awesome-web-hacking

यह सूची उन सभी के लिए है जो वेब एप्लिकेशन सुरक्षा सीखना चाहते हैं लेकिन उनके पास कोई शुरुआती बिंदु नहीं है।

आप अधिक जानकारी जोड़ने के लिए Pull Requests भेजकर मदद कर सकते हैं।

यदि आप PRs बनाने के इच्छुक नहीं हैं तो आप मुझे @infoslack पर ट्वीट कर सकते हैं।

विषय-सूची

• पुस्तकें
• दस्तावेज़ीकरण
• उपकरण
• चीट शीट्स
• Docker
• कमजोरियाँ
• पाठ्यक्रम
• ऑनलाइन हैकिंग प्रदर्शन साइटें
• लैब्स
• SSL
• Ruby on Rails सुरक्षा

पुस्तकें

• http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ वेब एप्लिकेशन हैकर की हैंडबुक: सुरक्षा कमजोरियों को खोजना और उनका दोहन करना
• http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ वेब ऐप्स को हैक करना: वेब एप्लिकेशन सुरक्षा समस्याओं का पता लगाना और उन्हें रोकना
• http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ हैकिंग एक्सपोज़्ड वेब एप्लिकेशन
• http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL इंजेक्शन हमले और बचाव
• http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ द टैंगल्ड वेब: आधुनिक वेब एप्लिकेशन सुरक्षित करने के लिए एक गाइड
• http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ वेब एप्लिकेशन ऑब्सफस्केशन: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
• http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS हमले: क्रॉस-साइट स्क्रिप्टिंग शोषण और बचाव
• http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ ब्राउज़र हैकर की हैंडबुक
• http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ वेब हैकिंग की मूल बातें: वेब पर हमला करने के उपकरण और तकनीकें
• http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Kali Linux के साथ वेब पेनेट्रेशन टेस्टिंग
• http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ वेब एप्लिकेशन सुरक्षा, एक शुरुआती गाइड
• https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ हैकिंग: शोषण की कला
• https://www.crypto101.io/ - Crypto 101 क्रिप्टोग्राफी पर एक परिचयात्मक पाठ्यक्रम है
• http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
• http://www.cl.cam.ac.uk/~rja14/book.html - सुरक्षा इंजीनियरिंग
• https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL कुकबुक
• https://www.manning.com/books/real-world-cryptography - क्रिप्टोग्राफिक तकनीकें सीखें और लागू करें।
• https://www.manning.com/books/making-sense-of-cyber-security - साइबर सुरक्षा की प्रमुख अवधारणाओं, शब्दावली और प्रौद्योगिकियों के लिए एक गाइड, जो सुरक्षा रणनीति की योजना बनाने या लागू करने वाले किसी भी व्यक्ति के लिए उपयुक्त है।
• https://www.manning.com/books/cyber-security-career-guide - अपने मौजूदा तकनीकी और गैर-तकनीकी कौशल को अपनाना सीखकर साइबर सुरक्षा में करियर की शुरुआत करें।
• https://www.manning.com/books/secret-key-cryptography - क्रिप्टोग्राफिक तकनीकों और गुप्त कुंजी विधियों के बारे में एक पुस्तक।
• https://www.manning.com/books/application-security-program-handbook - यह व्यावहारिक पुस्तक एक मजबूत एप्लिकेशन सुरक्षा कार्यक्रम लागू करने के लिए एक वन-स्टॉप गाइड है।
• https://www.manning.com/books/cyber-threat-hunting - साइबर खतरे की खोज के लिए व्यावहारिक गाइड।
• https://nostarch.com/bug-bounty-bootcamp - बग बाउंटी बूटकैंप
• https://nostarch.com/hacking-apis - हैकिंग APIs
• https://www.manning.com/books/grokking-web-application-security - ऐसी वेब ऐप्स बनाने के बारे में एक पुस्तक जो किसी भी हमले के लिए तैयार और उसके प्रति लचीली हों।

