पेनिट्रेशन टेस्टिंग, शुरुआत से विशेषज्ञ तक!

यह गाइड शुरुआती और अनुभवी पेनिट्रेशन टेस्टर्स दोनों के लिए डिज़ाइन की गई है। यह वेब एप्लिकेशन पेनिट्रेशन टेस्टिंग के सभी पहलुओं को कवर करती है, जिसमें मूलभूत अवधारणाएं, Burp Suite और bWAPP जैसे टूल के साथ टेस्टिंग वातावरण सेट करना, और कमजोरियों की पहचान और शोषण के लिए विस्तृत पद्धतियां शामिल हैं, विशेष रूप से OWASP टॉप 10 में सूचीबद्ध कमजोरियां। गाइड वीडियो ट्यूटोरियल और प्रासंगिक टूल के लिंक जैसे व्यावहारिक संसाधन भी प्रदान करती है, जो वेब एप्लिकेशन सुरक्षा परीक्षण और बग बाउंटी हंटिंग कौशल में सुधार करने के इच्छुक किसी भी व्यक्ति के लिए मूल्यवान है।

सामग्री सूची:

चरण 1 - इतिहास
चरण 2 - वेब और सर्वर प्रौद्योगिकी
चरण 3 - Burp Suite और bWAPP के साथ लैब सेट करना
चरण 4 - एप्लिकेशन और हमले की सतह का मैपिंग
चरण 5 - OWASP टॉप 10 कमजोरियों को समझना और उनका शोषण करना
चरण 6 - सत्र प्रबंधन परीक्षण
चरण 7 - क्लाइंट-साइड नियंत्रणों को बायपास करना
चरण 8 - प्रमाणीकरण/लॉगिन पर हमला करना
चरण 9 - एक्सेस नियंत्रणों पर हमला (IDOR, विशेषाधिकार वृद्धि, छिपी फ़ाइलें और निर्देशिकाएं)
चरण 10 - इनपुट वैलिडेशन पर हमला (सभी इंजेक्शन, XSS और अन्य)
चरण 11 - त्रुटि कोड उत्पन्न करना और परीक्षण करना
चरण 12 - कमजोर क्रिप्टोग्राफी परीक्षण
चरण 13 - व्यावसायिक तर्क कमजोरी

वेब एप्लिकेशन पेनिट्रेशन टेस्टिंग

चरण 1 - इतिहास

इंटरनेट का इतिहास - https://www.youtube.com/watch?v=VPToE8vwKew
इंटरनेट 5 मिनट में कैसे काम करता है - https://www.youtube.com/watch?v=sMHzfigUxz4

चरण 2 - वेब और सर्वर प्रौद्योगिकी

वेब एप्लिकेशन की बुनियादी अवधारणाएं, वे कैसे काम करते हैं और HTTP प्रोटोकॉल - https://www.youtube.com/watch?v=qcALGDn0zpk
HTML क्रैश कोर्स: बिल्कुल शुरुआती लोगों के लिए - https://www.youtube.com/watch?v=salY_Sm6mv4
स्टैटिक और डायनेमिक वेबसाइट के बीच अंतर - https://www.youtube.com/watch?v=0QT06AFAbdc
HTTP अनुरोध विधियां और हेडर समझाएं - https://www.youtube.com/watch?v=8q5mc1AEtYo
REST API अवधारणाएं और उदाहरण - https://www.youtube.com/watch?v=-mN3VyJuCjM
कुकी क्या है? - https://www.youtube.com/watch?v=yoE9-tNvhRs
HTTP स्थिति कोड - https://www.youtube.com/watch?v=qmpUfWN7hh4
HTTP प्रॉक्सी क्या है? - https://www.youtube.com/watch?v=j9-Y0KWVJ1k
HTTP कुकीज़ और सत्र - https://www.youtube.com/watch?v=zHBpJA5XfDk
HTTP बुनियादी और डाइजेस्ट प्रमाणीकरण - https://www.baeldung.com/cs/digest-vs-basic-authentication
सर्वर क्या है? - https://www.youtube.com/watch?v=BPVcsOKfd34
क्लाइंट-सर्वर मॉडल - https://www.youtube.com/watch?v=B8azMzrluHE
अक्षर, प्रतीक और यूनिकोड चमत्कार - https://www.youtube.com/watch?v=MijmeoH9LT4
एन्कोडिंग की बुनियादी बातें - https://www.youtube.com/watch?v=8ue8febDDKU

