{"id":34646,"date":"2019-10-31T21:59:35","date_gmt":"2019-10-31T18:59:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/web-tools-ili-s-chego-nachat-pentesteru\/"},"modified":"2019-10-31T21:59:35","modified_gmt":"2019-10-31T18:59:35","slug":"web-tools-ili-s-chego-nachat-pentesteru","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","title":{"rendered":"Spletna orodja ali kje za\u010deti pentester?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/dsec\/blog\/447882\/\">Nadaljujemo<\/a><\/noindex> s predstavljanjem koristnih orodij za pentesterje. V novem \u010dlanku bomo obravnavali orodja za analizo varnosti spletnih aplikacij.<\/p>\n<p>Na\u0161 kolega <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/users\/belove\/\" class=\"user_link\">BeLove<\/a><\/noindex> je \u017ee pripravil podobno <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/125317\/\">zbiro<\/a><\/noindex> pred pribli\u017eno sedmimi leti. Zanimivo je videti, katere naprave so ohranile in okrepile svoj polo\u017eaj, in katere so od\u0161le v ozadje ter se redko uporabljajo.<br \/>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/a6d02b9593ebdbe1b11ccc38e6357b2f.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nOmeniti je treba, da sem spada tudi Burp Suite, vendar bo o njem in njegovih koristnih vti\u010dnikih objavljena lo\u010dena objava.<\/p>\n<h2>Vsebina:<\/h2>\n<p><\/p>\n<ul>\n<li> <noindex><a rel=\"nofollow\" href=\"#Amass\">Amass<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Altdns\">Altdns<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#aquatone\">aquatone<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#MassDNS\">MassDNS<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#nsec3map\">nsec3map<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Acunetix\">Acunetix<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Dirsearch\">Dirsearch<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#wfuzz\">wfuzz<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#ffuf\">ffuf<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#gobuster\">gobuster<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Arjun\">Arjun<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#LinkFinder\">LinkFinder<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#JSParser\">JSParser<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#sqlmap\">sqlmap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#NoSQLMap\">NoSQLMap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#oxml_xxe\">oxml_xxe<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#tplmap\">tplmap<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#CeWL\">CeWL<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#Weakpass\">Weakpass<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#AEM_hacker\">AEM_hacker<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#JoomScan\">JoomScan<\/a><\/noindex><\/li>\n<li> <noindex><a rel=\"nofollow\" href=\"#WPScan\">WPScan<\/a><\/noindex><\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Amass\"><\/a><\/noindex>Amass<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/OWASP\/Amass\">Amass<\/a><\/noindex> \u2014 orodje na Go za iskanje in enumeracijo DNS poddomen ter za izdelavo zemljevida zunanje mre\u017ee. Amass je projekt OWASP, ustvarjen za prikaz, kako za zunanjega opazovalca izgledajo organizacije na spletu. Imena poddomen Amass pridobiva na razli\u010dne na\u010dine, orodje uporablja tako rekurzivno preu\u010devanje poddomen kot iskanje po odprtih virih.<\/p>\n<p>Za odkrivanje povezanih omre\u017enih segmentov in \u0161tevilk avtonomnih sistemov Amass uporablja IP-naslove, pridobljene med delom. Vse najdene informacije se uporabljajo za sestavo zemljevida omre\u017eja.