infoslack/awesome-web-hackingKuratierte Liste von Ressourcen zur Sicherheit von Webanwendungen, darunter Bücher, Tools, Spickzettel, Labore und Kurse zum Erlernen von Penetrationstests und Schwachstellenbewertung.
# awesome-web-hacking
Diese Liste richtet sich an alle, die etwas über Webanwendungssicherheit lernen möchten, aber keinen Einstiegspunkt haben.
Du kannst helfen, indem du Pull Requests mit weiteren Informationen einreichst.
Wenn du keine PRs erstellen möchtest, kannst du mir auf `@infoslack` tweeten.
Inhaltsverzeichnis
=================
* [Bücher](#books)
* [Dokumentation](#documentation)
* [Tools](#tools)
* [Cheat Sheets](#cheat-sheets)
* [Docker](#docker-images-for-penetration-testing)
* [Schwachstellen](#vulnerabilities)
* [Kurse](#courses)
* [Online-Hacking-Demonstrationsseiten](#online-hacking-demonstration-sites)
* [Labs](#labs)
* [SSL](#ssl)
* [Sicherheit in Ruby on Rails](#security-ruby-on-rails)
## Bücher
* http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
* http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
* http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
* http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
* http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
* http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
* http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
* http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
* http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
* http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
* http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
* https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
* https://www.crypto101.io/ - Crypto 101 ist ein Einführungskurs in die Kryptographie
* http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
* http://www.cl.cam.ac.uk/~rja14/book.html - Security Engineering
* https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL Cookbook
* https://www.manning.com/books/real-world-cryptography - Kryptographische Techniken lernen und anwenden.
* https://www.manning.com/books/making-sense-of-cyber-security - Ein Leitfaden zu den Schlüsselkonzepten, der Terminologie und den Technologien der Cybersicherheit – ideal für alle, die eine Sicherheitsstrategie planen oder umsetzen.
* https://www.manning.com/books/cyber-security-career-guide - Starte eine Karriere in der Cybersicherheit, indem du lernst, deine vorhandenen technischen und nicht-technischen Fähigkeiten anzupassen.
* https://www.manning.com/books/secret-key-cryptography - Ein Buch über kryptographische Techniken und Secret-Key-Methoden.
* https://www.manning.com/books/application-security-program-handbook - Dieses praxisorientierte Buch ist ein zentraler Leitfaden für die Umsetzung eines robusten Application-Security-Programms.
* https://www.manning.com/books/cyber-threat-hunting - Praktischer Leitfaden zur Cyber-Threat-Hunting.
* https://nostarch.com/bug-bounty-bootcamp - Bug Bounty Bootcamp
* https://nostarch.com/hacking-apis - Hacking APIs
* https://www.manning.com/books/grokking-web-application-security - Ein Buch über den Aufbau von Web-Apps, die für jeden Angriff gerüstet und widerstandsfähig sind.
## Dokumentation
* https://www.owasp.org/ - Open Web Application Security Project
* http://www.pentest-standard.org/ - Penetration Testing Execution Standard
* http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
* https://appsecwiki.com/ - Das Application Security Wiki ist eine Initiative, um alle Ressourcen rund um Anwendungssicherheit für Sicherheitsforscher und Entwickler an einem Ort bereitzustellen.
* [AppSec Santa](https://appsecsanta.com) - Unabhängiger Vergleich von über 129 Webanwendungssicherheits-Tools aus den Bereichen SAST, DAST, SCA und mehr.
## Tools
* https://github.com/bad-antics/nullsec-linux - NullSec Linux - Sicherheitsdistribution mit vorkonfigurierten Tools zum Testen von Webanwendungen
* https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Fuzzing-Framework für Webanwendungen
* https://github.com/poszothebuilder/nextjs-security-headers-starter - Abhängigkeitsfreier Next.js-Starter für Sicherheitsheader mit CSP, HSTS und einem Produktions-Verifier für CI.
* https://www.deepinfo.com/ - Die Deepinfo Attack Surface Platform entdeckt alle Ihre digitalen Assets, überwacht sie rund um die Uhr, erkennt jegliche Probleme und benachrichtigt Sie umgehend, damit Sie sofort handeln können.
* https://github.com/bountyyfi/lonkero - Web-Schwachstellenscanner auf Unternehmensniveau mit über 60 Angriffsmodulen, entwickelt in Rust für Penetrationstests und Sicherheitsbewertungen.