चरण 3 - Burp Suite और bWAPP के साथ लैब सेट करना

bWAPP (2024) के साथ लैब सेट करें - https://www.youtube.com/watch?v=cQhE0aBfreU
Burp Suite के साथ शुरुआत (PortSwigger आधिकारिक) - https://www.youtube.com/watch?v=S9i_15D2VvY
Firefox को Burp Suite से कॉन्फ़िगर करें और प्रमाणपत्र इंस्टॉल करें - https://www.youtube.com/watch?v=JexC1-eeg-c
Burp Suite के साथ वेबसाइट का मैपिंग और स्कोपिंग - https://www.youtube.com/watch?v=Pr-212A0A4E
Burp Suite के साथ स्पाइडरिंग और क्रॉलिंग - https://www.youtube.com/watch?v=tAqj6h5a-k8
सक्रिय और निष्क्रिय स्कैनिंग - https://www.youtube.com/watch?v=vVuxa-5n_1M
Burp Suite Intruder: एक पूर्ण ट्यूटोरियल - https://www.youtube.com/watch?v=1pGZ5dw-23k
Burp Suite Intruder हमले के प्रकार समझाएं - https://www.youtube.com/watch?v=4zjg6ZST5vU
Burp Suite Repeater ट्यूटोरियल - https://www.youtube.com/watch?v=L9iK2aPmNsM
Burp Suite Sequencer समझाया - https://www.youtube.com/watch?v=qbtD5I6m90A
Burp Suite Decoder ट्यूटोरियल - https://www.youtube.com/watch?v=LqZ6Yh-a2Pk
Burp Suite Comparer ट्यूटोरियल - https://www.youtube.com/watch?v=D0s8yf8aWPE

चरण 4 - एप्लिकेशन और हमले की सतह का मैपिंग

robots.txt का उपयोग करके एप्लिकेशन मैप करना - https://www.youtube.com/watch?v=W9udg2iM_RA
GoBuster के साथ छिपी निर्देशिकाएं और फ़ाइलें खोजें - https://www.youtube.com/watch?v=40n5p-0I2iA
Burp Intruder के साथ छिपी निर्देशिकाएं और फ़ाइलें खोजें - https://www.youtube.com/watch?v=4Fz9mJeMNkI
एप्लिकेशन प्रवेश बिंदुओं की पहचान करें - https://www.youtube.com/watch?v=IgJWPZ2OKO8
क्लाइंट और सर्वर तकनीक की पहचान करें (Wappalyzer और WhatWeb) - https://www.youtube.com/watch?v=B8jN_iWjtyM
बैनर ग्रैबिंग (टेलनेट) का उपयोग करके सर्वर तकनीक की पहचान करें - https://www.youtube.com/watch?v=O67M-U2UOAg
Google Dorks के साथ पेनिट्रेशन टेस्टिंग (Google हैकिंग) - https://www.youtube.com/watch?v=NmdrKFwAw9U
वेब सर्वर फिंगरप्रिंटिंग के लिए Nmap का उपयोग करें - https://www.youtube.com/watch?v=VQV-y_-AN80
सूचना लीक के लिए वेब सर्वरों की मेटाफ़ाइलों की समीक्षा करें - https://www.youtube.com/watch?v=sds3Zotf_ZY
वेब एप्लिकेशन एन्युमरेशन - https://www.youtube.com/watch?v=vX-qn6V_y-Q
एप्लिकेशन के माध्यम से निष्पादन पथ मैप करें - https://www.youtube.com/watch?v=0I0NPiyo9UI
वेब एप्लिकेशन फ्रेमवर्क फिंगरप्रिंट करें - https://www.youtube.com/watch?v=ASzG0kBoE4c

