Skip to content
KitploitKITPLOIT
ツールエクスプロイトブログ
Log in
提出
ツールエクスプロイトブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

フィードお問い合わせプライバシー© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
awesome-web-hacking — Webアプリケーションセキュリティリソースのキュレーションリスト。ペネトレーションテストと脆弱性評価を学ぶための書籍、ツール、チートシート、ラボ、コースを含みます。 | Kitploit
ツール/GitHubGitHub/infoslack/awesome-web-hacking
OSINT (オープンソースインテリジェンス)脆弱性スキャナーウェブアプリケーション悪用ウェブセキュリティ暗号化CTFペネトレーションテスト学習と教育厳選リソース
GitHubinfoslack/awesome-web-hacking

awesome-web-hacking

Webアプリケーションセキュリティリソースのキュレーションリスト。ペネトレーションテストと脆弱性評価を学ぶための書籍、ツール、チートシート、ラボ、コースを含みます。

7.2k1.4k641日前Kitploit レビュー済み

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有
リポジトリを見る
# awesome-web-hacking
このリストは、Webアプリケーションセキュリティについて学びたいが、どこから始めればよいか分からない人のためのものです。

情報を追加するPull Requestを送ることで貢献できます。

PRを作成するつもりがない場合は、`@infoslack` までツイートしてください。

目次
=================

   * [書籍](#books)
   * [ドキュメント](#documentation)
   * [ツール](#tools)
   * [チートシート](#cheat-sheets)
   * [Docker](#docker-images-for-penetration-testing)
   * [脆弱性](#vulnerabilities)
   * [コース](#courses)
   * [オンラインハッキング演習サイト](#online-hacking-demonstration-sites)
   * [ラボ](#labs)
   * [SSL](#ssl)
   * [Ruby on Railsのセキュリティ](#security-ruby-on-rails)

## 書籍

   * http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
   * http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
   * http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
   * http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
   * http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
   * http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
   * http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
   * http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
   * http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
   * http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
   * http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
   * https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
   * https://www.crypto101.io/ - Crypto 101は暗号技術に関する入門コースです
   * http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
   * http://www.cl.cam.ac.uk/~rja14/book.html - Security Engineering
   * https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL Cookbook
   * https://www.manning.com/books/real-world-cryptography - 暗号技術を学び、応用する。
   * https://www.manning.com/books/making-sense-of-cyber-security - セキュリティ戦略を計画または実施するすべての人に最適な、サイバーセキュリティの主要概念、用語、技術を解説するガイド。
   * https://www.manning.com/books/cyber-security-career-guide - 既存の技術的・非技術的スキルを適応させる方法を学び、サイバーセキュリティのキャリアをスタートさせる。
   * https://www.manning.com/books/secret-key-cryptography - 暗号技術と秘密鍵方式に関する書籍。
   * https://www.manning.com/books/application-security-program-handbook - この実践的な書籍は、堅牢なアプリケーションセキュリティプログラムを実装するためのワンストップガイドです。
   * https://www.manning.com/books/cyber-threat-hunting - サイバー脅威ハンティングの実践ガイド。
   * https://nostarch.com/bug-bounty-bootcamp - Bug Bounty Bootcamp
   * https://nostarch.com/hacking-apis - Hacking APIs
   * https://www.manning.com/books/grokking-web-application-security - あらゆる攻撃に備え、耐性のあるWebアプリを構築する方法についての書籍。


## ドキュメント

   * https://www.owasp.org/ - Open Web Application Security Project
   * http://www.pentest-standard.org/ - Penetration Testing Execution Standard
   * http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
   * https://appsecwiki.com/ - Application Security Wikiは、アプリケーションセキュリティに関連するあらゆるリソースをセキュリティ研究者や開発者に一箇所で提供することを目的とした取り組みです。
   * [AppSec Santa](https://appsecsanta.com) - SAST、DAST、SCAなどにわたる129以上のWebアプリケーションセキュリティツールの独立した比較。

## ツール
   * https://github.com/bad-antics/nullsec-linux - NullSec Linux - Webアプリケーションテストツールが事前設定されたセキュリティディストリビューション
   * https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Webアプリケーションファジングフレームワーク
   * https://github.com/poszothebuilder/nextjs-security-headers-starter - CSP、HSTS、およびCI向けの本番環境検証機能を備えた、依存関係不要のNext.jsセキュリティヘッダースターター。