दस्तावेज़ीकरण

• https://www.owasp.org/ - ओपन वेब एप्लिकेशन सुरक्षा परियोजना
• http://www.pentest-standard.org/ - पेनेट्रेशन टेस्टिंग एक्ज़ीक्यूशन स्टैंडर्ड
• http://www.binary-auditing.com/ - डॉ. थॉर्स्टन श्नाइडर की बाइनरी ऑडिटिंग
• https://appsecwiki.com/ - एप्लिकेशन सिक्योरिटी विकी एक पहल है जो सुरक्षा शोधकर्ताओं और डेवलपर्स को सभी एप्लिकेशन सुरक्षा संबंधी संसाधन एक ही स्थान पर प्रदान करती है।
• AppSec Santa - SAST, DAST, SCA और अधिक में 129+ वेब एप्लिकेशन सुरक्षा उपकरणों की स्वतंत्र तुलना।

उपकरण

• https://github.com/bad-antics/nullsec-linux - NullSec Linux - पूर्व-कॉन्फ़िगर वेब एप्लिकेशन परीक्षण उपकरणों के साथ सुरक्षा वितरण

• https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - वेब एप्लिकेशन फज़िंग फ्रेमवर्क

• https://github.com/poszothebuilder/nextjs-security-headers-starter - CSP, HSTS और CI के लिए प्रोडक्शन वेरिफायर के साथ डिपेंडेंसी-मुक्त Next.js सुरक्षा हेडर स्टार्टर।

• https://www.deepinfo.com/ - Deepinfo Attack Surface Platform आपकी सभी डिजिटल संपत्तियों की खोज करता है, उनकी 24/7 निगरानी करता है, किसी भी समस्या का पता लगाता है और आपको तुरंत सूचित करता है ताकि आप तत्काल कार्रवाई कर सकें।

  • https://github.com/bountyyfi/lonkero - 60+ अटैक मॉड्यूल वाला एंटरप्राइज़-ग्रेड वेब भेद्यता स्कैनर, जो पेनेट्रेशन टेस्टिंग और सुरक्षा आकलन के लिए Rust में बनाया गया है।

• https://spyse.com/ - OSINT खोज इंजन जो पूरे वेब के बारे में ताज़ा डेटा प्रदान करता है, सभी डेटा को अपने DB में संग्रहीत करता है, डेटा खोज को आपस में जोड़ता है और कुछ बेहतरीन सुविधाएँ रखता है।

• http://www.metasploit.com/ - दुनिया का सबसे अधिक उपयोग किया जाने वाला पेनेट्रेशन टेस्टिंग सॉफ़्टवेयर

• https://findsubdomains.com - बहुत सारे अतिरिक्त डेटा के साथ ऑनलाइन सबडोमेन स्कैनर सेवा। OSINT का उपयोग करके काम करती है।

• https://github.com/BlessedRebuS/Krawl - क्लाउड-नेटिव वेब डिसेप्शन सर्वर और एंटी-क्रॉलर।

• https://github.com/bjeborn/basic-auth-pot HTTP बेसिक ऑथेंटिकेशन हनीपॉट।

• http://www.arachni-scanner.com/ - वेब एप्लिकेशन सुरक्षा स्कैनर फ्रेमवर्क

• https://github.com/ASCIT31/Dark-Moon - डार्कमून एक ओपन सोर्स (GPL-3.0) स्वायत्त AI पेनेट्रेशन टेस्टिंग प्लेटफ़ॉर्म है जो MCP के माध्यम से 80+ उपकरणों को समन्वित करता है, जिसमें प्रति-तकनीक समर्पित आक्रामक उप-एजेंट (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby) शामिल हैं और प्रत्येक निष्कर्ष के लिए साक्ष्य का निशान बनाए रखता है।

• SaaSFort - मुफ़्त 60-सेकंड बाहरी NIS2 / सुरक्षा स्थिति स्कैन, A-F ग्रेड, किसी साइनअप की आवश्यकता नहीं।
• ARS3NAL - ऑफ़लाइन-प्रथम, खोज योग्य शस्त्रागार: ~1500 पेलोड, कमांड जनरेटर, GTFOBins, वर्डलिस्ट, एम्बेडेड CyberChef, रिवर्स शेल और 70 चेकलिस्ट।

