ユーティリティ

Ogma のユーティリティビューには、メインのプロキシテーブル以外でテストと分析を支援する専用ツールがまとめられています。

スキャナー

パッシブスキャナーとアクティブスキャナーのワークフローを実行します。スキャンを参照してください。

OAST

OAST は、アプリケーションが制御下の HTTP、HTTPS、DNS、SMTP リスナーへコールバックする可能性のある帯域外テストのワークフローをサポートします。

用途：

• SSRF。
• ブラインド XXE。
• ブラインドコマンドインジェクション。
• Webhook と連携機能のテスト。
• コールバックによる悪用の実証。

デプロイ環境に合わせて、コールバックのポートとドメインを設定してください。

デコーダー

デコーダーは順番に並べた処理手順で、選択した入力を変換します。処理手順には、エンコード、デコード、ハッシュ化、整形、抽出などを含められます。

次の内容を手動で確認するときに使用します。

• トークン。
• エンコードされたパラメーター。
• 入れ子の JSON。
• URL エンコードされたボディ。
• Base64 や 16 進数の内容。

比較

比較ツールは、リクエスト、レスポンス、トークン、その他のテキスト資料の違いを強調します。再送や自動化の後に、レスポンスの変化がわずかな場合に役立ちます。

JWT

JWT ユーティリティは、トークンのヘッダー、クレーム、有効期限、アルゴリズムの選択、明らかなセキュリティ問題の確認を支援します。

JWT の確認には次を含めてください。

• アルゴリズム。
• 有効期限と有効期間開始時刻のクレーム。
• 受信者と発行者。
• ロールや認可のクレーム。
• 署名検証に関する前提。

シーケンサーとトークン解析

シーケンサー系のツールは、繰り返されるトークンやレスポンスのランダム性、予測可能性、分布を確認するのに役立ちます。

用途：

• セッション識別子。
• CSRF トークン。
• パスワードリセットトークン。
• 招待コード。
• 数値やタイムスタンプから派生した識別子。

ペイロード

ペイロードツールは、手動テスト、自動化、ワークフロー用の再利用可能な文字列とワードリストを整理します。

ペイロード集合は、対象領域、テストケース、ワークフローごとに整理してください。

競合 / スマグリング

競合とスマグリングのユーティリティは、特殊な HTTP の挙動テストを支援します。

少ないリクエスト数から始め、時間とレスポンスの挙動を比較してから、検証用通信を指摘事項のために保存します。

リバースシェルリスナー

リバースシェルリスナーは、シェルセッション用にローカルワークスペースのタブを提供します。リスナーを起動するとワークスペースパネルが開き、シェルタブにフォーカスが移ります。

メモ

メモはローカルのプロジェクトドキュメントです。正式な指摘事項にはまだ含めない仮説、手動での観察、再現手順、報告の背景を保存するために使用してください。

探索

探索ツールはキャプチャした情報とワードリストを使い、対象パスの列挙を支援します。不要な通信を避けるため、診断対象範囲とレート制限を使用してください。