   * https://www.deepinfo.com/ - Deepinfo Attack Surface Platform は、すべてのデジタル資産を発見し、24時間365日監視し、あらゆる問題を検出して迅速に通知するため、即座に対処できます。
     * https://github.com/bountyyfi/lonkero - 60以上の攻撃モジュールを備えたエンタープライズグレードのWeb脆弱性スキャナーで、ペネトレーションテストとセキュリティ評価のためにRustで構築されています。
   * https://spyse.com/ - ウェブ全体に関する最新データを提供するOSINT検索エンジンで、すべてのデータを独自のDBに保存し、データを相互接続して検索し、いくつかの優れた機能を備えています。
   * http://www.metasploit.com/ - 世界で最も使用されているペネトレーションテストソフトウェア
   * https://findsubdomains.com - 多数の追加データを備えたオンラインサブドメインスキャナーサービス。OSINTを使用して動作します。
   * https://cc.la - WHOIS、RDAP、DNS、IP WHOIS、SSL証明書検索、ネームサーバー履歴、ネットワーク診断（ping/traceroute/MTR）、ドメイン監視のための無料オンラインツールキット。登録不要。
   * https://vacato.io - 無料のRDAPドメインウォッチリスト：定期的なチェック + ステータスが利用可能に見える場合にTelegram/メール/Slackで通知。レジストラやドロップキャッチャーではありません。無料枠：10ドメイン。
   * https://github.com/BlessedRebuS/Krawl - クラウドネイティブなWebデセプションサーバーおよびアンチクローラー。
   * https://github.com/bjeborn/basic-auth-pot HTTP Basic認証ハニーポット。
   * http://www.arachni-scanner.com/ - Webアプリケーションセキュリティスキャナーフレームワーク
   * https://github.com/ASCIT31/Dark-Moon - Darkmoonはオープンソース（GPL-3.0）の自律型AIペネトレーションテストプラットフォームで、MCP上で80以上のツールをオーケストレーションし、技術ごとの専用攻撃サブエージェント（GraphQL、Spring Boot、ASP.NET、Node.js、Flask、PHP、Ruby）を備え、検出項目ごとの証拠トレイルを保持します。
   * https://github.com/BugTraceAI/BugTraceAI - BugTraceAIは、検証、証拠収集、レポート作成を備えた、許可されたWebアプリケーションセキュリティテスト向けのオープンソースのマルチエージェントプラットフォームです。
   * https://github.com/TayfurYldz/headerproof - HeaderProofは、CORSの設定不備、レスポンス分割、キャッシュポイズニングの候補、リフレクションパスなど、ヘッダー駆動型のWebセキュリティリードを許可された範囲でテストするための、開発者向けアルファ版の低ノイズアクティブスキャナーで、明示的な証拠ゲートと誤検知抑制を備えています。
   * https://github.com/ANVEAI/anve-offsec - Kali Linux上で動作する自律型AIセキュリティエンジニア兼バグバウンティプラットフォームで、ステートフルなHermes推論、OpenClaw Chromiumブラウザサイドカー、Qdrantベクトル戦略RAGを特徴としています。🇮🇳
   * https://github.com/sullo/nikto - Nikto Webサーバースキャナー
   * http://www.tenable.com/products/nessus-vulnerability-scanner - Nessus脆弱性スキャナー
   * http://www.portswigger.net/burp/intruder.html - Burp Intruderは、Webアプリに対するカスタマイズされた攻撃を自動化するためのツールです。
   * http://www.openvas.org/ - 世界で最も先進的なオープンソースの脆弱性スキャナー兼マネージャー。
   * https://github.com/iSECPartners/Scout2 - AWS環境向けのセキュリティ監査ツール
   * https://www.owasp.org/index.php/Category:OWASP_DirBuster_Project - Web/アプリケーションサーバー上のディレクトリ名やファイル名をブルートフォースするために設計されたマルチスレッドJavaアプリケーションです。
   * https://www.owasp.org/index.php/ZAP - Zed Attack Proxyは、Webアプリケーションの脆弱性を発見するための使いやすい統合ペネトレーションテストツールです。
   * https://github.com/vigolium/vigolium - エージェント型AIと高速ネイティブエンジンを融合した高精度なWebおよびAPI脆弱性スキャナー。OWASP Top 10をカバーする250以上の検出モジュール、認証済みIDOR/BOLAおよびアウトオブバンドテスト、OpenAPI/Postman/Burp/cURL入力に対応。オープンソース、AGPL-3.0。
   * https://github.com/tecknicaltom/dsniff - dsniffは、ネットワーク監査とペネトレーションテストのためのツール群です。
   * https://github.com/WangYihang/Webshell-Sniper - ターミナル経由でWebshellを管理します。