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Tehnike zbiranja informacij vklju\u010dujejo:<br \/>\n * DNS \u2014 preu\u010devanje poddomen preko podatkovnika, bruteforce poddomen, 'pameten' pregled z uporabo mutacij na podlagi najdenih poddomen, obratni DNS-poizvedbe in iskanje DNS stre\u017enikov, ki omogo\u010dajo poizvedbo za prenos obmo\u010dja (AXFR); <\/p>\n<p>* Iskanje po odprtih virih \u2014 Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;<\/p>\n<p>* Iskanje po bazah podatkov TLS certifikatov \u2014 Censys, CertDB, CertSpotter, Crtsh, Entrust;<\/p>\n<p>* Uporaba API-jev iskalnih sistemov \u2014 BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;<\/p>\n<p>* Iskanje po spletnem arhivu interneta: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;<\/li>\n<li>Integracija z Maltego; <\/li>\n<li>Zagotavlja najbolj popolno pokritost naloge iskanja DNS poddomen.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Bodite previdni z amass.netdomains \u2014 poskusil bo dostopati do vsakega IP naslova v identificirani infrastrukturi in pridobiti imena domen iz obratnih DNS-poizvedb in TLS certifikatov. To je 'glasna' tehnika, lahko razkrije va\u0161e obve\u0161\u010devalne dejavnosti v raziskovani organizaciji. <\/li>\n<li>Visoko povpra\u0161evanje po pomnilniku, lahko porabi do 2 GB RAM-a v razli\u010dnih nastavitvah, kar ne bo omogo\u010dilo zagon tega orodja v oblaku na poceni VDS.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/37e1dd6c273eaef2c7c979a57f98c0d9.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Altdns\"><\/a><\/noindex>Altdns<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/infosec-au\/altdns\">Altdns<\/a><\/noindex> \u2014 orodje v Pythonu za ustvarjanje besednjakov za preiskovanje DNS-poddomen. Omogo\u010da generiranje \u0161tevilnih razli\u010dic poddomen s pomo\u010djo mutacij in permutacij. Uporabljajo se besede, ki se pogosto pojavljajo v poddomenah (npr.: test, dev, stagiranje), vse mutacije in permutacije se uporabljajo na \u017ee znanih poddomenah, ki jih je mogo\u010de vnesti v Altdns. Na izhodu dobimo seznam variacij poddomen, ki lahko obstajajo, in ta seznam se lahko nato uporablja pri DNS-bruteforcingu.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Dobro deluje z velikimi razredi podatkov.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"aquatone\"><\/a><\/noindex>aquatone<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/michenriksen\/aquatone\">aquatone<\/a><\/noindex> \u2014 je bil prej bolj znan kot \u0161e eno orodje za iskanje poddomen, vendar se je sam avtor odpovedal temu v prid zgoraj omenjenemu Amass. Zdaj je aquatone ponovno napisan v Go in bolj usmerjen v predhodno obve\u0161\u010devalno delo na spletnih straneh. V ta namen aquatone pregleduje navedene domene in i\u0161\u010de na njih spletne strani na razli\u010dnih vratih, nato zbere vse informacije o strani in ustvari posnetek zaslona. Uporaben je za hitro predhodno obve\u0161\u010devalno delo na spletnih straneh, po katerem je mogo\u010de izbrati prioritete za napade.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Na izhodu ustvari skupino datotek in map, ki jih je enostavno uporabiti pri nadaljnjem delu z drugimi orodji:<br \/>\n * HTML-poro\u010dilo s zbranimi posnetki zaslona in zdru\u017eenimi po podobnosti naslovi odgovorov;<\/p>\n<p>* Datoteka z vsemi URL-ji, kjer so bila najdena spletna mesta;<\/p>\n<p> * Datoteka s statistiko in podatki o strani;<\/p>\n<p>* Mapa z datotekami, ki vsebujejo naslove odgovorov najdenih ciljev; <\/p>\n<p>* Mapa z datotekami, ki vsebujejo telo odgovorov najdenih ciljev;<\/p>\n<p>* Posnetki zaslona najdenih spletnih mest;<\/li>\n<li>Podpira delo z XML-poro\u010dili iz Nmapa in Masscana;<\/li>\n<li>Uporablja headless Chrome\/Chromium za ustvarjanje posnetkov zaslona. <\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li> Lahko pritegne pozornost sistemov za odkrivanje vdorov, zato zahteva nastavitev.<\/li>\n<\/ul>\n<p>\nPosnetek zaslona je bil narejen za eno od starej\u0161ih razli\u010dic aquatone (v0.5.0), v kateri je bila implementirana iskanje DNS-poddomen. Starej\u0161e razli\u010dice lahko najdete na <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/michenriksen\/aquatone\/releases\">strani z izdajami<\/a><\/noindex>.<br \/>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/42cf06a7d2ea19f973f76dccd0442bb8.