चरण 5 - OWASP टॉप 10 कमजोरियों को समझना और उनका शोषण करना

OWASP टॉप 10 2021 समझाया (पूर्ण कोर्स) - https://www.youtube.com/watch?v=1I-b--I4j4U
A01:2021 - टूटा हुआ एक्सेस नियंत्रण - https://www.youtube.com/watch?v=P38at6Tp8Ms
A02:2021 - क्रिप्टोग्राफिक विफलताएं - https://www.youtube.com/watch?v=2RKbacrkUBU
A03:2021 - इंजेक्शन (SQL इंजेक्शन) - https://www.youtube.com/watch?v=rWHvp7rUka8
A04:2021 - असुरक्षित डिज़ाइन - https://www.youtube.com/watch?v=QJexYmJ-d5A
A05:2021 - सुरक्षा गलत कॉन्फ़िगरेशन - https://www.youtube.com/watch?v=JuGSUMtKTPU
A06:2021 - कमजोर और पुराने घटक - https://www.youtube.com/watch?v=IGsNYVDKRV0
A07:2021 - पहचान और प्रमाणीकरण विफलताएं - https://www.youtube.com/watch?v=mruO75ONWy8
A08:2021 - सॉफ्टवेयर और डेटा अखंडता विफलताएं (असुरक्षित डिसेरियलाइज़ेशन) - https://www.youtube.com/watch?v=nkTBwbnfesQ
A09:2021 - सुरक्षा लॉगिंग और निगरानी विफलताएं - https://www.youtube.com/watch?v=IFF3tkUOF5E
A10:2021 - सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) - https://www.youtube.com/watch?v=52-g7x1i-8Y

चरण 6 - सत्र प्रबंधन परीक्षण

कुकी हेरफेर का उपयोग करके प्रमाणीकरण बायपास करें - https://www.youtube.com/watch?v=mEbmturLljU
HttpOnly और सुरक्षित फ्लैग के माध्यम से कुकी सुरक्षा - OWASP - https://www.youtube.com/watch?v=3aKA4RkAg78
सत्र फिक्सेशन क्या है? (PortSwigger) - https://www.youtube.com/watch?v=YpFRx0a4kX8
क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) क्या है? (PortSwigger) - https://www.youtube.com/watch?v=m0EHlfTgGUU
सत्र अपहरण का उपयोग करके एडमिन बायपास करें - https://www.youtube.com/watch?v=1wp1o-1TfAc

चरण 7 - क्लाइंट-साइड नियंत्रणों को बायपास करना

HTML में छिपे फॉर्म फ़ील्ड क्या हैं? - https://www.youtube.com/watch?v=orUoGsgaYAE
Burp Suite का उपयोग करके छिपे फॉर्म फ़ील्ड को बायपास करना - https://www.youtube.com/watch?v=xahvJyUFTfM
पैरामीटर टैम्परिंग का उपयोग करके ई-कॉमर्स वेबसाइट पर मूल्य बदलना - https://www.youtube.com/watch?v=A-ccNpP06Zg
कुकी टैम्परिंग के साथ वेबसाइट हैकिंग - https://www.youtube.com/watch?v=NgKXm0lBecc
Referer हेडर को समझना - https://www.youtube.com/watch?v=GkQnBa3C7WI
क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS) क्या है? - https://www.youtube.com/watch?v=Ka8vG5miErk
सुरक्षा हेडर क्या हैं? - https://www.youtube.com/watch?v=TNlcoYLIGFk