   * https://github.com/DanMcInerney/dnsspoof - DNSスプーファー。ルーターからのDNS応答を破棄し、スプーフィングされたDNS応答に置き換えます
   * https://github.com/trustedsec/social-engineer-toolkit - TrustedSecによるSocial-Engineer Toolkit（SET）リポジトリ
   * https://github.com/sqlmapproject/sqlmap - 自動SQLインジェクションおよびデータベース乗っ取りツール
   * https://github.com/beefproject/beef - The Browser Exploitation Framework Project
   * http://w3af.org/ - w3afはWebアプリケーション攻撃・監査フレームワークです
   * https://github.com/espreto/wpsploit - WPSploit、MetasploitでWordPressを悪用する
   * https://vulert.com/ - Vulertはコードにアクセスすることなく、オープンソース依存関係の脆弱性を検出してソフトウェアを保護します。Js、PHP、Java、Pythonなどをサポートしています。
   * https://github.com/WangYihang/Reverse-Shell-Manager - ターミナル経由のリバースシェルマネージャー。
   * https://github.com/RUB-NDS/WS-Attacker - WS-AttackerはWebサービスペネトレーションテスト用のモジュラーフレームワークです
   * https://github.com/wpscanteam/wpscan - WPScanはブラックボックス型のWordPress脆弱性スキャナーです
   * https://github.com/own2pwn-fr/wp2shell-detect - WordPressコアにおけるwp2shell認証前RCEチェーン(CVE-2026-63030 / CVE-2026-60137)のブラックボックスかつ非侵入型の検出ツール。公開ソースからコアバージョンを特定し、悪用することなく脆弱なインストールを検出します
   * http://sourceforge.net/projects/paros/ Parosプロキシ
   * https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project Web Scarabプロキシ
   * https://code.google.com/p/skipfish/ Skipfish、アクティブなWebアプリケーションセキュリティ偵察ツール
   * http://www.acunetix.com/vulnerability-scanner/ Acunetix Web Vulnerability Scanner
   * https://cystack.net/ CyStack Web Security Platform
   * http://www-03.ibm.com/software/products/en/appscan IBM Security AppScan
   * https://www.netsparker.com/web-vulnerability-scanner/ Netsparker Web脆弱性スキャナー
   * http://www8.hp.com/us/en/software-solutions/webinspect-dynamic-analysis-dast/index.html HP Web Inspect
   * https://github.com/sensepost/wikto Wikto - いくつかの追加機能を備えたWindows向けNikto
   * http://samurai.inguardians.com Samurai Web Testing Framework
   * https://code.google.com/p/ratproxy/ Ratproxy
   * http://www.websecurify.com Websecurify
   * http://sourceforge.net/projects/grendel/ Grendel-scan
   * https://tools.kali.org/web-applications/gobuster Goで書かれたディレクトリ/ファイルおよびDNS探索ツール
   * http://www.edge-security.com/wfuzz.php Wfuzz
   * http://wapiti.sourceforge.net wapiti
   * https://github.com/neuroo/grabber Grabber
   * https://subgraph.com/vega/ Vega
   * http://websecuritytool.codeplex.com WatcherパッシブWebスキャナー
   * http://xss.codeplex.com x5s XSSおよびUnicode変換セキュリティテストアシスタント
   * http://www.beyondsecurity.com/avds AVDS脆弱性評価・管理
   * http://www.golismero.com Golismero
   * http://www.ikare-monitoring.com IKare
   * http://www.nstalker.com N-Stalker X
   * https://www.rapid7.com/products/nexpose/index.jsp Nexpose
   * http://www.rapid7.com/products/appspider/ App Spider
   * http://www.milescan.com ParosPro
   * https://www.qualys.com/enterprises/qualysguard/web-application-scanning/ Qualys Web Application Scanning
