રકાશિત કડી, પરંતુ તમામ સ્પષ્ટ કારણોસર કોઈએ તેણીને જોઈ નથી). સ્પર્ધા પૂરી થઈ ગઈ છે, પરિણામો જાહેર કરવામાં આવ્યા છે અને સ્પષ્ટ અંતરાત્મા સાથે હું તેને (લેખ) Habré પર પ્રકાશિત કરી શકું છું.

મફત વેબ એપ્લિકેશન પેન્ટેસ્ટર ટૂલ્સ

આ લેખમાં હું "બ્લેક બોક્સ" વ્યૂહરચનાનો ઉપયોગ કરીને વેબ એપ્લિકેશનના પેન્ટેસ્ટિંગ (પ્રવેશ પરીક્ષણો) માટેના સૌથી લોકપ્રિય સાધનો વિશે વાત કરીશ.
આ કરવા માટે, અમે ઉપયોગિતાઓને જોઈશું જે આ પ્રકારના પરીક્ષણમાં મદદ કરશે. નીચેની ઉત્પાદન શ્રેણીઓ ધ્યાનમાં લો:

1. નેટવર્ક સ્કેનર્સ
2. વેબ સ્ક્રિપ્ટ ભંગ સ્કેનર્સ
3. શોષણ
4. ઈન્જેક્શનનું ઓટોમેશન
5. ડીબગર્સ (સ્નિફર્સ, સ્થાનિક પ્રોક્સી, વગેરે)

કેટલાક ઉત્પાદનોમાં સાર્વત્રિક "પાત્ર" હોય છે, તેથી હું તેમને તે શ્રેણીમાં વર્ગીકૃત કરીશ જેમાં તેમની પાસેоવધુ સારું પરિણામ (વ્યક્તિલક્ષી અભિપ્રાય).

નેટવર્ક સ્કેનર્સ.

મુખ્ય કાર્ય એ ઉપલબ્ધ નેટવર્ક સેવાઓ શોધવાનું, તેમના સંસ્કરણોને ઇન્સ્ટોલ કરવું, OS નક્કી કરવું વગેરે છે.

એનએમપ
Nmap ("નેટવર્ક મેપર") નેટવર્ક વિશ્લેષણ અને સિસ્ટમ સુરક્ષા ઓડિટ માટે મફત અને ઓપન સોર્સ ઉપયોગિતા છે. કન્સોલના હિંસક વિરોધીઓ Zenmap નો ઉપયોગ કરી શકે છે, જે Nmap માટે GUI છે.
આ ફક્ત "સ્માર્ટ" સ્કેનર નથી, તે એક ગંભીર એક્સ્ટેન્સિબલ ટૂલ છે ("અસામાન્ય લક્ષણો"માંથી એક એ કૃમિની હાજરી માટે નોડ તપાસવા માટે સ્ક્રિપ્ટની હાજરી છે "Stuxnet"(ઉલ્લેખ કરેલ અહીં). લાક્ષણિક ઉપયોગ ઉદાહરણ:

nmap -A -T4 localhost

-ઓએસ વર્ઝન ડિટેક્શન, સ્ક્રિપ્ટ સ્કેનિંગ અને ટ્રેસિંગ માટે A
-T4 સમય નિયંત્રણ સેટિંગ (વધુ ઝડપી છે, 0 થી 5 સુધી)
લોકલહોસ્ટ - લક્ષ્ય હોસ્ટ
કંઈક અઘરું?

nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost

આ Zenmap માં "ધીમા વ્યાપક સ્કેન" પ્રોફાઇલમાંથી વિકલ્પોનો સમૂહ છે. તે પૂર્ણ થવામાં ઘણો લાંબો સમય લે છે, પરંતુ અંતે વધુ વિગતવાર માહિતી પ્રદાન કરે છે જે લક્ષ્ય સિસ્ટમ વિશે શોધી શકાય છે. રશિયનમાં સહાય માર્ગદર્શિકા, જો તમે વધુ ઊંડાણમાં જવાનું નક્કી કરો છો, તો હું લેખનો અનુવાદ કરવાની પણ ભલામણ કરું છું Nmap માટે પ્રારંભિક માર્ગદર્શિકા.
Nmap ને Linux જર્નલ, ઇન્ફો વર્લ્ડ, LinuxQuestions.Org અને Codetalker Digest જેવા સામયિકો અને સમુદાયો તરફથી "વર્ષની સુરક્ષા ઉત્પાદન"નો દરજ્જો મળ્યો છે.
એક રસપ્રદ મુદ્દો, Nmap ફિલ્મોમાં જોઈ શકાય છે “ધ મેટ્રિક્સ રીલોડેડ”, “ડાઈ હાર્ડ 4”, “ધ બોર્ન અલ્ટીમેટમ”, “હોટાબીચ” અને અન્ય.

