מבוא
Ogma היא ערכת כלים לשולחן העבודה לאבטחת יישומי ווב, המיועדת לבודקי חדירה, למהנדסי אבטחת יישומים ולחוקרים. היא משלבת פרוקסי ליירוט, שליחה חוזרת, אוטומציה, תהליכי עבודה, סורקים, כלי עזר, תוספים ושילוב בינה מלאכותית בסביבת עבודה מקומית אחת של הפרויקט.
מהי Ogma?
Ogma פועלת קודם כול באופן מקומי. היא לוכדת תעבורת HTTP, WebSocket ו-SSE בתחנת העבודה שבה היישום פועל, שומרת את הנתונים בפרויקטים מקומיים ומרכזת את תהליך הבדיקה היומיומי לצד טבלת התעבורה.
יכולות מרכזיות
- פרוקסי HTTPS ו-WebSocket - לוכד תעבורת HTTPS ו-WSS ומפענח את ההצפנה באמצעות רשות אישורים מקומית; אפשר ליירט, לערוך, להעביר או לחסום כל בקשה או הודעה.
- שליחה חוזרת - שליחת כל בקשה שנלכדה מחדש עם שינויים; אפשר לשרשר הפעלות ולשמור תבניות לבדיקות רגרסיה.
- אוטומציה - בדיקת פרמטרים בבקשה עם מגוון קלטים מתוך רשימות מטענים, בדומה ל-Burp Intruder; תומכת במצבים סדרתיים ובמצבים מקביליים.
- סורק פסיבי ואקטיבי - כללים פסיביים פועלים על כל התעבורה שנלכדה; בדיקות אקטיביות שולחות מטענים ממוקדים לסוגי פגיעויות נפוצים.
- גילוי תוכן - סריקת נתיבים מתוך רשימות מילים במארחים שבתוך תחום הבדיקה, כדי למצוא נקודות קצה נסתרות.
- תוספים - הרחבת Ogma באמצעות תוספי JavaScript; התקנה מתיקייה, מקובץ ZIP או מחנות התוספים; תואמים לממשקי API של תוספי Caido.
- עוזר בינה מלאכותית - חלונית צ'אט מובנית שיכולה לקרוא תעבורה, ליצור ממצאים, לשלוט בדפדפן ולהריץ בדיקות; מתחברת ל-Anthropic, ל-OpenAI או ל-Google Gemini.
- שילוב MCP - חושף 164 כלים באמצעות Model Context Protocol, כך שלקוחות בינה מלאכותית חיצוניים (Claude Code, Cursor ו-Codex) יכולים לתשאל את ההיסטוריה, לשלוח בקשות, להפעיל תהליכי בדיקה בתחום מוגדר ולעדכן ממצאים.
שימושים ב-Ogma
- לכידה ובדיקה של תעבורת HTTP, WebSocket ו-SSE.
- השהיה, עריכה, העברה או חסימה של תעבורה באמצעות יירוט.
- שליחת בקשות אל שליחה חוזרת, אוטומציה, תהליכי עבודה, הסורק, ממצאים או ייצוא.
- בניית תשתית ראייתית לפרויקט עם בקשות ותגובות מקושרות.
- התקנת תוספים מתיקיות, מארכיוני zip או מחנות התוספים.
- חיבור הקשר הפרויקט, בתחום מוגדר, לעוזרי בינה מלאכותית באמצעות MCP.
מפת התיעוד
| מטרה | דף |
|---|---|
| התקנה והפעלה של Ogma | צעדים ראשונים |
| לכידת הבקשה הראשונה | לכידה ראשונה |
| הבנת תהליך העבודה היומיומי | תהליך עבודה עם פרוקסי |
| הרצת בדיקות פסיביות ואקטיביות | סריקה |
| פיתוח או התקנה של תוספים | מערכת התוספים |
| שימוש בעוזר הבינה המלאכותית המובנה | בינה מלאכותית בסביבת העבודה |
| חיבור לקוח MCP חיצוני | הגדרת MCP |
אזורים עיקריים
| אזור | מתחילים כאן |
|---|---|
| פרוקסי | היסטוריית HTTP, יירוט, שליחה חוזרת |
| ניתוח | חיפוש, ממצאים, ייצוא |
| כלי עזר | סורק, מפענח, JWT |
| אוטומציה | אוטומציה, תהליכי עבודה, סביבה |
| הרחבות | תוספים, SDK לצד השרת, SDK לצד הלקוח |