   * http://www.beyondtrust.com/Products/RetinaNetworkSecurityScanner/ Retina
   * https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework Xenotix XSS Exploit Framework
   * https://github.com/future-architect/vuls Linux向け脆弱性スキャナー。エージェントレスで、golangで書かれています。
   * https://github.com/rastating/wordpress-exploit-framework WordPressで構築されたWebサイトやシステムのペネトレーションテストを支援するモジュールの開発・利用のためのRubyフレームワーク。
   * http://www.xss-payloads.com/ XSS脆弱性を活用し、カスタムペイロードを構築し、ペネトレーションテストスキルを練習するためのXSSペイロード。
   * https://github.com/joaomatosf/jexboss JBoss(およびその他のJavaデシリアライゼーション脆弱性)の検証・悪用ツール
   * https://github.com/commixproject/commix 自動化されたオールインワンのOSコマンドインジェクションおよび悪用ツール
   * https://github.com/pathetiq/BurpSmartBuster Busterにスマートさを加えるBurp Suiteコンテンツディスカバリープラグイン!
   * https://github.com/GoSecure/csp-auditor CSPヘッダーを分析するBurpおよびZAPプラグイン
   * https://github.com/ffleming/timing_attack Webアプリケーションに対してタイミング攻撃を実行
   * https://github.com/lalithr95/fuzzapi FuzzapiはREST APIペネトレーションテストに使用されるツール
   * https://github.com/owtf/owtf Offensive Web Testing Framework (OWTF)
   * https://github.com/nccgroup/wssip クライアントからサーバーへ、またその逆方向にカスタムWebSocketデータをキャプチャ、変更、送信するためのアプリケーション。
   * https://github.com/PalindromeLabs/STEWS WebSocketの検出、フィンガープリンティング、脆弱性検出のためのツールスイート
   * https://github.com/tijme/angularjs-csti-scanner AngularJS向けの自動クライアントサイドテンプレートインジェクション(サンドボックスエスケープ/バイパス)検出(ACSTIS)。
   * https://reshift.softwaresecured.com Javaのセキュリティ脆弱性を検出・管理するためのソースコード解析ツール。
   * https://encoding.tools ハッシュや各種エンコーディングを含む、バイナリデータや文字列を変換するためのWebアプリ。GPLv3のオフラインバージョンも利用可能。
   * https://gchq.github.io/CyberChef/ バイナリデータや文字列の各種エンコーディングや変換を実行するための「サイバー・スイスアーミーナイフ」。
   * https://github.com/urbanadventurer/WhatWeb WhatWeb - 次世代Webスキャナー
   * https://www.shodan.io/ Shodan - 脆弱なサーバーを見つけるための検索エンジン
   * https://github.com/WangYihang/Webshell-Sniper ターミナル経由のウェブシェルマネージャー
   * https://github.com/nil0x42/phpsploit PhpSploit - 悪意あるPHPワンライナーを介してWebサーバー上に静かに永続化する、フル機能のC2フレームワーク
   * https://webhint.io/ - webhint - webhintは、コードをベストプラクティスや一般的なエラーと照合することで、サイトのアクセシビリティ、速度、クロスブラウザ互換性などの改善を支援するカスタマイズ可能なリンティングツールです。
   * https://gtfobins.github.io/ - gtfobins - GTFOBinsは、設定が不適切なシステムにおいてローカルのセキュリティ制限をバイパスするために使用できるUnixバイナリの厳選リストです。
   * https://github.com/HightechSec/git-scanner git-scanner - 公開されている`.git`リポジトリを持つウェブサイトを対象としたバグハンティングやペネトレーションテスト用のツール
   * [Web Application Exploitation @ Rawsec Inventory](https://inventory.raw.pm/tools.html#title-tools-web-application-exploitation) - Webペネトレーションテストツールの完全なリスト  
   * [Cyclops is a novel browser that can detect vulnerability automatically](https://github.com/v8blink/Chromium-based-XSS-Taint-Tracking/) - CyclopsはXSS検出機能を備えたWebブラウザ  
   * https://caido.io/ - Webプロキシ