चरण 8 - प्रमाणीकरण/लॉगिन पर हमला करना

Burp Suite Intruder के साथ लॉगिन पैनल ब्रूट-फोर्स करें - https://www.youtube.com/watch?v=25cazx5D_vw
उपयोगकर्ता नाम एन्युमरेशन - https://www.youtube.com/watch?v=WCO7LnSlskE
असुरक्षित HTTP प्रोटोकॉल पर प्रमाणीकरण (Wireshark) - https://www.youtube.com/watch?v=ueSG7TUqoxk
पासवर्ड भूल गए संबंधी कमजोरी - https://www.youtube.com/watch?v=FEUidWWnZwU
लॉगिन पेज ऑटोकम्प्लीट फीचर सक्षम कमजोरी - https://www.youtube.com/watch?v=XNjUfwDmHGc
कमजोर पासवर्ड नीति के लिए परीक्षण (OTG-AUTHN-007) - https://www.owasp.org/index.php/Testing_for_Weak_password_policy(OTG-AUTHN-007
एन्क्रिप्टेड चैनल पर क्रेडेंशियल ट्रांसपोर्ट के लिए परीक्षण - https://www.youtube.com/watch?v=21_IYz4npRs
ब्राउज़र कैश कमजोरियों का परीक्षण - https://www.youtube.com/watch?v=2T_Xz3Humdc
SQL इंजेक्शन का उपयोग करके लॉगिन पैनल बायपास करना - https://www.youtube.com/watch?v=TSqXkkOt6oM

चरण 9 - एक्सेस नियंत्रणों पर हमला (IDOR, विशेषाधिकार वृद्धि, छिपी फ़ाइलें और निर्देशिकाएं)

एडमिन पैनल खोजना - https://www.youtube.com/watch?v=r1k2lgvK3s0
Dirbuster / Gobuster के साथ छिपे हुए वेबपेज खोजना - https://www.youtube.com/watch?v=--nu9Jq07gA
IDOR (असुरक्षित प्रत्यक्ष ऑब्जेक्ट संदर्भ) क्या है? - https://www.youtube.com/watch?v=gci4R9Vkulc
Zomato IDOR बग बाउंटी वॉकथ्रू - https://www.youtube.com/watch?v=tCJBLG5Mayo
विशेषाधिकार वृद्धि क्या है? - https://www.youtube.com/watch?v=80RzLSrczmc
विशेषाधिकार वृद्धि का उदाहरण - https://www.youtube.com/watch?v=g3lv__87cWM

चरण 10 - इनपुट वैलिडेशन पर हमला (सभी इंजेक्शन, XSS और अन्य)

HTTP वर्ब टैम्परिंग

HTTP वर्ब टैम्परिंग का परिचय - https://www.youtube.com/watch?v=Wl0PrIeAnhs
HTTP वर्ब टैम्परिंग डेमो - https://www.youtube.com/watch?v=bZlkuiUkQzE

HTTP पैरामीटर प्रदूषण

HTTP पैरामीटर प्रदूषण का परिचय - https://www.youtube.com/watch?v=Tosp-JyWVS4
HTTP पैरामीटर प्रदूषण डेमो - https://www.youtube.com/watch?v=QVZBl8yxVX0

XSS - क्रॉस साइट स्क्रिप्टिंग

XSS क्या है? (PortSwigger) - https://www.youtube.com/watch?v=cbmBDiR6WaY
रिफ्लेक्टेड XSS डेमो - https://www.youtube.com/watch?v=r79ozjCL7DA
स्टोर्ड XSS डेमो - https://www.youtube.com/watch?v=oHIl_pCahsQ
DOM बेस्ड XSS समझाया - https://www.youtube.com/watch?v=SHmQ3sQFeLE
XSS फ़िल्टर एवेज़न चीट शीट - https://owasp.org/www-community/xss-filter-evasion-cheatsheet

SQL इंजेक्शन

SQL इंजेक्शन मास्टर कोर्स (पूर्ण श्रृंखला) - https://www.youtube.com/watch?v=243tripa-pI&list=PLk_nB42gPc_c_r2a-sY2y5sIIZ3nYa-hO

NoSQL इंजेक्शन

NoSQL इंजेक्शन का परिचय - https://www.youtube.com/watch?v=h0h37-Dwd_A
NoSQL डेटाबेस पर हमला - https://www.youtube.com/watch?v=lcO1BTNh8r8