આઈપી-ટૂલ્સ
આઈપી-ટૂલ્સ - વિવિધ નેટવર્ક યુટિલિટીઝનો એક પ્રકાર, વિન્ડોઝ વપરાશકર્તાઓ માટે "સમર્પિત" GUI સાથે આવે છે.
પોર્ટ સ્કેનર, વહેંચાયેલ સંસાધનો (શેર કરેલ પ્રિન્ટર/ફોલ્ડર્સ), WhoIs/ફિંગર/લુકઅપ, ટેલનેટ ક્લાયંટ અને ઘણું બધું. માત્ર એક અનુકૂળ, ઝડપી, કાર્યાત્મક સાધન.

અન્ય ઉત્પાદનોને ધ્યાનમાં લેવાનો કોઈ ખાસ મુદ્દો નથી, કારણ કે આ ક્ષેત્રમાં ઘણી બધી ઉપયોગિતાઓ છે અને તે બધામાં સમાન ઓપરેટિંગ સિદ્ધાંતો અને કાર્યક્ષમતા છે. તેમ છતાં, nmap સૌથી વધુ ઉપયોગમાં લેવાતું રહે છે.

વેબ સ્ક્રિપ્ટ ભંગ સ્કેનર્સ

લોકપ્રિય નબળાઈઓ શોધવાનો પ્રયાસ કરવો (SQL inj, XSS, LFI/RFI, વગેરે) અથવા ભૂલો (કાઢી નાખેલી અસ્થાયી ફાઇલો, ડિરેક્ટરી ઇન્ડેક્સીંગ વગેરે)

એક્યુનેટિક્સ વેબ નબળાઈ સ્કેનર
એક્યુનેટિક્સ વેબ નબળાઈ સ્કેનર — લિંક પરથી તમે જોઈ શકો છો કે આ એક xss સ્કેનર છે, પરંતુ આ સંપૂર્ણ રીતે સાચું નથી. મફત સંસ્કરણ, અહીં ઉપલબ્ધ છે, ઘણી બધી કાર્યક્ષમતા પ્રદાન કરે છે. સામાન્ય રીતે, જે વ્યક્તિ આ સ્કેનરને પ્રથમ વખત ચલાવે છે અને પ્રથમ વખત તેમના સંસાધન પર રિપોર્ટ મેળવે છે તે થોડો આંચકો અનુભવે છે, અને તમે સમજી શકશો કે એકવાર તમે શા માટે આ કરો છો. વેબસાઇટ પર તમામ પ્રકારની નબળાઈઓનું વિશ્લેષણ કરવા માટે આ એક ખૂબ જ શક્તિશાળી ઉત્પાદન છે અને તે માત્ર સામાન્ય PHP વેબસાઇટ્સ સાથે જ નહીં, પણ અન્ય ભાષાઓમાં પણ કામ કરે છે (જોકે ભાષામાં તફાવત એ સૂચક નથી). સૂચનાઓનું વર્ણન કરવામાં કોઈ ખાસ મુદ્દો નથી, કારણ કે સ્કેનર વપરાશકર્તાની ક્રિયાઓને ફક્ત "પિકઅપ" કરે છે. સામાન્ય સોફ્ટવેર ઇન્સ્ટોલેશનમાં "આગલું, આગળ, આગળ, તૈયાર" જેવું કંઈક.