* https://spyse.com/ - OSINT-Suchmaschine, die aktuelle Daten über das gesamte Web bereitstellt, alle Daten in ihrer eigenen DB speichert, Funddaten miteinander verknüpft und einige coole Funktionen bietet.
* http://www.metasploit.com/ - Die weltweit am häufigsten verwendete Penetrationstest-Software
* https://findsubdomains.com - Online-Subdomain-Scanner-Dienst mit vielen zusätzlichen Daten. Funktioniert mittels OSINT.
* https://cc.la - Kostenloses Online-Toolkit für WHOIS, RDAP, DNS, IP-WHOIS, SSL-Zertifikatssuche, Nameserver-Verlauf, Netzwerkdiagnose (ping/traceroute/MTR) und Domain-Überwachung. Keine Registrierung erforderlich.
* https://vacato.io - Kostenlose RDAP-Domain-Watchlist: geplante Prüfungen + Telegram/E-Mail/Slack, wenn der Status verfügbar erscheint. Kein Registrar oder Drop-Catcher. Kostenlose Stufe: 10 Domains.
* https://github.com/BlessedRebuS/Krawl - Cloud-nativer Web-Deception-Server und Anti-Crawler.
* https://github.com/bjeborn/basic-auth-pot HTTP Basic Authentication HoneyPot.
* http://www.arachni-scanner.com/ - Web Application Security Scanner Framework
* https://github.com/ASCIT31/Dark-Moon - Darkmoon ist eine quelloffene (GPL-3.0) autonome KI-Penetrationstest-Plattform, die über 80 Tools über MCP orchestriert, mit dedizierten offensiven Sub-Agenten pro Technologie (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby) und einer Nachweiskette pro Fund.
* https://github.com/BugTraceAI/BugTraceAI - BugTraceAI ist eine quelloffene Multi-Agenten-Plattform für autorisierte Sicherheitstests von Webanwendungen mit Validierung, Beweiserfassung und Berichterstellung.
* https://github.com/TayfurYldz/headerproof - HeaderProof ist ein Developer-Alpha-Scanner mit geringem Rauschen für autorisierte Tests von header-basierten Web-Sicherheitshinweisen wie CORS-Fehlkonfiguration, Response Splitting, Cache-Poisoning-Kandidaten und Reflection-Pfaden, mit expliziten Evidenzprüfungen und Unterdrückung von Fehlalarmen.
* https://github.com/ANVEAI/anve-offsec - Autonomer KI-Sicherheitsingenieur & Bug-Bounty-Plattform in Kali Linux mit zustandsbehaftetem Hermes-Reasoning, OpenClaw-Chromium-Browser-Sidecar und Qdrant-Vektorstrategie-RAG. 🇮🇳
* https://github.com/sullo/nikto - Nikto Webserver-Scanner
* http://www.tenable.com/products/nessus-vulnerability-scanner - Nessus Vulnerability Scanner
* http://www.portswigger.net/burp/intruder.html - Burp Intruder ist ein Tool zur Automatisierung maßgeschneiderter Angriffe gegen Web-Apps.
* http://www.openvas.org/ - Der weltweit fortschrittlichste Open-Source-Schwachstellenscanner und -Manager.
* https://github.com/iSECPartners/Scout2 - Sicherheitsaudit-Tool für AWS-Umgebungen
* https://www.owasp.org/index.php/Category:OWASP_DirBuster_Project - Ist eine Multithread-Java-Anwendung, die entwickelt wurde, um Verzeichnis- und Dateinamen auf Web-/Anwendungsservern per Brute-Force zu ermitteln.
* https://www.owasp.org/index.php/ZAP - Der Zed Attack Proxy ist ein benutzerfreundliches integriertes Penetrationstest-Tool zum Auffinden von Schwachstellen in Webanwendungen.
* https://github.com/vigolium/vigolium - Hochpräziser Web- & API-Schwachstellenscanner, der agentische KI mit einer schnellen nativen Engine verbindet; über 250 Erkennungsmodule für die OWASP Top 10, authentifizierte IDOR/BOLA- & Out-of-Band-Tests sowie OpenAPI/Postman/Burp/cURL-Eingaben. Open Source, AGPL-3.0.
* https://github.com/tecknicaltom/dsniff - dsniff ist eine Sammlung von Tools für Netzwerk-Auditing und Penetrationstests.
* https://github.com/WangYihang/Webshell-Sniper - Verwalten Sie Ihre Webshell über das Terminal.