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"MassDNS\"><\/a><\/noindex>MassDNS<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/blechschmidt\/massdns\">MassDNS<\/a><\/noindex> \u2014 \u0161e eno orodje za iskanje DNS-poddomen. Njegova glavna razlika je v tem, da neposredno izvaja DNS-poizvedbe na \u0161tevilne razli\u010dne DNS-rezolverje in to po\u010dne z znatno hitrostjo. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Hiter \u2014 lahko razre\u0161i ve\u010d kot 350 tiso\u010d imen na sekundo.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>MassDNS lahko povzro\u010di znatno obremenitev uporabljenih DNS-rezolverjev, kar lahko privede do prepovedi na teh stre\u017enikih ali prito\u017eb va\u0161emu ponudniku. Poleg tega lahko povzro\u010di veliko obremenitev DNS-stre\u017enikov podjetja, \u010de jih imajo in \u010de so odgovorni za domene, ki jih posku\u0161ate razre\u0161iti. <\/li>\n<li> Seznam rezolverjev je trenutno zastarel, toda \u010de odstranjujete nefunkcionalne DNS-rezolverje in dodate nove znane, bo vse v redu.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/a53181d6982b8d115ec5ece79fbca157.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Posnetek zaslona aquatone v0.5.0<\/i><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"nsec3map\"><\/a><\/noindex>nsec3map<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/anonion0\/nsec3map\">nsec3map<\/a><\/noindex> \u2014 orodje v Pythonu za pridobivanje popolnega seznama domen, za\u0161\u010ditenih z DNSSEC.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Hitro odkriva gostitelje v DNS-obmo\u010djih z minimalnim \u0161tevilom poizvedb, \u010de je v obmo\u010dju omogo\u010dena podpora za DNSSEC;<\/li>\n<li>Vklju\u010duje vti\u010dnik za John the Ripper, ki ga je mogo\u010de uporabiti za razbijanje pridobljenih NSEC3 he\u0161ov.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>\u0160tevilne DNS-napake se obravnavajo nepravilno;<\/li>\n<li>Ni samodejnega obdelovanja NSEC-zapisov, zato je treba ro\u010dno razdeliti imenska obmo\u010dja;<\/li>\n<li>Visoka poraba pomnilnika.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Acunetix\"><\/a><\/noindex>Acunetix<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.acunetix.com\/\">Acunetix<\/a><\/noindex> \u2014 skener ranljivosti spletnih aplikacij, ki avtomatizira postopek preverjanja varnosti spletnih aplikacij. Testira aplikacijo na prisotnost SQL-injekcij, XSS, XXE, SSRF in \u0161tevilnih drugih spletnih ranljivosti. Vendar kot vsak drug skener ranljivosti ne more nadomestiti pentesterja, saj kompleksne verige ranljivosti ali ranljivosti v logiki ne more najti. Kljub temu pokriva veliko razli\u010dnih ranljivosti, vklju\u010dno z razli\u010dnimi CVE, na katere je lahko pentester pozabil, zato je zelo priro\u010den za osvoboditev od rutinskih preverjanj.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Nizka stopnja la\u017enih alarmov;<\/li>\n<li>Rezultate je mogo\u010de izvoziti v obliki poro\u010dil;<\/li>\n<li>Izvaja veliko \u0161tevilo preverjanj za razli\u010dne ranljivosti;<\/li>\n<li>Paralelno skeniranje ve\u010d gostiteljev. <\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Ni algoritma za deduplikacijo (strani Acunetix, ki so funkcionalno enake, bo obravnaval kot razli\u010dne, saj vodijo do razli\u010dnih URL-jev), vendar razvijalci na tem delajo;<\/li>\n<li>Zahteva namestitev na lo\u010denem spletnem stre\u017eniku, kar ote\u017euje testiranje odjemalskih sistemov s povezavo preko VPN in uporabo skenerja v izoliranem segmentu lokalne klientske mre\u017ee;<\/li>\n<li>Lahko 'zazvoni' raziskovani storitvi, na primer, po\u0161lje preve\u010d napadalnih vektorjev v kontaktni obrazec na spletnem mestu, s \u010dimer mo\u010dno ote\u017ei poslovne procese;<\/li>\n<li>Je lastni\u0161ko in zato nebrezpla\u010dno re\u0161itev.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/3756cfae6f3cbf221c42c8a439f6ee86.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Dirsearch\"><\/a><\/noindex>Dirsearch<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/maurosoria\/dirsearch\">Dirsearch<\/a><\/noindex> \u2014 orodje v Pythonu za prebijanje map in datotek na spletnih straneh. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Lahko razlikuje prave \"200 OK\" strani od strani \"200 OK\", vendar s sporo\u010dilom \"stran ni bila najdena\";<\/li>\n<li>Dobavljajo se z uporabnim slovarjem, ki ima dobro ravnote\u017eje med velikostjo in u\u010dinkovitostjo iskanja. Vsebuje standardne poti, zna\u010dilne za mnoge CMS in tehnolo\u0161ke sklade;<\/li>\n<li>Svoj format slovarja, ki omogo\u010da dosego dobre u\u010dinkovitosti in prilagodljivosti pri prebijanju datotek in map;<\/li>\n<li>Ugodna izhodna oblika \u2014 naveden tekst, JSON;<\/li>\n<li>Zmore izvajati throttling \u2014 pavzo med poizvedbami, kar je \u017eivljenjskega pomena za vsak \u0161ibek servis.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Raz\u0161iritve je treba posredovati v obliki niza, kar je neprijetno, \u010de je treba hkrati posredovati ve\u010d raz\u0161iritev;<\/li>\n<li>Da bi uporabili svoj slovar, ga bo treba nekoliko prilagoditi v format slovarjev Dirsearch za maksimalno u\u010dinkovitost.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/00676a0d7916ecc4cc521a3a5e8607e5.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"wfuzz\"><\/a><\/noindex>wfuzz<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/xmendez\/wfuzz\">wfuzz<\/a><\/noindex> \u2014 Python fuzzing orodje za spletne aplikacije. Verjetno eno najbolj znanih spletnih fuzzing orodij. Na\u010delo je preprosto: wfuzz omogo\u010da fuzzing kateregakoli mesta v HTTP poizvedbi, kar omogo\u010da fuzzing GET\/POST parametrov, HTTP glav, vklju\u010dno s pi\u0161kotki in drugimi avtentikacijskimi glavami. Hkrati je primeren tudi za preprosto prebijanje map in datotek, za kar je potreben dober slovar. Ima tudi fleksibilen sistem filtrov, s katerim lahko filtrirate odgovore spletne strani po razli\u010dnih parametrih, kar omogo\u010da dosego u\u010dinkovitih rezultatov. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Ve\u010dnamensko \u2014 modularna struktura, sestava traja le nekaj minut;<\/li>\n<li>Udoben mehanizem filtriranja in fuzzinga;<\/li>\n<li>Lahko fuzzate kateri koli HTTP metoda, kot tudi katero koli mesto v HTTP poizvedbi.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Je v fazi razvoja.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/f3b2ae5036eb8b8032f16516e78c82d0.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"ffuf\"><\/a><\/noindex>ffuf<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/ffuf\/ffuf\">ffuf<\/a><\/noindex> \u2014 spletni fuzzing orodje na Go, ustvarjeno po \"podobi in podobah\" wfuzz, omogo\u010da prebijanje datotek, map, URL poti, imen in vrednosti GET\/POST parametrov, HTTP glav, vklju\u010dno z glavo Host za prebijanje virtualnih gostiteljev. Od svojega sobrat wfuzz se razlikuje po vi\u0161ji hitrosti in nekaterih novih funkcijah, kot na primer, podpira slovarje v formatu Dirsearch.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Filtri so podobni filtrom wfuzz, omogo\u010dajo prilagodljiv fuzzing;<\/li>\n<li>Omogo\u010da fuzzing vrednosti HTTP glav, podatkov POST poizvedb in razli\u010dnih delov URL, vklju\u010dno z imeni in vrednostmi GET parametrov;<\/li>\n<li>Lahko navedete katero koli HTTP metodo.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Je v fazi razvoja.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/f432340ca10a6d834d01be4577f65fe2.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"gobuster\"><\/a><\/noindex>gobuster<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/OJ\/gobuster\">gobuster<\/a><\/noindex> \u2014 orodje na Go za razkrivanje, ima dva na\u010dina delovanja. Prvi se uporablja za bruteforce datotek in map na spletnem mestu, drugi pa za preizku\u0161anje DNS-poddomen. Orodje sprva ne podpira rekurzivnega preiskovanja datotek in map, kar seveda prihrani \u010das, a po drugi strani je treba za vsak nov kon\u010dni to\u010dki na spletnem mestu za\u017eeneti bruteforce lo\u010deno.