નિકો
નિકો આ એક ઓપન સોર્સ (GPL) વેબ ક્રાઉલર છે. નિયમિત મેન્યુઅલ વર્ક દૂર કરે છે. અનડિલીટ કરેલ સ્ક્રિપ્ટો (કેટલાક test.php, index_.php, વગેરે), ડેટાબેઝ એડમિનિસ્ટ્રેશન ટૂલ્સ (/phpmyadmin/, /pma અને તેના જેવા), વગેરે માટે લક્ષ્ય સાઇટ શોધે છે, એટલે કે સૌથી સામાન્ય ભૂલો માટે સંસાધન તપાસે છે. સામાન્ય રીતે માનવીય પરિબળોને કારણે થાય છે.
ઉપરાંત, જો તે કેટલીક લોકપ્રિય સ્ક્રિપ્ટ શોધે છે, તો તે તેને પ્રકાશિત થયેલા શોષણ માટે તપાસે છે (જે ડેટાબેઝમાં છે).
ઉપલબ્ધ "અનિચ્છનીય" પદ્ધતિઓ જેમ કે PUT અને TRACE નો અહેવાલ આપે છે
અને તેથી વધુ. જો તમે ઓડિટર તરીકે કામ કરો અને દરરોજ વેબસાઇટ્સનું વિશ્લેષણ કરો તો તે ખૂબ અનુકૂળ છે.
ગેરફાયદામાંથી, હું ખોટા હકારાત્મકની ઉચ્ચ ટકાવારી નોંધવા માંગુ છું. ઉદાહરણ તરીકે, જો તમારી સાઇટ હંમેશા 404 ભૂલને બદલે મુખ્ય ભૂલ આપે છે (જ્યારે તે થવી જોઈએ), તો સ્કેનર કહેશે કે તમારી સાઇટ તેના ડેટાબેઝમાંથી બધી સ્ક્રિપ્ટો અને તમામ નબળાઈઓ ધરાવે છે. વ્યવહારમાં, આ વારંવાર થતું નથી, પરંતુ હકીકતમાં, તમારી સાઇટની રચના પર ઘણું નિર્ભર છે.
ઉત્તમ ઉપયોગ:

./nikto.pl -host localhost

જો તમારે સાઇટ પર અધિકૃત થવાની જરૂર હોય, તો તમે nikto.conf ફાઇલ, STATIC-COOKIE વેરીએબલમાં કૂકી સેટ કરી શકો છો.

વિક્ટો
વિક્ટો — વિન્ડોઝ માટે નિક્ટો, પરંતુ કેટલાક ઉમેરાઓ સાથે, જેમ કે ભૂલો માટે કોડ તપાસતી વખતે “ફઝી” લોજિક, GHDB નો ઉપયોગ કરીને, લિંક્સ અને રિસોર્સ ફોલ્ડર્સ મેળવવા, HTTP વિનંતીઓ/પ્રતિસાદોનું રીઅલ-ટાઇમ મોનિટરિંગ. વિક્ટો C# માં લખાયેલ છે અને તેને .NET ફ્રેમવર્કની જરૂર છે.

સ્કિપફિશ
સ્કિપફિશ - વેબ નબળાઈ સ્કેનર તરફથી મિચલ ઝાલેવસ્કી (lcamtuf તરીકે ઓળખાય છે). C માં લખાયેલ, ક્રોસ-પ્લેટફોર્મ (વિન માટે સિગવિન જરૂરી છે). પુનરાવર્તિત રીતે (અને ખૂબ લાંબા સમય માટે, લગભગ 20 ~ 40 કલાક, જો કે છેલ્લી વખત તેણે મારા માટે 96 કલાક કામ કર્યું હતું) તે સમગ્ર સાઇટને ક્રોલ કરે છે અને તમામ પ્રકારના સુરક્ષા છિદ્રો શોધે છે. તે ઘણો ટ્રાફિક પણ જનરેટ કરે છે (કેટલાક GB ઇનકમિંગ/આઉટગોઇંગ). પરંતુ તમામ માધ્યમો સારા છે, ખાસ કરીને જો તમારી પાસે સમય અને સંસાધનો હોય.
લાક્ષણિક ઉપયોગ:

./skipfish -o /home/reports www.example.com

"રિપોર્ટ્સ" ફોલ્ડરમાં html માં એક રિપોર્ટ હશે, ઉદાહરણ.