* https://github.com/DanMcInerney/dnsspoof - DNS-Spoofer. Verwirft DNS-Antworten vom Router und ersetzt sie durch die gefälschte DNS-Antwort
* https://github.com/trustedsec/social-engineer-toolkit - Das Social-Engineer Toolkit (SET) Repository von TrustedSec
* https://github.com/sqlmapproject/sqlmap - Automatisches SQL-Injection- und Datenbank-Übernahme-Tool
* https://github.com/beefproject/beef - Das Browser Exploitation Framework Project
* http://w3af.org/ - w3af ist ein Framework für Angriffe auf und Audits von Webanwendungen
* https://github.com/espreto/wpsploit - WPSploit, Ausnutzung von WordPress mit Metasploit
* https://vulert.com/ - Vulert sichert Software ab, indem es Schwachstellen in Open-Source-Abhängigkeiten erkennt – ohne auf Ihren Code zuzugreifen. Es unterstützt Js, PHP, Java, Python und mehr.
* https://github.com/WangYihang/Reverse-Shell-Manager - Reverse-Shell-Manager über das Terminal.
* https://github.com/RUB-NDS/WS-Attacker - WS-Attacker ist ein modulares Framework für Penetrationstests von Webdiensten
* https://github.com/wpscanteam/wpscan - WPScan ist ein Black-Box-Schwachstellenscanner für WordPress
* https://github.com/own2pwn-fr/wp2shell-detect - Blackbox-, nicht-intrusiver Detektor für die wp2shell Pre-Auth-RCE-Kette im WordPress-Core (CVE-2026-63030 / CVE-2026-60137); ermittelt die Core-Version aus öffentlichen Quellen und markiert anfällige Installationen, ohne sie auszunutzen
* http://sourceforge.net/projects/paros/ Paros-Proxy
* https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project Web-Scarab-Proxy
* https://code.google.com/p/skipfish/ Skipfish, ein aktives Tool zur Sicherheitsaufklärung von Webanwendungen
* http://www.acunetix.com/vulnerability-scanner/ Acunetix Web Vulnerability Scanner
* https://cystack.net/ CyStack Web Security Platform
* http://www-03.ibm.com/software/products/en/appscan IBM Security AppScan
* https://www.netsparker.com/web-vulnerability-scanner/ Netsparker Web-Schwachstellenscanner
* http://www8.hp.com/us/en/software-solutions/webinspect-dynamic-analysis-dast/index.html HP Web Inspect
* https://github.com/sensepost/wikto Wikto - Nikto für Windows mit einigen zusätzlichen Funktionen
* http://samurai.inguardians.com Samurai Web Testing Framework
* https://code.google.com/p/ratproxy/ Ratproxy
* http://www.websecurify.com Websecurify
* http://sourceforge.net/projects/grendel/ Grendel-scan
* https://tools.kali.org/web-applications/gobuster Verzeichnis-/Datei- und DNS-Busting-Tool, geschrieben in Go
* http://www.edge-security.com/wfuzz.php Wfuzz
* http://wapiti.sourceforge.net wapiti
* https://github.com/neuroo/grabber Grabber
* https://subgraph.com/vega/ Vega
* http://websecuritytool.codeplex.com Watcher passiver Web-Scanner
* http://xss.codeplex.com x5s Assistent für Sicherheitstests von XSS- und Unicode-Transformationen
* http://www.beyondsecurity.com/avds AVDS Vulnerability Assessment and Management
* http://www.golismero.com Golismero
* http://www.ikare-monitoring.com IKare
* http://www.nstalker.com N-Stalker X
* https://www.rapid7.com/products/nexpose/index.jsp Nexpose
* http://www.rapid7.com/products/appspider/ App Spider
* http://www.milescan.com ParosPro
* https://www.qualys.com/enterprises/qualysguard/web-application-scanning/ Qualys Web Application Scanning
* http://www.beyondtrust.com/Products/RetinaNetworkSecurityScanner/ Retina
* https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework Xenotix XSS Exploit Framework
* https://github.com/future-architect/vuls Schwachstellenscanner für Linux, agentenlos, geschrieben in golang.
* https://github.com/rastating/wordpress-exploit-framework Ein Ruby-Framework zur Entwicklung und Nutzung von Modulen, die beim Penetrationstest von WordPress-basierten Websites und Systemen helfen.
* http://www.xss-payloads.com/ XSS-Payloads zur Ausnutzung von XSS-Schwachstellen, zum Erstellen benutzerdefinierter Payloads und zum Üben von Penetrationstest-Fähigkeiten.