चीट शीट्स

• http://n0p.net/penguicon/php_app_sec/mirror/xss.html - XSS चीटशीट
• https://highon.coffee/blog/lfi-cheat-sheet/ - LFI चीट शीट
• https://highon.coffee/blog/reverse-shell-cheat-sheet/ - रिवर्स शेल चीट शीट
• https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - SQL इंजेक्शन चीट शीट
• https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - पाथ ट्रैवर्सल चीट शीट: Windows
• Pentest माइंडमैप - 32 श्रेणियों में 11,600+ पेंटेस्टिंग कमांड के साथ इंटरैक्टिव माइंडमैप। वन-क्लिक कॉपी के साथ खोज योग्य।

पेनेट्रेशन टेस्टिंग के लिए Docker इमेजेस

• docker pull kalilinux/kali-linux-docker आधिकारिक Kali Linux
• docker pull blackarchlinux/blackarch आधिकारिक BlackArch Linux
• docker pull owasp/zap2docker-stable - आधिकारिक OWASP ZAP
• docker pull wpscanteam/wpscan - आधिकारिक WPScan
• docker pull metasploitframework/metasploit-framework - docker-metasploit
• docker pull citizenstig/dvwa - डैम वल्नरेबल वेब एप्लिकेशन (DVWA)
• docker pull bkimminich/juice-shop OWASP Juice Shop
• docker pull wpscanteam/vulnerablewordpress - असुरक्षित WordPress इंस्टॉलेशन

कमजोरियाँ* http://cve.mitre.org/ - Common Vulnerabilities and Exposures. सूचना सुरक्षा भेद्यता नामों के लिए मानक

• https://www.exploit-db.com/ - The Exploit Database – एक्सप्लॉइट्स, शेलकोड और सुरक्षा पेपर्स का अंतिम संग्रह।
• http://0day.today/ - Inj3ct0r एक्सप्लॉइट्स और भेद्यताओं का अंतिम डेटाबेस है और भेद्यता शोधकर्ताओं और सुरक्षा पेशेवरों के लिए एक बेहतरीन संसाधन है।
• http://www.securityfocus.com/ - 1999 में अपनी स्थापना के बाद से, SecurityFocus सुरक्षा समुदाय में एक आधार स्तंभ रहा है।
• http://packetstormsecurity.com/ - वैश्विक सुरक्षा संसाधन
• https://wpvulndb.com/ - WPScan भेद्यता डेटाबेस
• https://snyk.io/vuln/ - Vulnerability DB, ज्ञात भेद्यताओं के लिए विस्तृत जानकारी और निवारण मार्गदर्शन।
• https://stellastra.com/cipher-suite - सैकड़ों TLS सिफर सूट और उनकी सुरक्षा स्थिति का डेटाबेस।
• https://vulert.com/vuln-db - Vulert डेवलपर्स को ओपन-सोर्स निर्भरताओं में भेद्यताओं की निगरानी और उनके बारे में सचेत करके उनके सॉफ़्टवेयर को सुरक्षित करने में मदद करता है—उनके कोड तक पहुँच की आवश्यकता के बिना। यह Js, PHP, Java, Python और कई अन्य की निर्भरताओं का समर्थन करता है।
• https://vulncheck.com/xdb/ - Git रिपॉजिटरी में एक्सप्लॉइट प्रूफ-ऑफ-कॉन्सेप्ट कोड का सूचकांक।
• https://labs.jamessawyer.co.uk/cves/ - CVE PoC Search वेब भेद्यता से सार्वजनिक एक्सप्लॉइट कोड तक तेज़ी से बढ़ने के लिए CVE-से-GitHub प्रूफ-ऑफ-कॉन्सेप्ट लुकअप प्रदान करता है।