w3af
w3af — વેબ એપ્લિકેશન એટેક અને ઓડિટ ફ્રેમવર્ક, ઓપન સોર્સ વેબ નબળાઈ સ્કેનર. તેમાં GUI છે, પરંતુ તમે કન્સોલથી કામ કરી શકો છો. વધુ સ્પષ્ટ રીતે, તે સાથે એક માળખું છે પ્લગિન્સનો સમૂહ.
તમે તેના ફાયદાઓ વિશે લાંબા સમય સુધી વાત કરી શકો છો, તેને અજમાવવું વધુ સારું છે :] તેની સાથે લાક્ષણિક કાર્ય પ્રોફાઇલ પસંદ કરવા, ધ્યેય નિર્દિષ્ટ કરવા અને હકીકતમાં, તેને શરૂ કરવા માટે નીચે આવે છે.

મંત્ર સુરક્ષા ફ્રેમવર્ક
મંત્ર એક સ્વપ્ન છે જે સાકાર થયું. વેબ બ્રાઉઝરમાં બનેલ મફત અને ખુલ્લા માહિતી સુરક્ષા સાધનોનો સંગ્રહ.
તમામ તબક્કે વેબ એપ્લિકેશનનું પરીક્ષણ કરતી વખતે ખૂબ જ ઉપયોગી.
બ્રાઉઝરને ઇન્સ્ટોલ અને લોંચ કરવા માટે વપરાશ ઉકળે છે.

હકીકતમાં, આ કેટેગરીમાં ઘણી બધી ઉપયોગિતાઓ છે અને તેમાંથી ચોક્કસ સૂચિ પસંદ કરવી ખૂબ મુશ્કેલ છે. મોટેભાગે, દરેક પેન્ટેસ્ટર પોતે જ જરૂરી સાધનોનો સમૂહ નક્કી કરે છે.

શોષણ

નબળાઈઓના સ્વચાલિત અને વધુ અનુકૂળ શોષણ માટે, શોષણને સૉફ્ટવેર અને સ્ક્રિપ્ટ્સમાં લખવામાં આવે છે, જે સુરક્ષા છિદ્રનું શોષણ કરવા માટે માત્ર પરિમાણો પસાર કરવાની જરૂર છે. અને એવા ઉત્પાદનો છે જે મેન્યુઅલી શોષણની શોધ કરવાની જરૂરિયાતને દૂર કરે છે, અને તેને ફ્લાય પર પણ લાગુ કરે છે. આ શ્રેણી હવે ચર્ચા કરવામાં આવશે.

મેટાસ્પ્લોટ ફ્રેમવર્ક
Metasploit® ફ્રેમવર્ક - અમારા વ્યવસાયમાં એક પ્રકારનો રાક્ષસ. તે એટલું બધું કરી શકે છે કે સૂચનાઓ ઘણા લેખોને આવરી લેશે. અમે સ્વચાલિત શોષણ (nmap + metasploit) જોઈશું. બોટમ લાઇન આ છે: Nmap આપણને જોઈતા પોર્ટનું વિશ્લેષણ કરશે, સેવાને ઇન્સ્ટોલ કરશે અને મેટાસ્પલોઈટ સર્વિસ ક્લાસ (ftp, ssh, વગેરે) ના આધારે તેના પર શોષણ લાગુ કરવાનો પ્રયાસ કરશે. ટેક્સ્ટ સૂચનાઓને બદલે, હું એક વિડિઓ દાખલ કરીશ, જે autopwn વિષય પર ખૂબ જ લોકપ્રિય છે

અથવા આપણે જરૂરી શોષણની કામગીરીને ફક્ત સ્વચાલિત કરી શકીએ છીએ. દા.ત.

msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP] msf auxiliary(vpn_3000_ftp_bypass) > run

હકીકતમાં, આ ફ્રેમવર્કની ક્ષમતાઓ ખૂબ જ વ્યાપક છે, તેથી જો તમે વધુ ઊંડાણમાં જવાનું નક્કી કરો છો, તો કડી

આર્મિટેજ
આર્મિટેજ — મેટાસ્પ્લોઈટ માટે સાયબરપંક શૈલી GUI નું OVA. લક્ષ્યની કલ્પના કરે છે, શોષણની ભલામણ કરે છે અને ફ્રેમવર્કની અદ્યતન સુવિધાઓ પ્રદાન કરે છે. સામાન્ય રીતે, જેઓ સુંદર અને પ્રભાવશાળી દેખાવાનું બધું પસંદ કરે છે.
સ્ક્રીનકાસ્ટ:

ટેનેબલ Nessus®
ટેનેબલ Nessus® નબળાઈ સ્કેનર - ઘણી બધી વસ્તુઓ કરી શકે છે, પરંતુ આપણને તેમાંથી એક ક્ષમતાની જરૂર છે તે નિર્ધારિત કરવાની છે કે કઈ સેવાઓનો શોષણ છે. ઉત્પાદનનું મફત સંસ્કરણ "માત્ર ઘર"

વાપરી રહ્યા છીએ:

• ડાઉનલોડ કરેલ (તમારી સિસ્ટમ માટે), ઇન્સ્ટોલ કરેલ, નોંધાયેલ (કી તમારા ઇમેઇલ પર મોકલવામાં આવે છે).
• સર્વર શરૂ કર્યું, વપરાશકર્તાને નેસસ સર્વર મેનેજરમાં ઉમેર્યા (વપરાશકર્તાઓને મેનેજ કરો બટન)
• અમે સરનામા પર જઈએ છીએ

  https://localhost:8834/

  અને બ્રાઉઝરમાં ફ્લેશ ક્લાયંટ મેળવો

• સ્કેન -> ઉમેરો -> ફીલ્ડ્સ ભરો (અમને અનુકૂળ હોય તેવી સ્કેનિંગ પ્રોફાઇલ પસંદ કરીને) અને સ્કેન પર ક્લિક કરો

થોડા સમય પછી, સ્કેન રિપોર્ટ રિપોર્ટ્સ ટેબમાં દેખાશે
શોષણ માટે સેવાઓની વ્યવહારુ નબળાઈ તપાસવા માટે, તમે ઉપર વર્ણવેલ મેટાસ્પ્લોઈટ ફ્રેમવર્કનો ઉપયોગ કરી શકો છો અથવા શોષણ શોધવાનો પ્રયાસ કરી શકો છો (ઉદાહરણ તરીકે, પર એક્સપ્લોટ-ડીબી, પેકેટ તોફાન, શોધખોળ કરો વગેરે) અને તેની સામે મેન્યુઅલી ઉપયોગ કરો તેની સિસ્ટમ
IMHO: ખૂબ ભારે. હું તેમને સોફ્ટવેર ઉદ્યોગની આ દિશામાં અગ્રણીઓમાંના એક તરીકે લાવ્યા.

ઈન્જેક્શનનું ઓટોમેશન

ઘણા વેબ એપ્લિકેશન સેકન્ડ સ્કેનર્સ ઇન્જેક્શન માટે શોધે છે, પરંતુ તે હજુ પણ સામાન્ય સ્કેનર્સ છે. અને એવી ઉપયોગિતાઓ છે જે ખાસ કરીને ઇન્જેક્શનની શોધ અને શોષણ સાથે વ્યવહાર કરે છે. અમે હવે તેમના વિશે વાત કરીશું.

sqlmap
sqlmap - SQL ઇન્જેક્શન શોધવા અને શોષણ કરવા માટે ઓપન-સોર્સ ઉપયોગિતા. ડેટાબેઝ સર્વર્સને સપોર્ટ કરે છે જેમ કે: MySQL, Oracle, PostgreSQL, Microsoft SQL સર્વર, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
લાક્ષણિક ઉપયોગ લાઇન પર ઉકળે છે:

python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
રશિયન સહિત, ત્યાં પૂરતી માર્ગદર્શિકાઓ છે. આ ક્ષેત્ર પર કામ કરતી વખતે સોફ્ટવેર પેન્ટેસ્ટરના કામને મોટા પ્રમાણમાં સુવિધા આપે છે.
હું એક અધિકૃત વિડિઓ પ્રદર્શન ઉમેરીશ:

bsqlbf-v2
bsqlbf-v2 - એક પર્લ સ્ક્રિપ્ટ, "અંધ" એસક્યુએલ ઇન્જેક્શન માટે એક જડ બળ. તે url માં પૂર્ણાંક મૂલ્યો અને સ્ટ્રિંગ મૂલ્યો સાથે બંને કામ કરે છે.
આધારભૂત ડેટાબેઝ:

• MS-SQL
• MySQL
• પોસ્ટગ્રે એસક્યુએલ
• ઓરેકલ

વપરાશ ઉદાહરણ:

./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1

-url www.somehost.com/blah.php?u=5 - પરિમાણો સાથે લિંક
-અંધ u - ઈન્જેક્શન માટેનું પરિમાણ (મૂળભૂત રીતે છેલ્લું એડ્રેસ બારમાંથી લેવામાં આવ્યું છે)
-sql "imformation_schema.tables મર્યાદા 1 ઓફસેટ 0 માંથી ટેબલ_નામ પસંદ કરો" - ડેટાબેઝને અમારી મનસ્વી વિનંતી
-ડેટાબેઝ 1 - ડેટાબેઝ સર્વર: MSSQL
- પ્રકાર 1 - હુમલાનો પ્રકાર, "અંધ" ઇન્જેક્શન, સાચા અને ભૂલ પર આધારિત (ઉદાહરણ તરીકે, વાક્યરચના ભૂલો) પ્રતિસાદો

ડીબગર્સ

આ ટૂલ્સનો ઉપયોગ મુખ્યત્વે વિકાસકર્તાઓ દ્વારા કરવામાં આવે છે જ્યારે તેમને તેમના કોડને એક્ઝિક્યુટ કરવાના પરિણામોમાં સમસ્યા હોય. પરંતુ આ દિશા પેન્ટેસ્ટિંગ માટે પણ ઉપયોગી છે, જ્યારે આપણે ફ્લાય પર જોઈતા ડેટાને બદલી શકીએ છીએ, અમારા ઇનપુટ પરિમાણો (ઉદાહરણ તરીકે, ફઝિંગ દરમિયાન) વગેરેના પ્રતિભાવમાં શું આવે છે તેનું વિશ્લેષણ કરી શકીએ છીએ.

બર્પ સ્યુટ
બર્પ સ્યુટ — ઉપયોગિતાઓનો સમૂહ જે પ્રવેશ પરીક્ષણોમાં મદદ કરે છે. તે ઇન્ટરનેટ પર છે સારી સમીક્ષા Raz0r થી રશિયનમાં (જોકે 2008 માટે).
મફત સંસ્કરણમાં શામેલ છે:

• બર્પ પ્રોક્સી એ સ્થાનિક પ્રોક્સી છે જે તમને બ્રાઉઝરમાંથી પહેલેથી જ જનરેટ કરેલી વિનંતીઓને સંશોધિત કરવાની મંજૂરી આપે છે
• બર્પ સ્પાઈડર - સ્પાઈડર, હાલની ફાઇલો અને ડિરેક્ટરીઓ માટે શોધ કરે છે
• બર્પ રીપીટર - મેન્યુઅલી HTTP વિનંતીઓ મોકલવી
• બર્પ સિક્વન્સર - સ્વરૂપોમાં રેન્ડમ મૂલ્યોનું વિશ્લેષણ
• બર્પ ડીકોડર એ પ્રમાણભૂત એન્કોડર-ડીકોડર (html, base64, hex, વગેરે) છે, જેમાંથી હજારો છે, જે કોઈપણ ભાષામાં ઝડપથી લખી શકાય છે.
• Burp Comparer - શબ્દમાળા સરખામણી ઘટક

સૈદ્ધાંતિક રીતે, આ પેકેજ આ ક્ષેત્રને લગતી લગભગ તમામ સમસ્યાઓ હલ કરે છે.

ફિડલર
ફિડલર — ફિડલર એ ડીબગીંગ પ્રોક્સી છે જે તમામ HTTP(S) ટ્રાફિકને લોગ કરે છે. તમને આ ટ્રાફિકનું પરીક્ષણ કરવા, બ્રેકપોઇન્ટ સેટ કરવા અને ઇનકમિંગ અથવા આઉટગોઇંગ ડેટા સાથે "પ્લે" કરવાની મંજૂરી આપે છે.

ત્યાં પણ છે ફાયરશીપ, રાક્ષસ વાયરહાર્ક અને અન્ય, પસંદગી વપરાશકર્તા પર છે.