* https://github.com/joaomatosf/jexboss JBoss (und andere Java-Deserialisierungsschwachstellen) Verifikations- und EXploit-Tool
* https://github.com/commixproject/commix Automatisiertes All-in-One-Tool für OS-Command-Injection und Exploitation
* https://github.com/pathetiq/BurpSmartBuster Ein Burp-Suite-Plugin zur Inhaltserkennung, das das Smart in den Buster bringt!
* https://github.com/GoSecure/csp-auditor Burp- und ZAP-Plugin zur Analyse von CSP-Headern
* https://github.com/ffleming/timing_attack Führt Timing-Angriffe gegen Webanwendungen durch
* https://github.com/lalithr95/fuzzapi Fuzzapi ist ein Tool für REST-API-Pentesting
* https://github.com/owtf/owtf Offensive Web Testing Framework (OWTF)
* https://github.com/nccgroup/wssip Anwendung zum Erfassen, Modifizieren und Senden benutzerdefinierter WebSocket-Daten vom Client zum Server und umgekehrt.
* https://github.com/PalindromeLabs/STEWS Tool-Suite für WebSocket-Discovery, Fingerprinting und Schwachstellenerkennung
* https://github.com/tijme/angularjs-csti-scanner Automatisierte Erkennung von clientseitiger Template-Injection (Sandbox-Escape/Bypass) für AngularJS (ACSTIS).
* https://reshift.softwaresecured.com Ein Quellcode-Analysewerkzeug zum Erkennen und Verwalten von Java-Sicherheitsschwachstellen.
* https://encoding.tools Web-App zur Transformation von Binärdaten und Zeichenketten, einschließlich Hashes und verschiedener Kodierungen. GPLv3-Offline-Version verfügbar.
* https://gchq.github.io/CyberChef/ Ein „Cyber Swiss Army Knife" für verschiedene Kodierungen und Transformationen von Binärdaten und Zeichenketten.
* https://github.com/urbanadventurer/WhatWeb WhatWeb - Webscanner der nächsten Generation
* https://www.shodan.io/ Shodan - Die Suchmaschine zum Auffinden verwundbarer Server
* https://github.com/WangYihang/Webshell-Sniper Ein Webshell-Manager über das Terminal
* https://github.com/nil0x42/phpsploit PhpSploit - Voll ausgestattetes C2-Framework, das über einen bösartigen PHP-Oneliner still auf dem Webserver persistiert
* https://webhint.io/ - webhint - webhint ist ein anpassbares Linting-Tool, das Ihnen hilft, die Barrierefreiheit, Geschwindigkeit, browserübergreifende Kompatibilität und mehr Ihrer Website zu verbessern, indem es Ihren Code auf Best Practices und häufige Fehler prüft.
* https://gtfobins.github.io/ - gtfobins - GTFOBins ist eine kuratierte Liste von Unix-Binaries, die genutzt werden können, um lokale Sicherheitsbeschränkungen in fehlkonfigurierten Systemen zu umgehen.
* https://github.com/HightechSec/git-scanner git-scanner - Ein Tool für Bug Hunting oder Pentesting, das auf Websites abzielt, die offene `.git`-Repositories öffentlich zugänglich haben
* [Web Application Exploitation @ Rawsec Inventory](https://inventory.raw.pm/tools.html#title-tools-web-application-exploitation) - Vollständige Liste der Web-Pentesting-Tools
* [Cyclops is a novel browser that can detect vulnerability automatically](https://github.com/v8blink/Chromium-based-XSS-Taint-Tracking/) - Cyclops ist ein Webbrowser mit XSS-Erkennungsfunktion
* https://caido.io/ - Web-Proxy
* https://github.com/assetnote/kiterunner - API-Discovery
* https://github.com/owasp-amass/amass - Domain-Recon
* [https://columbus.elmasy.com/](https://columbus.elmasy.com/) - Columbus Project ist ein fortschrittlicher Subdomain-Discovery-Dienst mit schneller, leistungsstarker und einfach zu bedienender API.
* [BadUSB Script To Exfiltrate Passwords](https://github.com/MarkCyber/BadUSB/blob/main/HackStuff/CredentialHarvester.txt) - Extrahiert alle gespeicherten Passwörter aus Chrome, Firefox und Edge, um sie auf einem sekundären USB-Stick zur weiteren Analyse zu speichern.
