Утиліти

Розділ утиліт Ogma об’єднує спеціалізовані інструменти, що допомагають тестуванню й аналізу поза основною таблицею проксі.

Сканер

Виконує пасивне й активне сканування. Див. Сканування.

OAST

OAST підтримує позасмугове тестування, коли застосунок може виконати зворотний виклик до контрольованого приймача HTTP, HTTPS, DNS або SMTP.

Використовуйте OAST для:

• SSRF.
• Сліпого XXE.
• Сліпої ін’єкції команд.
• Тестування вебхуків та інтеграцій.
• Доказів експлуатації через зворотний виклик.

Налаштуйте порти зворотних викликів і домен відповідно до середовища розгортання.

Декодер

Декодер перетворює вибрані дані за впорядкованими рецептами. Рецепти можуть включати кодування, декодування, хешування, форматування або видобування.

Використовуйте декодер для ручного дослідження:

• Токенів.
• Закодованих параметрів.
• Вкладеного JSON.
• Тіл із URL-кодуванням.
• Вмісту Base64 або шістнадцяткових даних.

Порівняння

Порівняння підсвічує відмінності запитів, відповідей, токенів або інших текстових матеріалів. Воно корисне після повторного надсилання чи автоматизації, коли зміни відповіді малопомітні.

JWT

Утиліта JWT допомагає досліджувати заголовки, твердження, строк дії, вибір алгоритму й очевидні проблеми безпеки токенів.

Перевірка JWT має охоплювати:

• Алгоритм.
• Твердження про закінчення й початок дії.
• Аудиторію й видавця.
• Твердження про ролі або авторизацію.
• Припущення щодо перевірки підпису.

Аналізатор послідовностей і аналіз токенів

Інструменти аналізу послідовностей допомагають досліджувати випадковість, передбачуваність і розподіл повторних токенів або відповідей.

Використовуйте їх для:

• Ідентифікаторів сеансів.
• CSRF-токенів.
• Токенів скидання пароля.
• Кодів запрошень.
• Числових ідентифікаторів або ідентифікаторів, похідних від часу.

Тестові навантаження

Інструменти навантажень упорядковують рядки й словники для повторного використання в ручних тестах, автоматизації й робочих процесах.

Упорядковуйте набори навантажень за ділянкою цілі, тестовим випадком або робочим процесом.

Стан гонитви / контрабанда запитів

Утиліти гонитви й контрабанди підтримують спеціалізовані перевірки поведінки HTTP.

Почніть із малої кількості запитів, порівняйте час і поведінку відповідей, потім збережіть доказовий трафік для знахідок.

Приймач зворотної оболонки

Приймач зворотної оболонки надає локальну вкладку робочого простору для сеансів оболонки. Запуск приймача відкриває панель робочого простору й переводить фокус на вкладку оболонки.

Нотатки

Нотатки — локальна документація проєкту. Зберігайте в них гіпотези, ручні спостереження, кроки відтворення й контекст звіту, який ще не належить до формальної знахідки.

Пошук вмісту

Пошук вмісту допомагає перебирати шляхи цілі з використанням перехопленого контексту й словників. Використовуйте область тестування й обмеження частоти, щоб уникати зайвого трафіку.