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Visoka hitrost delovanja tako za preizku\u0161anje DNS-poddomen kot za bruteforce datotek in map.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>V trenutni razli\u010dici ne podpira nastavitev HTTP-zaznamkov;<\/li>\n<li>Privzeto \u0161teje za veljavne le nekatere od HTTP-status kod (200, 204, 301, 302, 307).<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/2ce6c6ae6bbd0d2dc851ed632b5bc309.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Arjun\"><\/a><\/noindex>Arjun<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/s0md3v\/Arjun\">Arjun<\/a><\/noindex> \u2014 orodje za bruteforce skritih HTTP-parametrov v GET\/POST-parametrih, kot tudi v JSON-u. Vgrajeni slovar vsebuje 25.980 besed, ki jih Ajrun preveri skoraj v 30 sekundah. Osredoto\u010da se na to, da Ajrun ne preverja vsakega parametra posebej, temve\u010d preveri pribli\u017eno ~1000 parametrov hkrati in opazuje, ali se je odgovor spremenil. \u010ce se je odgovor spremenil, razdeli to 1000 parametrov na dva dela in preveri, kateri od teh delov vpliva na odgovor. Tako se s preprosto binairej logiko najde parameter ali ve\u010d skritih parametrov, ki so vplivali na odgovor in torej lahko obstajajo. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Visoka hitrost delovanja zaradi binairejnega iskanja;<\/li>\n<li>Podpora GET\/POST-parametrom, kot tudi parametrom v obliki JSON;<\/li>\n<\/ul>\n<p>\nNa podoben na\u010din deluje tudi vti\u010dnik za Burp Suite \u2014 <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/PortSwigger\/param-miner\"><b>param-miner<\/b><\/a><\/noindex>, ki je prav tako zelo dober pri iskanju skritih HTTP-parametrov. Ve\u010d bomo o njem povedali v prihajajo\u010dem \u010dlanku o Burpu in njegovih vti\u010dnikih.<br \/>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/9571552d9954c5d9902ab658ecb77bbb.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"LinkFinder\"><\/a><\/noindex>LinkFinder<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/GerbenJavado\/LinkFinder\">LinkFinder<\/a><\/noindex> \u2014 skript v Pythonu za iskanje povezav v JavaScript-datotekah. Koristen je za iskanje skritih ali pozabljenih kon\u010dnih to\u010dk\/URL v spletnem aplikacijah.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Hiter;<\/li>\n<li>Obstaja poseben vti\u010dnik za Chrome na osnovi LinkFinder-a.<\/li>\n<\/ul>\n<p>.<\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Neprakti\u010den kon\u010dni izhod;<\/li>\n<li>Ne analizira JavaScript v dinamiki;<\/li>\n<li>Dokaj preprosta logika iskanja povezav \u2014 \u010de je JavaScript kako obfuciran, ali povezave sprva niso prisotne in se generirajo dinami\u010dno, potem ne more najti ni\u010desar. <\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/4cbb12ad81b249cdb21a2f4861acc346.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"JSParser\"><\/a><\/noindex>JSParser<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nahamsec\/JSParser\">JSParser<\/a><\/noindex> \u2014 skript v Pythonu, ki uporablja <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tornadoweb.org\/en\/stable\/\">Tornado<\/a><\/noindex> in <noindex><a rel=\"nofollow\" href=\"https:\/\/beautifier.io\/\">JSBeautifier<\/a><\/noindex> za analizo relativnih URL-naslovov iz JavaScript-datotek. Zelo uporaben za odkrivanje AJAX-pozivov in sestavljanje seznama API-metod, s katerimi interagira aplikacija. U\u010dinkovito deluje v paru z LinkFinder-jem. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Hitro raz\u010dlenjevanje JavaScript-datotek.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/20812f77021319d9d1d7eafd5d394383.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"sqlmap\"><\/a><\/noindex>sqlmap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/sqlmapproject\/sqlmap\">sqlmap<\/a><\/noindex> \u2014 morda, eden najbolj znanih orodij za analizo spletnih aplikacij. Sqlmap avtomatizira iskanje in izkori\u0161\u010danje SQL-injekcij, deluje z ve\u010d SQL-dialekti in v svojem arsenalu ima veliko razli\u010dnih tehnik, ki segajo od 'direct' citatov do kompleksnih vektorjev za time-based SQL-injekcije. Poleg tega ima mnoge tehnike za nadaljnje izkori\u0161\u010danje za razli\u010dne DBMS, zato je uporaben ne samo kot skener za SQL-injekcije, ampak tudi kot mo\u010dno orodje za izkori\u0161\u010danje \u017ee najdenih SQL-injekcij.