Utilidades
La vista Utilidades de Ogma reúne herramientas específicas que ayudan en las pruebas y el análisis fuera de la tabla principal del proxy.
Escáner
Ejecuta flujos de trabajo de escaneo pasivo y activo. Consulta Análisis.
OAST
OAST admite flujos de trabajo de pruebas fuera de banda en los que la aplicación puede realizar un callback a un servicio de escucha HTTP, HTTPS, DNS o SMTP controlado.
Usa OAST para:
- SSRF.
- XXE ciego.
- Inyección ciega de comandos.
- Pruebas de webhooks e integraciones.
- Pruebas de explotación basadas en callbacks.
Configura los puertos de callback y los ajustes del dominio según tu entorno de despliegue.
Decodificador
El Decodificador transforma la entrada seleccionada mediante recetas ordenadas. Las recetas pueden incluir operaciones como codificación, decodificación, cálculo de hashes, formateo o extracción.
Usa el Decodificador cuando inspecciones manualmente:
- Tokens.
- Parámetros codificados.
- JSON anidado.
- Cuerpos con codificación URL.
- Contenido Base64 o hexadecimal.
Comparar
Comparar resalta las diferencias entre solicitudes, respuestas, tokens u otros textos. Resulta útil después de Reenvío o Automatización cuando los cambios en las respuestas son sutiles.
JWT
La utilidad JWT ayuda a inspeccionar las cabeceras y declaraciones de los tokens, su caducidad, los algoritmos elegidos y los problemas de seguridad evidentes.
La revisión de JWT debe incluir:
- Algoritmo.
- Declaraciones de caducidad y de validez a partir de una fecha.
- Audiencia y emisor.
- Declaraciones de rol o autorización.
- Supuestos de verificación de la firma.
Secuenciador y análisis de tokens
Las herramientas de tipo secuenciador ayudan a inspeccionar la aleatoriedad, previsibilidad y distribución en tokens o respuestas repetidos.
Úsalas para:
- Identificadores de sesión.
- Tokens CSRF.
- Tokens de restablecimiento de contraseña.
- Códigos de invitación.
- Identificadores numéricos o derivados de marcas de tiempo.
Cargas útiles
Las herramientas de cargas útiles organizan cadenas reutilizables y listas de palabras para pruebas manuales, Automatización y flujos de trabajo.
Mantén los conjuntos de cargas útiles organizados por área del objetivo, caso de prueba o flujo de trabajo.
Condiciones de carrera / Contrabando HTTP
Las utilidades de condiciones de carrera y contrabando de solicitudes permiten realizar pruebas especializadas del comportamiento HTTP.
Empieza con un número bajo de solicitudes, compara los tiempos y el comportamiento de las respuestas y después guarda el tráfico probatorio para Hallazgos.
Punto de escucha de shell inversa
El servicio de escucha de shell inversa proporciona una pestaña local del espacio de trabajo para las sesiones de shell. Al iniciar un servicio de escucha se abre el panel del espacio de trabajo y se enfoca la pestaña de shell.
Notas
Las notas son documentación local del proyecto. Úsalas para conservar hipótesis, observaciones manuales, pasos de reproducción y contexto para los informes que aún no corresponden a un hallazgo formal.
Descubrimiento
Descubrimiento ayuda a enumerar rutas del objetivo usando el contexto capturado y listas de palabras. Usa el alcance y los límites de tasa para evitar tráfico innecesario.