Utilitaires

La vue Utilitaires d'Ogma regroupe des outils spécialisés pour les tests et l'analyse en dehors du tableau principal du proxy.

Scanner

Exécute les processus d'analyse passive et active. Voir Analyse de sécurité.

OAST

OAST prend en charge les tests hors bande dans lesquels l'application peut contacter un service d'écoute HTTP, HTTPS, DNS ou SMTP que vous contrôlez.

Utilisez OAST pour :

• Les SSRF.
• Les XXE aveugles.
• Les injections de commandes aveugles.
• Les tests de webhooks et d'intégrations.
• Les preuves d'exploitation fondées sur des interactions hors bande.

Configurez les ports d'écoute des interactions hors bande et les paramètres de domaine en fonction de votre environnement de déploiement.

Décodeur

Décodeur transforme l'entrée sélectionnée en appliquant des recettes composées d'opérations exécutées dans un ordre défini. Ces recettes peuvent inclure des opérations d'encodage, de décodage, de hachage, de mise en forme ou d'extraction.

Utilisez Décodeur pour examiner manuellement :

• Des jetons.
• Des paramètres encodés.
• Du JSON imbriqué.
• Des corps encodés au format URL.
• Du contenu en Base64 ou en hexadécimal.

Comparer

Comparer met en évidence les différences entre requêtes, réponses, jetons ou autres éléments textuels. Cet outil est utile après Rejeu ou Automatisation lorsque les changements de réponse sont subtils.

JWT

L'utilitaire JWT facilite l'examen des en-têtes, des revendications, de l'expiration, du choix des algorithmes et des problèmes de sécurité évidents des jetons.

L'examen d'un JWT doit porter sur :

• L'algorithme.
• Les revendications d'expiration et de début de validité.
• L'audience et l'émetteur.
• Les revendications de rôle ou d'autorisation.
• Les hypothèses concernant la vérification de la signature.

Séquenceur et analyse des jetons

Les outils de type Séquenceur permettent d'examiner le caractère aléatoire, la prévisibilité et la distribution de jetons ou de réponses obtenus de manière répétée.

Utilisez-les pour :

• Les identifiants de session.
• Les jetons CSRF.
• Les jetons de réinitialisation de mot de passe.
• Les codes d'invitation.
• Les identifiants numériques ou dérivés d'horodatages.

Charges utiles

Les outils Charges utiles organisent des chaînes et des listes de mots réutilisables pour les tests manuels, Automatisation et les workflows.

Organisez les ensembles de charges utiles par zone cible, cas de test ou workflow.

Race / Smuggling

Les utilitaires Race et Smuggling prennent en charge des tests spécialisés du comportement HTTP, notamment les conditions de concurrence et la contrebande de requêtes.

Commencez avec peu de requêtes, comparez les temps et les comportements des réponses, puis enregistrez le trafic de preuve pour Constats.

Écoute de shell inversé

Le service d'écoute de shell inversé fournit un onglet local de l'espace de travail pour les sessions shell. Son démarrage ouvre le panneau de l'espace de travail et active l'onglet shell.

Notes

Les notes constituent la documentation locale du projet. Utilisez-les pour conserver les hypothèses, les observations manuelles, les étapes de reproduction et le contexte de rapport qui n'ont pas encore leur place dans un constat formel.

Découverte

Découverte facilite l'énumération des chemins de la cible à partir du contexte capturé et de listes de mots. Utilisez le périmètre et les limites de débit pour éviter le trafic inutile.