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Veliko razli\u010dnih tehnik in vektorjev;<\/li>\n<li>Nizko \u0161tevilo la\u017enih pozitivnih rezultatov;<\/li>\n<li>Obse\u017ene mo\u017enosti za natan\u010dno nastavitev, razli\u010dne tehnike, ciljne DB, tamper-skripti za obhod WAF;<\/li>\n<li>Mo\u017enost ustvarjanja izpisa izhodnih podatkov;<\/li>\n<li>Veliko razli\u010dnih mo\u017enosti za izkori\u0161\u010danje, na primer za nekatere DB \u2014 samodejno nalaganje\/izva\u017eanje datotek, pridobitev mo\u017enosti izvajanja ukazov (RCE) in druge;<\/li>\n<li>Podpira neposredno povezavo z DB z uporabo podatkov pridobljenih med napadom;<\/li>\n<li>Na vhod lahko predlo\u017eite besedilno datoteko z rezultati dela Burp \u2014 ni treba ro\u010dno sestavljati vseh atributov ukazne vrstice.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Te\u017eko je prilagoditi, na primer, napisati lastne preglede zaradi revne dokumentacije za to;<\/li>\n<li>Brez ustreznih nastavitev opravi nepopoln nabor pregledov, kar lahko zavaja.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/f99ac42bd3139894668353924112d416.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"NoSQLMap\"><\/a><\/noindex>NoSQLMap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/codingo\/NoSQLMap\">NoSQLMap<\/a><\/noindex> \u2014 orodje v Pythonu za avtomatizacijo iskanja in izkori\u0161\u010danja NoSQL-injekcij. Enostavno je uporabljati ne samo v NoSQL bazah podatkov, temve\u010d tudi pri reviziji spletnih aplikacij, ki uporabljajo NoSQL.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Kot sqlmap omogo\u010da ne le iskanje potencialnih ranljivosti, temve\u010d tudi preverjanje mo\u017enosti za njihovo izkori\u0161\u010danje za MongoDB in CouchDB.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Ne podpira NoSQL za Redis, Cassandra, na tem podro\u010dju poteka razvoj.<\/li>\n<\/ul>\n<h2><noindex><a rel=\"nofollow\" name=\"oxml_xxe\"><\/a><\/noindex>oxml_xxe<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/BuffaloWill\/oxml_xxe\">oxml_xxe<\/a><\/noindex> \u2014 orodje za vgradnjo XXE XML-exploitov v razli\u010dne vrste datotek, v katerih se na kakr\u0161en koli na\u010din uporablja XML-format.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Podpira mnoge raz\u0161irjene formate, kot so DOCX, ODT, SVG, XML.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Podpora PDF, JPEG, GIF ni povsem realizirana;<\/li>\n<li>Ustvari le eno datoteko. Za re\u0161itev tega problema lahko uporabite orodje <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/BuffaloWill\/oxml_xxe\">docem<\/a><\/noindex>, ki lahko ustvari veliko \u0161tevilo datotek s payloadi na razli\u010dnih mestih. <\/li>\n<\/ul>\n<p>\nZgornje omenjene naprave odli\u010dno opravljajo testiranje XXE pri nalaganju dokumentov, ki vsebujejo XML. Ne pozabite pa, da se obdelovalniki XML formatov lahko pojavijo v mnogih drugih situacijah, na primer, XML se lahko uporablja kot podatkovni format namesto JSON.<\/p>\n<p>Zato vam priporo\u010damo, da si ogledate naslednji repozitorij, ki vsebuje veliko raznolikih payloadov: <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/swisskyrepo\/PayloadsAllTheThings\">PayloadsAllTheThings<\/a><\/noindex>.<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"tplmap\"><\/a><\/noindex>tplmap<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/epinna\/tplmap\">tplmap<\/a><\/noindex> \u2014 orodje v Pythonu za samodejno odkrivanje in izkori\u0161\u010danje ranljivosti Server-Side Template Injection, ima podobne nastavitve in zastavice kot sqlmap. Uporablja ve\u010d razli\u010dnih tehnik in vektorjev, vklju\u010dno z blind-injekcijami, ter ima tehnike za izvajanje kode in nalaganje\/izva\u017eanje poljubnih datotek. Poleg tega ima v svojem arsenalu tehnike za deset razli\u010dnih motorjev za predloge in nekatere tehnike za iskanje eval()-podobnih injekcij kode v Pythonu, Rubyju, PHP-ju, JavaScriptu. V primeru uspe\u0161ne izkori\u0161\u010denosti odpre interaktivno konzolo.