पाठ्यक्रम

• https://pwn.guide/ - साइबर सुरक्षा सीखने का मंच, लगभग 100 ट्यूटोरियल के साथ, जिनमें से लगभग 25 वेब हैकिंग और वेबसाइटों की सुरक्षा के बारे में हैं।
• https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation (live)
• https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Web App Penetration Testing and Ethical Hacking
• https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Advanced Web App Penetration Testing and Ethical Hacking
• http://opensecuritytraining.info/ - Open Security Training
• http://securitytrainings.net/security-trainings/ - Security Exploded Training
• http://www.securitytube.net/ - दुनिया का सबसे बड़ा इन्फोसेक और हैकिंग पोर्टल।
• https://www.hacker101.com/ - Hackerone द्वारा वेब सुरक्षा के लिए मुफ्त कक्षा
• https://www.darkrelay.com/courses/professional-penetration-tester - DarkRelay Security Labs द्वारा ज़ीरो-हीरो शैली का पेंटेस्टिंग पाठ्यक्रम

ऑनलाइन हैकिंग प्रदर्शन साइटें

• http://testasp.vulnweb.com/ - Acunetix ASP परीक्षण और प्रदर्शन साइट
• http://testaspnet.vulnweb.com/ - Acunetix ASP.Net परीक्षण और प्रदर्शन साइट
• http://testphp.vulnweb.com/ - Acunetix PHP परीक्षण और प्रदर्शन साइट
• http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
• http://zero.webappsecurity.com/ - Zero Bank
• http://demo.testfire.net/ - Altoro Mutual
• https://public-firing-range.appspot.com/ - Firing Range स्वचालित वेब एप्लिकेशन सुरक्षा स्कैनरों के लिए एक परीक्षण मंच है।
• https://xss-game.appspot.com/ - XSS चुनौती
• https://google-gruyere.appspot.com/ Google Gruyere, वेब एप्लिकेशन एक्सप्लॉइट्स और बचाव
• https://ginandjuice.shop/catalog
• https://pentest-ground.com/ Pentest-Ground जानबूझकर भेद्य वेब एप्लिकेशन और नेटवर्क सेवाओं वाला एक मुफ्त खेल का मैदान है।
• HackSimulator एक GPT है जिसे MarkCyber द्वारा बनाया गया है, जिसमें chatGPT 4 एक हैकिंग CTF के रूप में कार्य करता है। यह GPT आपके अनुभव स्तर और आप किसमें सुधार करना चाहते हैं, यह पूछेगा, इससे पहले कि यह आपके लिए हैक करने हेतु एक मशीन/एप्लिकेशन का अनुकरण करे, चैटबॉक्स का उपयोग टर्मिनल कमांड दर्ज करने के स्थान के रूप में करते हुए। चूँकि यह AI के माध्यम से है, यह आपके अनुभव स्तर के आधार पर बदलता और समायोजित होता है, और यदि आप फँस जाते हैं तो आप मदद माँग सकते हैं।

लैब्स

• https://portswigger.net/web-security - वेब सिक्योरिटी अकादमी: PortSwigger से मुफ्त ऑनलाइन प्रशिक्षण
• http://www.cis.syr.edu/~wedu/seed/all_labs.html - कंप्यूटर सुरक्षा शिक्षा के लिए शिक्षण प्रयोगशालाएँ विकसित करना
• https://www.vulnhub.com/ - लोकलहोस्ट पेनेट्रेशन टेस्टिंग के लिए वर्चुअल मशीनें।
• https://pentesterlab.com/ - PentesterLab पेनेट्रेशन टेस्टिंग सीखने का एक आसान और शानदार तरीका है।
• https://codereviewlab.com/ - Code Review Lab एक व्यावहारिक कोड समीक्षा प्रशिक्षण मंच है।
• https://github.com/jerryhoff/WebGoat.NET - यह वेब एप्लिकेशन सामान्य वेब सुरक्षा कमजोरियों के बारे में एक सीखने का मंच है।
• http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
• http://sourceforge.net/projects/lampsecurity/ - LAMPSecurity Training
• https://github.com/Audi-1/sqli-labs - एरर-आधारित, ब्लाइंड बूलियन-आधारित, टाइम-आधारित परीक्षण के लिए SQLI लैब्स।
• https://github.com/paralax/lfi-labs - LFI, RFI और CMD इंजेक्शन भेद्यताओं का शोषण करने का अभ्यास करने के लिए PHP स्क्रिप्ट का छोटा सेट
• https://hack.me/ - सैंडबॉक्स्ड वातावरण में भेद्य वेब ऐप्स मुफ्त में बनाएं, होस्ट करें और साझा करें
• http://azcwr.org/az-cyber-warfare-ranges - शुरुआती से लेकर उन्नत उपयोगकर्ताओं के लिए मुफ्त लाइव फायर कैप्चर द फ्लैग, ब्लू टीम, रेड टीम साइबर वारफेयर रेंज। रेंज तक पहुँच का अनुरोध करने के लिए सेल फोन से टेक्स्ट संदेश भेजना आवश्यक है।
• https://github.com/adamdoupe/WackoPicko - WackoPicko एक भेद्य वेब एप्लिकेशन है जिसका उपयोग वेब एप्लिकेशन भेद्यता स्कैनरों का परीक्षण करने के लिए किया जाता है।
• https://github.com/rapid7/hackazon - Hackazon एक मुफ्त, भेद्य परीक्षण साइट है जो आज के रिच क्लाइंट और मोबाइल एप्लिकेशन में उपयोग की जाने वाली तकनीकों के साथ निर्मित एक ऑनलाइन स्टोरफ्रंट है।