   * https://github.com/assetnote/kiterunner - APIディスカバリー
   * https://github.com/owasp-amass/amass - ドメイン偵察
   * [https://columbus.elmasy.com/](https://columbus.elmasy.com/) - Columbus Projectは、高速で強力かつ使いやすいAPIを備えた高度なサブドメイン検出サービスです。
   * [BadUSB Script To Exfiltrate Passwords](https://github.com/MarkCyber/BadUSB/blob/main/HackStuff/CredentialHarvester.txt) - Chrome、Firefox、Edgeから保存されたすべてのパスワードを抽出し、さらなる分析のためにセカンダリUSBに保存します。
   * https://github.com/flibustier/jwt-online-cracker - ブラウザからHS256、HS384、またはHS512のJWTトークンをブルートフォースします(完全にクライアントサイド)。
   * [jwt-auditor](https://github.com/mohelobeid/jwt-auditor) - alg:none、弱いHMACシークレット、RS256からHS256への混同についてJWTをデコードおよび監査するオフラインCLI。
   * https://github.com/lukechilds/reverse-shell - ほとんどのUnix系システムで動作する、覚えやすいリバースシェル。
   * https://github.com/momenbasel/keyFinder - 80以上の検出パターンと10の攻撃対象領域にわたるシャノンエントロピーを使用して、Webページ内の漏洩したAPIキー、トークン、シークレットをパッシブにスキャンするChrome拡張機能。
   * https://github.com/DenisPodgurskii/pentestkit - バグバウンティやペネトレーションテストのワークフロー向けのブラウザベースの脆弱性スキャナーで、DAST、SAST、IAST、SCAの機能を組み合わせて、ランタイム、ソースレベル、インタラクティブ、および依存関係に関連するセキュリティ問題を検出します。
- [SaaSFort](https://saasfort.com/scan) - 無料の60秒間の外部NIS2 / セキュリティ態勢スキャン。A-F評価、サインアップ不要。
- [ARS3NAL](https://github.com/inflictx/Arsenal) - オフラインファーストで検索可能なアーセナル: 約1500のペイロード、コマンドジェネレーター、GTFOBins、ワードリスト、組み込みCyberChef、リバースシェル、70のチェックリスト。
- [Mozilla - HTTP Observatory](https://developer.mozilla.org/en-US/observatory) - Mozillaによって開発されたHTTP Observatoryは、サイトのHTTPヘッダーやその他の主要なセキュリティ設定を詳細に評価します。
- [HTTP Security Report](https://httpsecurityreport.com/) - あなたのウェブサイトがベストプラクティスにどれだけ適合しているかのインスタントレポートを取得できます。
- [ImmuniWeb CyberScore](https://www.immuniweb.com/cyberscore/) - あなたの会社、パートナー、サプライヤーの無料のサイバーセキュリティ、プライバシー、AIセキュリティ評価
- [ImmuniWeb - Website Security Test](https://www.immuniweb.com/websec/) - ウェブセキュリティ脆弱性、AIボット保護、HTTPセキュリティおよびプライバシーヘッダー、DNSSEC設定、CSP、GDPRおよびPCI DSSへの準拠をチェックします。月10回の無料テスト（アカウント不要）
- [Pentest Tools - Website Vulnerability Scanner](https://pentest-tools.com/website-vulnerability-scanning/website-scanner) - SQLi、XSS、コマンドインジェクション、XXE、その他75以上のウェブアプリ脆弱性を検出します
- [Pentest Tools - Network Vulnerability Scanner](https://pentest-tools.com/network-vulnerability-scanning/network-security-scanner-online) - ネットワークインフラストラクチャ内の脆弱性、設定ミス、古いサービス、公開ポートを特定するために設計されたオンラインセキュリティツール
- [UpClaw](https://github.com/okdkebm/UpClaw) - AI駆動のウェブペネトレーションテストCLI。単一のゼロ依存Pythonファイル（29の組み込みチェック + 16の外部ツールアダプター + エビデンスレポート）。
- [HTTP Detection Agent](https://github.com/ai-blueteam/http-detection-agent) - オープンソースのローカルファーストHTTP攻撃検出器: 62の行動ファミリーにわたる76の検出を備えたRust CLI（インジェクション、トラバーサル、リクエストスマグリング、SSRF、XXE、デシリアライゼーションなど）、さらにエージェント駆動のトリアージ用のローカルMCPサーバー
- [KeyDrift](https://keydrift.dev) - デプロイされたHTMLとJavaScriptをスキャンして露出したシークレットを検出しつつ、漏洩として扱うべきでない公開ブラウザ認証情報を認識します。