* https://github.com/flibustier/jwt-online-cracker - Brute-Force für HS256-, HS384- oder HS512-JWT-Token direkt im Browser (vollständig clientseitig).
* [jwt-auditor](https://github.com/mohelobeid/jwt-auditor) - Offline-CLI zum Dekodieren und Prüfen von JWTs auf alg:none, schwache HMAC-Secrets und RS256-zu-HS256-Verwechslung.
* https://github.com/lukechilds/reverse-shell - Leicht zu merkende Reverse Shell, die auf den meisten Unix-ähnlichen Systemen funktionieren sollte.
* https://github.com/momenbasel/keyFinder - Chrome-Erweiterung, die Webseiten passiv auf geleakte API-Schlüssel, Tokens und Secrets scannt, mithilfe von über 80 Erkennungsmustern und Shannon-Entropie über 10 Angriffsflächen hinweg.
* https://github.com/DenisPodgurskii/pentestkit - Browserbasierter Schwachstellenscanner für Bug-Bounty- und Pentesting-Workflows, der DAST-, SAST-, IAST- und SCA-Funktionen kombiniert, um Laufzeit-, Quellcode-, interaktive und abhängigkeitsbezogene Sicherheitsprobleme zu erkennen.
- [SaaSFort](https://saasfort.com/scan) – Kostenloser 60-Sekunden-Scan der externen NIS2-/Sicherheitslage, Bewertung von A bis F, keine Anmeldung erforderlich.
- [ARS3NAL](https://github.com/inflictx/Arsenal) – Offline-first, durchsuchbares Arsenal: ~1500 Payloads, Befehlsgenerator, GTFOBins, Wortlisten, eingebettetes CyberChef, Reverse Shells und 70 Checklisten.
- [Mozilla - HTTP Observatory](https://developer.mozilla.org/en-US/observatory) – Das von Mozilla entwickelte HTTP Observatory führt eine eingehende Bewertung der HTTP-Header einer Website und anderer wichtiger Sicherheitskonfigurationen durch.
- [HTTP Security Report](https://httpsecurityreport.com/) – Erhalten Sie einen sofortigen Bericht darüber, wie Ihre Website im Vergleich zu den Best Practices abschneidet.
- [ImmuniWeb CyberScore](https://www.immuniweb.com/cyberscore/) – kostenlose Bewertung der Cybersicherheit, des Datenschutzes und der KI-Sicherheit Ihres Unternehmens, Ihrer Partner oder Lieferanten
- [ImmuniWeb - Website Security Test](https://www.immuniweb.com/websec/) – Prüft auf Websicherheits-Schwachstellen, KI-Bot-Schutz, HTTP-Sicherheits- und Datenschutz-Header, DNSSEC-Konfiguration, CSP sowie die Einhaltung von DSGVO und PCI DSS. 10 kostenlose Tests pro Monat (ohne Konto)
- [Pentest Tools - Website Vulnerability Scanner](https://pentest-tools.com/website-vulnerability-scanning/website-scanner) – erkennt SQLi, XSS, Command Injection, XXE und über 75 weitere Schwachstellen in Webanwendungen
- [Pentest Tools - Network Vulnerability Scanner](https://pentest-tools.com/network-vulnerability-scanning/network-security-scanner-online) – ein Online-Sicherheitstool zur Identifizierung von Schwachstellen, Fehlkonfigurationen, veralteten Diensten und exponierten Ports in der Netzwerkinfrastruktur
- [UpClaw](https://github.com/okdkebm/UpClaw) – KI-gesteuerte Web-Pentest-CLI; einzelne Python-Datei ohne Abhängigkeiten (29 integrierte Prüfungen + 16 Adapter für externe Tools + Nachweisberichte).
- [HTTP Detection Agent](https://github.com/ai-blueteam/http-detection-agent) – quelloffener, lokal arbeitender HTTP-Angriffsdetektor: Rust-CLI mit 76 Erkennungen über 62 Verhaltensfamilien (Injection, Traversal, Request Smuggling, SSRF, XXE, Deserialisierung und mehr) sowie ein lokaler MCP-Server für agentengesteuerte Triage
- [KeyDrift](https://keydrift.dev) – Durchsucht bereitgestelltes HTML und JavaScript nach offengelegten Geheimnissen und erkennt dabei öffentliche Browser-Anmeldedaten, die nicht als Leaks behandelt werden sollten.
