Tiện ích
Chế độ xem Tiện ích của Ogma tập hợp các công cụ chuyên biệt hỗ trợ kiểm thử và phân tích ngoài bảng lưu lượng proxy chính.
Trình quét
Chạy các quy trình quét thụ động và chủ động. Xem Quét.
OAST
OAST hỗ trợ các quy trình kiểm thử ngoài băng, trong đó ứng dụng có thể gọi lại đến một bộ lắng nghe HTTP, HTTPS, DNS hoặc SMTP do bạn kiểm soát.
Dùng OAST cho:
- SSRF.
- XXE mù.
- Chèn lệnh mù.
- Kiểm thử webhook và tích hợp.
- Bằng chứng khai thác dựa trên callback.
Cấu hình cổng callback và tên miền phù hợp với môi trường triển khai.
Decoder
Decoder biến đổi dữ liệu đầu vào đã chọn thông qua các chuỗi thao tác có thứ tự. Chuỗi có thể bao gồm các thao tác như mã hóa, giải mã, băm, định dạng hoặc trích xuất.
Dùng Decoder khi kiểm tra thủ công:
- Token.
- Tham số được mã hóa.
- JSON lồng nhau.
- Nội dung được mã hóa URL.
- Nội dung Base64 hoặc thập lục phân.
So sánh
So sánh làm nổi bật khác biệt giữa yêu cầu, phản hồi, token hoặc các dữ liệu văn bản khác. Công cụ hữu ích sau khi dùng Replay hoặc Automate nếu phản hồi chỉ thay đổi rất nhỏ.
JWT
Tiện ích JWT giúp kiểm tra header, claim, thời hạn, lựa chọn thuật toán và các vấn đề bảo mật dễ nhận thấy của token.
Việc kiểm tra JWT nên bao gồm:
- Thuật toán.
- Claim về thời điểm hết hạn và bắt đầu có hiệu lực.
- Đối tượng nhận và bên phát hành.
- Claim về vai trò hoặc phân quyền.
- Các giả định về xác minh chữ ký.
Sequencer và phân tích token
Các công cụ kiểu Sequencer giúp kiểm tra tính ngẫu nhiên, khả năng dự đoán và phân bố trong các token hoặc phản hồi lặp lại.
Dùng các công cụ này cho:
- Định danh phiên.
- Token CSRF.
- Token đặt lại mật khẩu.
- Mã mời.
- Định danh dạng số hoặc được suy ra từ dấu thời gian.
Payload
Các công cụ payload sắp xếp chuỗi và danh sách từ có thể tái sử dụng cho kiểm thử thủ công, Automate và các quy trình.
Sắp xếp các bộ payload theo khu vực mục tiêu, trường hợp kiểm thử hoặc quy trình.
Tranh chấp / Smuggling
Các tiện ích tranh chấp và smuggling hỗ trợ kiểm thử chuyên sâu về hành vi HTTP.
Bắt đầu với số lượng yêu cầu thấp, so sánh thời gian và hành vi phản hồi, rồi lưu lại lưu lượng làm bằng chứng cho Phát hiện.
Bộ lắng nghe shell kết nối ngược
Bộ lắng nghe shell kết nối ngược cung cấp một tab trong không gian làm việc cục bộ cho các phiên shell. Khi khởi động bộ lắng nghe, bảng không gian làm việc mở ra và tiêu điểm chuyển sang tab shell.
Ghi chú
Ghi chú là tài liệu dự án được lưu cục bộ. Dùng ghi chú để giữ lại giả thuyết, quan sát thủ công, bước tái hiện và ngữ cảnh báo cáo chưa phù hợp để đưa vào một phát hiện chính thức.
Khám phá
Khám phá giúp liệt kê đường dẫn mục tiêu bằng ngữ cảnh đã thu thập và danh sách từ. Dùng phạm vi và giới hạn tốc độ để tránh lưu lượng không cần thiết.