## チートシート

   * http://n0p.net/penguicon/php_app_sec/mirror/xss.html - XSSチートシート
   * https://highon.coffee/blog/lfi-cheat-sheet/ - LFIチートシート
   * https://highon.coffee/blog/reverse-shell-cheat-sheet/ - リバースシェルチートシート
   * https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - SQLインジェクションチートシート
   * https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - パストラバーサルチートシート: Windows
   * [Pentest Mindmap](https://pentestmindmap.com/en) - 32カテゴリにわたる11,600以上のペネトレーションテストコマンドを収録したインタラクティブなマインドマップ。検索可能でワンクリックコピーに対応。

## ペネトレーションテスト用Dockerイメージ

   * `docker pull kalilinux/kali-linux-docker` [公式Kali Linux](https://hub.docker.com/r/kalilinux/kali-linux-docker/)
   * `docker pull blackarchlinux/blackarch` [公式BlackArch Linux](https://hub.docker.com/r/blackarchlinux/blackarch)
   * `docker pull owasp/zap2docker-stable` - [公式OWASP ZAP](https://github.com/zaproxy/zaproxy)
   * `docker pull wpscanteam/wpscan` - [公式WPScan](https://hub.docker.com/r/wpscanteam/wpscan/)
   * `docker pull metasploitframework/metasploit-framework` - [docker-metasploit](https://hub.docker.com/r/metasploitframework/metasploit-framework/)
   * `docker pull citizenstig/dvwa` - [Damn Vulnerable Web Application (DVWA)](https://hub.docker.com/r/citizenstig/dvwa/)
   * `docker pull bkimminich/juice-shop` [OWASP Juice Shop](https://hub.docker.com/r/bkimminich/juice-shop)
   * `docker pull wpscanteam/vulnerablewordpress` - [脆弱なWordPressインストール](https://hub.docker.com/r/wpscanteam/vulnerablewordpress/)
   * `docker pull hmlio/vaas-cve-2014-6271` - [Vulnerability as a service: Shellshock](https://hub.docker.com/r/hmlio/vaas-cve-2014-6271/)
   * `docker pull hmlio/vaas-cve-2014-0160` - [Vulnerability as a service: Heartbleed](https://hub.docker.com/r/hmlio/vaas-cve-2014-0160/)
   * `docker pull opendns/security-ninjas` - [Security Ninjas](https://hub.docker.com/r/opendns/security-ninjas/)
   * `docker pull noncetonic/archlinux-pentest-lxde:1.0` - [Arch Linux Penetration Tester](https://hub.docker.com/r/noncetonic/archlinux-pentest-lxde/)
   * `docker pull diogomonica/docker-bench-security` - [Docker Bench for Security](https://hub.docker.com/r/diogomonica/docker-bench-security/)
   * `docker pull ismisepaul/securityshepherd` - [OWASP Security Shepherd](https://hub.docker.com/r/ismisepaul/securityshepherd/)
   * `docker pull danmx/docker-owasp-webgoat` - [OWASP WebGoatプロジェクトのDockerイメージ](https://hub.docker.com/r/webgoat/goatandwolf)
   *  `docker pull docker pull jeroenwillemsen/wrongsecrets` - [OWASP WrongSecretsプロジェクトのDockerイメージ](https://hub.docker.com/r/jeroenwillemsen/wrongsecrets)
   * `docker pull citizenstig/nowasp` - [OWASP Mutillidae II Web Pen-Test Practice Application](https://hub.docker.com/r/citizenstig/nowasp/)
   * `docker pull aaaguirre/pentest` - [ペネトレーションテスト用Docker](https://github.com/aaaguirrep/pentest)
   * `docker pull rustscan/rustscan:2.0.0` - [モダンなポートスキャナ](https://github.com/RustScan/RustScan)

## 脆弱性

   * http://cve.mitre.org/ - 共通脆弱性識別子（CVE）。情報セキュリティ脆弱性名の標準
   * https://www.exploit-db.com/ - The Exploit Database – エクスプロイト、シェルコード、セキュリティペーパーの究極のアーカイブ。
   * http://0day.today/ - Inj3ct0rはエクスプロイトと脆弱性の究極のデータベースであり、脆弱性研究者やセキュリティ専門家にとっての優れたリソースです。
   * http://www.securityfocus.com/ - 1999年の設立以来、SecurityFocusはセキュリティコミュニティの中心的存在です。
   * http://packetstormsecurity.com/ - グローバルセキュリティリソース
   * https://wpvulndb.com/ - WPScan脆弱性データベース
   * https://snyk.io/vuln/ - 脆弱性DB。既知の脆弱性に関する詳細情報と修復ガイダンス。
   * https://stellastra.com/cipher-suite - 数百のTLS暗号スイートとそのセキュリティステータスのデータベース。
   * https://vulert.com/vuln-db - Vulertは、コードへのアクセスを必要とせずに、オープンソース依存関係の脆弱性を監視・通知することで開発者のソフトウェア保護を支援します。Js、PHP、Java、Pythonなど、さまざまな依存関係をサポートしています。
   * https://vulncheck.com/xdb/ - Gitリポジトリ内のエクスプロイト実証コード（PoC）のインデックス。
   * https://labs.jamessawyer.co.uk/cves/ - CVE PoC Searchは、CVEからGitHubの実証コードへの検索を提供し、Web脆弱性から公開エクスプロイトコードへ素早く移行できます。