## Cheat Sheets
* http://n0p.net/penguicon/php_app_sec/mirror/xss.html - XSS-Cheatsheet
* https://highon.coffee/blog/lfi-cheat-sheet/ - LFI-Cheatsheet
* https://highon.coffee/blog/reverse-shell-cheat-sheet/ - Reverse-Shell-Cheatsheet
* https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - SQL-Injection-Cheatsheet
* https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - Path-Traversal-Cheatsheet: Windows
* [Pentest Mindmap](https://pentestmindmap.com/en) - Interaktive Mindmap mit über 11.600 Pentesting-Befehlen in 32 Kategorien. Durchsuchbar mit Ein-Klick-Kopieren.
## Docker-Images für Penetration Testing
* `docker pull kalilinux/kali-linux-docker` [offizielles Kali Linux](https://hub.docker.com/r/kalilinux/kali-linux-docker/)
* `docker pull blackarchlinux/blackarch` [offizielles BlackArch Linux](https://hub.docker.com/r/blackarchlinux/blackarch)
* `docker pull owasp/zap2docker-stable` - [offizielles OWASP ZAP](https://github.com/zaproxy/zaproxy)
* `docker pull wpscanteam/wpscan` - [offizielles WPScan](https://hub.docker.com/r/wpscanteam/wpscan/)
* `docker pull metasploitframework/metasploit-framework` - [docker-metasploit](https://hub.docker.com/r/metasploitframework/metasploit-framework/)
* `docker pull citizenstig/dvwa` - [Damn Vulnerable Web Application (DVWA)](https://hub.docker.com/r/citizenstig/dvwa/)
* `docker pull bkimminich/juice-shop` [OWASP Juice Shop](https://hub.docker.com/r/bkimminich/juice-shop)
* `docker pull wpscanteam/vulnerablewordpress` - [Verwundbare WordPress-Installation](https://hub.docker.com/r/wpscanteam/vulnerablewordpress/)
* `docker pull hmlio/vaas-cve-2014-6271` - [Vulnerability as a service: Shellshock](https://hub.docker.com/r/hmlio/vaas-cve-2014-6271/)
* `docker pull hmlio/vaas-cve-2014-0160` - [Vulnerability as a service: Heartbleed](https://hub.docker.com/r/hmlio/vaas-cve-2014-0160/)
* `docker pull opendns/security-ninjas` - [Security Ninjas](https://hub.docker.com/r/opendns/security-ninjas/)
* `docker pull noncetonic/archlinux-pentest-lxde:1.0` - [Arch Linux Penetration Tester](https://hub.docker.com/r/noncetonic/archlinux-pentest-lxde/)
* `docker pull diogomonica/docker-bench-security` - [Docker Bench for Security](https://hub.docker.com/r/diogomonica/docker-bench-security/)
* `docker pull ismisepaul/securityshepherd` - [OWASP Security Shepherd](https://hub.docker.com/r/ismisepaul/securityshepherd/)
* `docker pull danmx/docker-owasp-webgoat` - [Docker-Image des OWASP WebGoat Project](https://hub.docker.com/r/webgoat/goatandwolf)
* `docker pull docker pull jeroenwillemsen/wrongsecrets` - [Docker-Image des OWASP WrongSecrets Project](https://hub.docker.com/r/jeroenwillemsen/wrongsecrets)
* `docker pull citizenstig/nowasp` - [OWASP Mutillidae II Web Pen-Test Practice Application](https://hub.docker.com/r/citizenstig/nowasp/)
* `docker pull aaaguirre/pentest` - [Docker für Pentest](https://github.com/aaaguirrep/pentest)
* `docker pull rustscan/rustscan:2.0.0` - [The Modern Port Scanner](https://github.com/RustScan/RustScan)
## Schwachstellen
* http://cve.mitre.org/ - Common Vulnerabilities and Exposures. Der Standard für die Benennung von Informationssicherheits-Schwachstellen
* https://www.exploit-db.com/ - The Exploit Database – das ultimative Archiv für Exploits, Shellcode und Security-Papers.
* http://0day.today/ - Inj3ct0r ist die ultimative Datenbank für Exploits und Schwachstellen und eine großartige Ressource für Schwachstellenforscher und Sicherheitsexperten.
* http://www.securityfocus.com/ - Seit seiner Gründung im Jahr 1999 ist SecurityFocus eine feste Größe in der Sicherheitscommunity.
* http://packetstormsecurity.com/ - Globale Sicherheitsressource
* https://wpvulndb.com/ - WPScan-Schwachstellendatenbank
* https://snyk.io/vuln/ - Vulnerability DB, detaillierte Informationen und Behebungsempfehlungen für bekannte Schwachstellen.