SSL

• https://www.ssllabs.com/ssltest/index.html - यह सेवा सार्वजनिक इंटरनेट पर किसी भी SSL वेब सर्वर के कॉन्फ़िगरेशन का गहन विश्लेषण करती है।
• http://certdb.com/ - SSL/TLS डेटा प्रदाता सेवा। डिजिटल प्रमाणपत्रों के बारे में डेटा एकत्र करती है - जारीकर्ता, संगठन, whois, समाप्ति तिथियाँ, आदि... साथ ही, सुविधा के लिए उपयोगी फ़िल्टर हैं।
• https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - nginx पर मजबूत SSL सुरक्षा
• https://weakdh.org/ - कमजोर Diffie-Hellman और Logjam Attack
• https://letsencrypt.org/ - Let’s Encrypt एक नया प्रमाणपत्र प्राधिकरण है: यह मुफ्त, स्वचालित और खुला है।
• https://filippo.io/Heartbleed/ - CVE-2014-0160 (Heartbleed) के लिए एक जाँचकर्ता (साइट और टूल)।
• https://testssl.sh/ - एक कमांड लाइन टूल जो वेबसाइट के TLS/SSL सिफर, प्रोटोकॉल और क्रिप्टोग्राफिक कमजोरियों की जाँच करता है।
• Scorifya - किसी भी वेबसाइट के लिए 0–100 सुरक्षा स्कोर जो TLS, सुरक्षा हेडर (CSP, HSTS, X-Frame-Options), कुकीज़, DNS और ईमेल सिग्नल (SPF, DKIM, DMARC) को कवर करता है, साथ में क्रमबद्ध सुधार चरण।

Ruby on Rails सुरक्षा

• http://brakemanscanner.org/ - Ruby on Rails एप्लिकेशन के लिए एक स्टैटिक विश्लेषण सुरक्षा भेद्यता स्कैनर।
• https://github.com/rubysec/ruby-advisory-db - भेद्य Ruby Gems का डेटाबेस
• https://github.com/rubysec/bundler-audit - Bundler के लिए पैच-स्तरीय सत्यापन
• https://github.com/hakirisec/hakiri_toolbelt - Hakiri Toolbelt Hakiri प्लेटफ़ॉर्म के लिए एक कमांड लाइन इंटरफ़ेस है।
• https://hakiri.io/facets - भेद्यताओं के लिए Gemfile.lock स्कैन करें।
• http://rails-sqli.org/ - यह पृष्ठ ActiveRecord में कई क्वेरी विधियों और विकल्पों को सूचीबद्ध करता है जो रॉ SQL तर्कों को सैनिटाइज़ नहीं करते हैं और असुरक्षित उपयोगकर्ता इनपुट के साथ कॉल करने के लिए अभिप्रेत नहीं हैं।
• https://github.com/0xsauby/yasuo - एक ruby स्क्रिप्ट जो नेटवर्क पर भेद्य और शोषण योग्य तृतीय-पक्ष वेब एप्लिकेशनों की खोज करती है