## コース

   * https://pwn.guide/ - サイバーセキュリティ学習プラットフォーム。約100のチュートリアルがあり、そのうち約25がWebハッキングとWebサイトの防御に関するものです。
   * https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation（ライブ）
   * https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Web App Penetration Testing and Ethical Hacking
   * https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Advanced Web App Penetration Testing and Ethical Hacking   
   * http://opensecuritytraining.info/ - Open Security Training
   * http://securitytrainings.net/security-trainings/ - Security Exploded Training
   * http://www.securitytube.net/ - 世界最大のインフォセックおよびハッキングポータル。
   * https://www.hacker101.com/ - [Hackerone](https://www.hackerone.com)によるWebセキュリティの無料クラス
   * https://www.darkrelay.com/courses/professional-penetration-tester - [DarkRelay Security Labs](https://www.darkrelay.com)によるゼロからヒーロー形式のペネトレーションテストコース

## オンラインハッキング演習サイト

   * http://testasp.vulnweb.com/ - Acunetix ASPテストおよび演習サイト
   * http://testaspnet.vulnweb.com/ - Acunetix ASP.Netテストおよび演習サイト
   * http://testphp.vulnweb.com/ - Acunetix PHPテストおよび演習サイト
   * http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
   * http://zero.webappsecurity.com/ - Zero Bank
   * http://demo.testfire.net/ - Altoro Mutual
   * https://public-firing-range.appspot.com/ - Firing Rangeは、自動Webアプリケーションセキュリティスキャナのテストベッドです。
   * https://xss-game.appspot.com/ - XSSチャレンジ
   * https://google-gruyere.appspot.com/ Google Gruyere、Webアプリケーションのエクスプロイトと防御
   * https://ginandjuice.shop/catalog
   * https://pentest-ground.com/ Pentest-Groundは、意図的に脆弱性を持たせたWebアプリケーションとネットワークサービスを備えた無料の演習場です。
  * [HackSimulator](https://chatgpt.com/g/g-jnT7HlNeK-hacksimulator)は、[MarkCyber](https://github.com/MarkCyber)が作成したGPTで、chatGPT 4がハッキングCTFとして機能します。このGPTは、あなたの経験レベルと改善したい点を尋ねた後、ハッキングするマシン/アプリケーションをシミュレートし、チャットボックスをターミナルコマンドの入力場所として使用します。AIを介しているため、あなたの経験レベルに基づいて変化・調整され、行き詰まった場合は助けを求めることができます。

## ラボ
   * https://portswigger.net/web-security - Web Security Academy: PortSwiggerによる無料オンライントレーニング
   * http://www.cis.syr.edu/~wedu/seed/all_labs.html - コンピュータセキュリティ教育のための教育用ラボの開発
   * https://www.vulnhub.com/ - ローカルホストのペネトレーションテスト用仮想マシン。
   * https://pentesterlab.com/ - PentesterLabは、ペネトレーションテストを学ぶための簡単で優れた方法です。
   * https://codereviewlab.com/ - Code Review Labは、実践的なコードレビュートレーニングプラットフォームです。
   * https://github.com/jerryhoff/WebGoat.NET - このWebアプリケーションは、一般的なWebセキュリティの脆弱性について学ぶための学習プラットフォームです。
   * http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
   * http://sourceforge.net/projects/lampsecurity/ - LAMPSecurity Training
   * https://github.com/Audi-1/sqli-labs - エラーベース、ブラインドブールベース、タイムベースをテストするためのSQLIラボ。

---

[Read more](https://github.com/infoslack/awesome-web-hacking)
ツールをダウンロード