* https://stellastra.com/cipher-suite - Datenbank mit Hunderten von TLS-Cipher-Suites und ihrem Sicherheitsstatus.
* https://vulert.com/vuln-db - Vulert hilft Entwicklern, ihre Software abzusichern, indem es Schwachstellen in Open-Source-Abhängigkeiten überwacht und meldet – ohne Zugriff auf deren Code zu benötigen. Es unterstützt Abhängigkeiten aus Js, PHP, Java, Python und vielen mehr.
* https://vulncheck.com/xdb/ - Ein Index von Exploit-Proof-of-Concept-Code in Git-Repositories.
* https://labs.jamessawyer.co.uk/cves/ - CVE PoC Search bietet eine CVE-zu-GitHub-Proof-of-Concept-Suche, um schnell von einer Web-Schwachstelle zu öffentlichem Exploit-Code zu wechseln.
## Kurse
* https://pwn.guide/ - Cybersecurity-Lernplattform mit etwa 100 Tutorials, von denen ungefähr 25 sich mit Web-Hacking und der Verteidigung von Websites befassen.
* https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation (live)
* https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Web App Penetration Testing and Ethical Hacking
* https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Advanced Web App Penetration Testing and Ethical Hacking
* http://opensecuritytraining.info/ - Open Security Training
* http://securitytrainings.net/security-trainings/ - Security Exploded Training
* http://www.securitytube.net/ - Das weltweit größte Infosec- und Hacking-Portal.
* https://www.hacker101.com/ - Kostenloser Kurs für Web-Sicherheit von [Hackerone](https://www.hackerone.com)
* https://www.darkrelay.com/courses/professional-penetration-tester - Pentesting-Kurs im Zero-Hero-Stil von [DarkRelay Security Labs](https://www.darkrelay.com)
## Online-Hacking-Demonstrationsseiten
* http://testasp.vulnweb.com/ - Acunetix ASP-Test- und Demonstrationsseite
* http://testaspnet.vulnweb.com/ - Acunetix ASP.Net-Test- und Demonstrationsseite
* http://testphp.vulnweb.com/ - Acunetix PHP-Test- und Demonstrationsseite
* http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
* http://zero.webappsecurity.com/ - Zero Bank
* http://demo.testfire.net/ - Altoro Mutual
* https://public-firing-range.appspot.com/ - Firing Range ist ein Testbed für automatisierte Web-Application-Security-Scanner.
* https://xss-game.appspot.com/ - XSS-Challenge
* https://google-gruyere.appspot.com/ Google Gruyere, Web-Application-Exploits und -Verteidigungen
* https://ginandjuice.shop/catalog
* https://pentest-ground.com/ Pentest-Ground ist ein kostenloser Spielplatz mit absichtlich verwundbaren Webanwendungen und Netzwerkdiensten.
* [HackSimulator](https://chatgpt.com/g/g-jnT7HlNeK-hacksimulator) ist ein GPT, das von [MarkCyber](https://github.com/MarkCyber) erstellt wurde und in dem chatGPT 4 als Hacking-CTF fungiert. Dieses GPT fragt nach deinem Erfahrungslevel und dem, was du verbessern möchtest, bevor es eine Maschine/Anwendung simuliert, in die du eindringen kannst, wobei die Chatbox als Ort für die Eingabe von Terminalbefehlen dient. Da dies über KI läuft, passt es sich an dein Erfahrungslevel an und du kannst um Hilfe bitten, wenn du nicht weiterkommst.
## Labs
* https://portswigger.net/web-security – Web Security Academy: Kostenlose Online-Schulung von PortSwigger
* http://www.cis.syr.edu/~wedu/seed/all_labs.html – Developing Instructional Laboratories for Computer SEcurity EDucation
* https://www.vulnhub.com/ – Virtuelle Maschinen für Penetrationstests auf localhost.
* https://pentesterlab.com/ – PentesterLab ist eine einfache und großartige Möglichkeit, Penetrationstests zu erlernen.
* https://codereviewlab.com/ – Code Review Lab ist eine praxisorientierte Trainingsplattform für Code-Reviews.
* https://github.com/jerryhoff/WebGoat.NET – Diese Webanwendung ist eine Lernplattform zu gängigen Web-Sicherheitslücken.