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Veliko razli\u010dnih tehnik in vektorjev; <\/li>\n<li>Podpira \u0161tevilne motorje za upodabljanje predlog.<\/li>\n<li>Mnogo tehnik izkori\u0161\u010danja.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"CeWL\"><\/a><\/noindex>CeWL<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/digininja\/CeWL\">CeWL<\/a><\/noindex> \u2014 generator besedilnih seznamov v Rubyju, zasnovan za izlo\u010danje edinstvenih besed z dolo\u010denega spletnega mesta, prehaja po povezavah na spletnem mestu do dolo\u010dene globine. Sestavljen seznam edinstvenih besed se lahko kasneje uporablja za brute-force napade gesel na storitvah ali za brute-force napade na datoteke in imenike na istem spletnem mestu, ali za napad na pridobljene hashe s pomo\u010djo hashcat ali John the Ripper. Koristen pri sestavljanju 'ciljnega' seznama potencialnih gesel.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Enostaven za uporabo.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Treba je biti previden z globino iskanja, da se ne zajamejo nepotrebni domene.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"Weakpass\"><\/a><\/noindex>Weakpass<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/weakpass.com\">Weakpass<\/a><\/noindex> \u2014 storitev, ki vsebuje \u0161tevilne besedilne sezname z edinstvenimi gesli. Izjemno koristen za razli\u010dne naloge, povezane s hekanjem gesel, od preprostega spletnega brute-forcinga ra\u010dunov na ciljnih storitvah do offline brute-forcinga pridobljenih hashov s pomo\u010djo <noindex><a rel=\"nofollow\" href=\"https:\/\/hashcat.net\/hashcat\/\">hashcat<\/a><\/noindex> ili <noindex><a rel=\"nofollow\" href=\"https:\/\/www.openwall.com\/john\/\">John The Ripper<\/a><\/noindex>. Vsebuje pribli\u017eno 8 milijard gesel dol\u017eine od 4 do 25 znakov. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Vsebuje tako specifi\u010dne besedilne sezname kot tudi sezname z najpogostej\u0161imi gesli \u2014 lahko izberete dolo\u010den seznam glede na svoje potrebe;<\/li>\n<li>Besedilni seznami se redno posodabljajo in dopolnjujejo z novimi gesli.<\/li>\n<li>Besedila so razvr\u0161\u010dena po u\u010dinkovitosti. Lahko izberete mo\u017enost za hiter spletni bruteforce ali za temeljito izbiro gesel iz obse\u017enega seznama z zadnjimi uhajanji;<\/li>\n<li>Obstaja kalkulator, ki prikazuje \u010das bruteforce napadov na va\u0161i opremi.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/1e9daeca2b42b5ba4dd7750bee2ef36c.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nV posebno skupino bi radi umestili orodja za preverjanje CMS: WPScan, JoomScan in AEM hacker. <\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"AEM_hacker\"><\/a><\/noindex>AEM_hacker<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/0ang3el\/aem-hacker\">AEM hacker<\/a><\/noindex> \u2014 orodje za odkrivanje ranljivosti v aplikacijah Adobe Experience Manager (AEM). <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Lahko odkrije AEM aplikacije iz seznama URL-jev, ki jih vnese;<\/li>\n<li>Vsebuje skripte za pridobitev RCE z nalaganjem JSP lupinice ali izkori\u0161\u010danjem SSRF.<\/li>\n<\/ul>\n<p><\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"JoomScan\"><\/a><\/noindex>JoomScan<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/rezasp\/joomscan\">JoomScan<\/a><\/noindex> \u2014 orodje v Perl za avtomatizacijo odkrivanja ranljivosti pri namestitvi Joomla CMS. <\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Zmo\u017een je odkrivati te\u017eave s konfiguracijo in te\u017eave z administrativnimi nastavitvami;<\/li>\n<li>Na\u0161tete razli\u010dice Joomla in povezane ranljivosti, podobno za posamezne komponente;<\/li>\n<li>Vsebuje ve\u010d kot 1000 exploitov za komponente Joomla;<\/li>\n<li>Izvaja zaklju\u010dna poro\u010dila v besedilni in HTML obliki.