XPath और XML इंजेक्शन

XPath इंजेक्शन क्या है? - https://www.youtube.com/watch?v=L2k3223i-w8
XML एक्सटर्नल एंटिटी (XXE) इंजेक्शन क्या है? (PortSwigger) - https://www.youtube.com/watch?v=g2ey7ry8_CQ
XXE डेमो - https://www.youtube.com/watch?v=3B8QhyrEXlU

LDAP इंजेक्शन

परिचय और व्यावहारिक डेमो - https://www.youtube.com/watch?v=-TXFlg7S9ks

OS कमांड इंजेक्शन

OS कमांड इंजेक्शन क्या है? (PortSwigger) - https://www.youtube.com/watch?v=v_R0p3n_5I8
bWAPP में OS कमांड इंजेक्शन डेमो - https://www.youtube.com/watch?v=qLIkGJrMY9k

फ़ाइल शामिल करना (LFI/RFI)

लोकल फ़ाइल शामिल करना (LFI) समझाया - https://www.youtube.com/watch?v=kcojXEwolIs
रिमोट फ़ाइल शामिल करना (RFI) समझाया - https://www.youtube.com/watch?v=MZjORTEwpaw

HTTP स्प्लिटिंग/स्मगलिंग

HTTP रिक्वेस्ट स्मगलिंग क्या है? (PortSwigger) - https://www.youtube.com/watch?v=bVaZWHrfiPw
HTTP रिक्वेस्ट स्मगलिंग डेमो - https://www.youtube.com/watch?v=mOf4H1aLiiE

चरण 11 - त्रुटि कोड उत्पन्न करना और परीक्षण करना

Burp Intruder के साथ त्रुटि संदेश उत्पन्न करना - https://www.youtube.com/watch?v=LDF6OkcvBzM

चरण 12 - कमजोर क्रिप्टोग्राफी परीक्षण

SSL/TLS कमजोर कॉन्फ़िगरेशन समझाया - https://www.youtube.com/watch?v=Rp3iZUvXWlM
Nmap के साथ कमजोर SSL/TLS सिफ़र का परीक्षण - https://www.youtube.com/watch?v=slbwCMHqCkc
Qualys SSL Labs के साथ SSL/TLS सुरक्षा का परीक्षण करें - https://www.youtube.com/watch?v=Na8KxqmETnw
अनएन्क्रिप्टेड चैनलों के माध्यम से भेजी गई संवेदनशील जानकारी - https://www.youtube.com/watch?v=21_IYz4npRs

चरण 13 - व्यावसायिक तर्क कमजोरी

व्यावसायिक तर्क दोष क्या है? - https://www.youtube.com/watch?v=ICbvQzva6lE
व्यावसायिक तर्क दोषों की पहचान कैसे करें - https://www.youtube.com/watch?v=FJcgfLM4SAY
व्यावसायिक तर्क दोष: हमलावर मानसिकता - https://www.youtube.com/watch?v=Svxh9KSTL3Y
व्यावसायिक तर्क शोषण: डेटा लीकेज - https://www.youtube.com/watch?v=qe0bEvguvbs
डेमो 1 - क्लाइंट में अत्यधिक विश्वास - https://www.youtube.com/watch?v=yV7O-QRyOao
डेमो 2 - असुरक्षित पासवर्ड रीसेट - https://www.youtube.com/watch?v=A8V_58QZPMs
डेमो 3 - तर्क दोष बग बाउंटी उदाहरण - https://www.youtube.com/watch?v=1pvrEKAFJyk
HackerOne रिपोर्ट - पासवर्ड रीसेट पर तर्क दोष - https://hackerone.com/reports/145745
HackerOne रिपोर्ट - व्यवसायिक तर्क दोष क्रेडिट जोड़ने की अनुमति देता है - https://hackerone.com/reports/430854

आनंद लें और सीखते रहें! ♥

Massive-Web-Application-Penetration-Testing-Bug-Bounty-Notes

सबसे लोकप्रिय