* http://www.dvwa.co.uk/ – Damn Vulnerable Web Application (DVWA)
* http://sourceforge.net/projects/lampsecurity/ – LAMPSecurity Training
* https://github.com/Audi-1/sqli-labs – SQLI-Labs zum Testen von errorbasierten, blind-booleanbasierten und zeitbasierten Angriffen.
* https://github.com/paralax/lfi-labs – kleine Sammlung von PHP-Skripten zum Üben der Ausnutzung von LFI-, RFI- und CMD-Injection-Schwachstellen
* https://hack.me/ – Erstellen, Hosten und Teilen verwundbarer Web-Apps in einer Sandbox-Umgebung – kostenlos
* http://azcwr.org/az-cyber-warfare-ranges – Kostenlose Live-Fire-Capture-the-Flag-, Blue-Team- und Red-Team-Cyber-Warfare-Range für Anfänger bis Fortgeschrittene. Zur Anforderung des Zugangs zur Range muss ein Mobiltelefon zum Versenden einer Textnachricht verwendet werden.
* https://github.com/adamdoupe/WackoPicko – WackoPicko ist eine verwundbare Webanwendung zum Testen von Webanwendungs-Schwachstellenscannern.
* https://github.com/rapid7/hackazon – Hackazon ist eine kostenlose, verwundbare Testseite, die einen Online-Shop darstellt, der mit denselben Technologien aufgebaut ist, die in heutigen Rich-Client- und mobilen Anwendungen verwendet werden.
* https://github.com/RhinoSecurityLabs/cloudgoat – Rhino Security Labs' „Vulnerable by Design“-Tool zum Einrichten von AWS-Infrastrukturen
* https://www.hackthebox.eu/ – Hack The Box ist eine Online-Plattform, mit der du deine Fähigkeiten im Bereich Cybersicherheit testen und weiterentwickeln kannst.
* https://github.com/tegal1337/0l4bs – 0l4bs ist eine Cross-Site-Scripting-Labs-Sammlung für Webanwendungssicherheits-Enthusiasten.
* https://github.com/oliverwiegers/pentest_lab – Lokales Pentest-Labor auf Basis von Docker Compose.
* https://ginandjuice.shop/catalog
* https://github.com/dolevf/Damn-Vulnerable-GraphQL-Application
* https://labex.io/skilltrees/cybersecurity – LabEx ist eine Online-Plattform zur Verbesserung deiner Cybersicherheitsfähigkeiten durch praxisorientierte Labs.
* https://pythoncyber.go.ro – CyberPython hilft dir, eigene Recherchen durchzuführen, um Challenges zu lösen, CVEs auszunutzen und gute Skripte zu erstellen.
* https://github.com/kOaDT/oss-oopssec-store – OSS – OopsSec Store: Eine absichtlich verwundbare E-Commerce-Anwendung, die mit Next.js und React für Web-Sicherheitstraining und CTF-Praxis erstellt wurde.
* https://github.com/momenbasel/htb-writeups – HTB Writeups: Die umfassendste Hack-The-Box-Writeup-Sammlung mit über 500 Maschinen, über 400 Challenges, ProLabs, Sherlocks, CTF-Events und Cheatsheets.
## SSL
* https://www.ssllabs.com/ssltest/index.html - Dieser Dienst führt eine tiefgehende Analyse der Konfiguration jedes SSL-Webservers im öffentlichen Internet durch.
* https://certobserver.com/ct-search - Durchsucht Certificate-Transparency-Logs nach SSL/TLS-Zertifikaten, die für eine Domain ausgestellt wurden.
* https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - Starke SSL-Sicherheit auf nginx
* https://weakdh.org/ - Schwaches Diffie-Hellman und der Logjam-Angriff
* https://letsencrypt.org/ - Let’s Encrypt ist eine neue Zertifizierungsstelle: Sie ist kostenlos, automatisiert und offen.
* https://filippo.io/Heartbleed/ - Ein Prüfer (Website und Tool) für CVE-2014-0160 (Heartbleed).
* https://testssl.sh/ - Ein Kommandozeilen-Tool, das die TLS/SSL-Cipher, Protokolle und kryptografischen Schwachstellen einer Website prüft.
* [Scorifya](https://www.scorifya.com) - Sicherheitsbewertung von 0–100 für jede Website, die TLS, Sicherheitsheader (CSP, HSTS, X-Frame-Options), Cookies, DNS und E-Mail-Signale (SPF, DKIM, DMARC) abdeckt, mit priorisierten Behebungsschritten.
---
[Read more](https://github.com/infoslack/awesome-web-hacking)