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/2f9561213895d338f8e88127bf02c3e6.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2><noindex><a rel=\"nofollow\" name=\"WPScan\"><\/a><\/noindex>WPScan<\/h2>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/wpscanteam\/wpscan\">WPScan<\/a><\/noindex> \u2014 orodje za skeniranje spletnih strani na WordPress, vsebuje ranljivosti tako za samo platformo WordPress kot tudi za nekatere vti\u010dnike.<\/p>\n<h4>Prednosti:<\/h4>\n<p><\/p>\n<ul>\n<li>Zmo\u017een je na\u0161tevati nevarne WordPress vti\u010dnike in teme, ter pridobiti seznam uporabnikov in TimThumb datoteke;<\/li>\n<li>Lahko izvaja bruteforce napade na WordPress spletne strani.<\/li>\n<\/ul>\n<p><\/p>\n<h4>Mane:<\/h4>\n<p><\/p>\n<ul>\n<li>Brez ustreznih nastavitev opravi nepopoln nabor pregledov, kar lahko zavaja.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Spletna orodja ali kje za\u010deti pentester?\" src=\"\/wp-content\/uploads\/2019\/05\/eb391071eb62381da16c425d95e7cec5.gif\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNa splo\u0161no razli\u010dni ljudje raje uporabljajo razli\u010dna orodja: vsa so dobra na svoj na\u010din, kar se nekomu zdi dobro, morda ne ustreza drugim. \u010ce menite, da smo nepo\u0161teno spregledali kak\u0161no dobro orodje \u2014 sporo\u010dite o njem v komentarjih!<br \/>\n<br \/>Izvor: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/dsec\/blog\/452836\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u041d\u0430\u0448 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 BeLove \u0443\u0436\u0435 \u0434\u0435\u043b\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043f\u043e\u0434\u0431\u043e\u0440\u043a\u0443 \u043e\u043a\u043e\u043b\u043e \u0441\u0435\u043c\u0438 \u043b\u0435\u0442 \u043d\u0430\u0437\u0430\u0434. \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0438 \u0438 \u0443\u043a\u0440\u0435\u043f\u0438\u043b\u0438 \u0441\u0432\u043e\u0438 \u043f\u043e\u0437\u0438\u0446\u0438\u0438, \u0430 \u043a\u0430\u043a\u0438\u0435 \u043e\u0442\u043e\u0448\u043b\u0438 \u043d\u0430 \u0437\u0430\u0434\u043d\u0438\u0439 \u043f\u043b\u0430\u043d \u0438 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0441\u044e\u0434\u0430 \u0436\u0435 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0438 Burp Suite, [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-34646","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sl_SI\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Web tools, \u0438\u043b\u0438 \u0441 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0443? | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:59:35+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:59:35+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Spletna orodja, ali kako za\u010deti pentester?! | ProHoster","description":"Nadaljujemo z opisovanjem koristnih orodij za pentesterje.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Web tools, \u0438\u043b\u0438 \u0441 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0443? | ProHoster","og:description":"\u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0434\u043b\u044f \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u0430.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/web-tools-ili-s-chego-nachat-pentesteru","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:59:35+00:00","article:modified_time":"2019-10-31T18:59:35+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"34646","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 20:04:30","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:17:23","updated":"2026-01-21 20:04:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/34646","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=34646"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/34646\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/26108"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=34646"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=34646"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=34646"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}