નિષ્કર્ષ

સ્વાભાવિક રીતે, દરેક પેન્ટેસ્ટરનું પોતાનું શસ્ત્રાગાર અને તેની પોતાની ઉપયોગિતાઓનો સમૂહ હોય છે, કારણ કે તેમાંના ઘણા બધા છે. મેં કેટલીક સૌથી અનુકૂળ અને લોકપ્રિય સૂચિબદ્ધ કરવાનો પ્રયાસ કર્યો. પરંતુ જેથી કરીને કોઈપણ વ્યક્તિ આ દિશામાં અન્ય ઉપયોગિતાઓથી પોતાને પરિચિત કરી શકે, હું નીચે લિંક્સ પ્રદાન કરીશ.

સ્કેનર્સ અને ઉપયોગિતાઓની વિવિધ ટોચ/સૂચિઓ

• સુરક્ષા અને હેકિંગ સાધનો
• ટોચના 100 નેટવર્ક સુરક્ષા સાધનો
• ટોચના 10 વેબ નબળાઈ સ્કેનર્સ.
• ટોચના 10 નબળાઈ સ્કેનર્સ
• OWASP ટોચના 10 સાધનો અને યુક્તિઓ
• વેબ-આધારિત એપ્લિકેશન સુરક્ષા સ્કેનર્સ
• WebAppSec દ્વારા વેબ એપ્લિકેશન સુરક્ષા સ્કેનર સૂચિ
• RDot ફોરમ પર ઇન્ફોસેક ઉપયોગિતાઓ
• નબળાઈ સ્કેનર્સ (વિકિપીડિયા)

Linux વિતરણો કે જે પહેલાથી જ વિવિધ પેન્ટેસ્ટિંગ ઉપયોગિતાઓનો સમૂહ ધરાવે છે

• બેકટ્રેક
• પેન્ટૂ
• નબળાઈ
• બેકબન્ટુ

અપડેટ: BurpSuite દસ્તાવેજીકરણ "Hack4Sec" ટીમમાંથી રશિયનમાં (ઉમેરાયેલ એન્ટોન કુઝમીન)

પીએસ અમે XSpider વિશે મૌન રાખી શકતા નથી. સમીક્ષામાં ભાગ લેતો નથી, જો કે તે શેરવેર છે (મને જાણવા મળ્યું કે જ્યારે મેં સેકલેબને લેખ મોકલ્યો, વાસ્તવમાં આને કારણે (જ્ઞાન નથી, અને નવીનતમ સંસ્કરણ 7.8 નો અભાવ) અને લેખમાં તેનો સમાવેશ કર્યો નથી). અને સિદ્ધાંતમાં, તેની સમીક્ષાનું આયોજન કરવામાં આવ્યું હતું (મારી પાસે તેના માટે મુશ્કેલ પરીક્ષણો તૈયાર છે), પરંતુ મને ખબર નથી કે વિશ્વ તેને જોશે કે નહીં.

PPS લેખમાંથી કેટલીક સામગ્રીનો ઉપયોગ તેના ઉદ્દેશ્ય હેતુ માટે આગામી રિપોર્ટમાં કરવામાં આવશે કોડફેસ્ટ QA વિભાગમાં 2012, જેમાં અહીં ઉલ્લેખિત ન હોય તેવા ટૂલ્સ હશે (મફત, અલબત્ત), તેમજ અલ્ગોરિધમ, કયા ક્રમમાં શું વાપરવું, શું પરિણામની અપેક્ષા રાખવી, કયા રૂપરેખાંકનોનો ઉપયોગ કરવો અને તમામ પ્રકારના સંકેતો અને યુક્તિઓ જ્યારે કાર્યરત (હું લગભગ દરરોજ અહેવાલ વિશે વિચારું છું, હું તમને વિષયના વિષય વિશે શ્રેષ્ઠ કહેવાનો પ્રયત્ન કરીશ)
માર્ગ દ્વારા, આ લેખ પર એક પાઠ હતો InfoSec દિવસો ખોલો (હેબ્રે પર ટેગ કરો, વેબસાઇટ), કરી શકો છો કોરોવન્સ લૂંટો જરા જોઈ લો સામગ્રી.

સોર્સ: www.habr.com