awesome-web-hacking

Esta lista é para qualquer pessoa que deseje aprender sobre segurança de aplicações web, mas não tenha um ponto de partida.

Você pode ajudar enviando Pull Requests para adicionar mais informações.

Se você não quiser fazer PRs, pode me enviar um tweet em @infoslack

Índice

• Livros
• Documentação
• Ferramentas
• Folhas de Dicas
• Docker
• Vulnerabilidades
• Cursos
• Sites de Demonstração de Hacking Online
• Laboratórios
• SSL
• Segurança Ruby on Rails

Livros

• http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
• http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
• http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
• http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
• http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
• http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
• http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
• http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
• http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
• http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
• http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
• https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
• https://www.crypto101.io/ - Crypto 101 é um curso introdutório sobre criptografia
• http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
• http://www.cl.cam.ac.uk/~rja14/book.html - Security Engineering
• https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL Cookbook
• https://www.manning.com/books/real-world-cryptography - Aprenda e aplique técnicas criptográficas.
• https://www.manning.com/books/making-sense-of-cyber-security - Um guia para os principais conceitos, terminologias e tecnologias de segurança cibernética, perfeito para qualquer pessoa que planeje ou implemente uma estratégia de segurança.
• https://www.manning.com/books/cyber-security-career-guide - Inicie uma carreira em segurança cibernética aprendendo a adaptar suas habilidades técnicas e não técnicas existentes.
• https://www.manning.com/books/secret-key-cryptography - Um livro sobre técnicas criptográficas e métodos de Chave Secreta.
• https://www.manning.com/books/application-security-program-handbook - Este livro prático é um guia completo para implementar um programa robusto de segurança de aplicações.
• https://www.manning.com/books/cyber-threat-hunting - Guia prático para caça a ameaças cibernéticas.
• https://nostarch.com/bug-bounty-bootcamp - Bug Bounty Bootcamp
• https://nostarch.com/hacking-apis - Hacking APIs
• https://www.manning.com/books/grokking-web-application-security - Um livro sobre como construir aplicações web prontas e resilientes a qualquer ataque.

Documentação

• https://www.owasp.org/ - Open Web Application Security Project
• http://www.pentest-standard.org/ - Penetration Testing Execution Standard
• http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
• https://appsecwiki.com/ - Application Security Wiki é uma iniciativa para fornecer todos os recursos relacionados à segurança de aplicações para pesquisadores de segurança e desenvolvedores em um só lugar.
• AppSec Santa - Comparação independente de mais de 129 ferramentas de segurança de aplicações web em SAST, DAST, SCA e muito mais.

Ferramentas

• https://github.com/bad-antics/nullsec-linux - NullSec Linux - Distribuição de segurança com ferramentas de teste de aplicações web pré-configuradas

• https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Framework de fuzzing para aplicações web

• https://github.com/poszothebuilder/nextjs-security-headers-starter - Iniciador de cabeçalhos de segurança Next.js sem dependências com CSP, HSTS e um verificador de produção para CI.

• https://www.deepinfo.com/ - A Plataforma de Superfície de Ataque Deepinfo descobre todos os seus ativos digitais, monitora-os 24/7, detecta quaisquer problemas e notifica você rapidamente para que possa agir imediatamente.

  • https://github.com/bountyyfi/lonkero - Scanner de vulnerabilidades web de nível empresarial com mais de 60 módulos de ataque, construído em Rust para testes de penetração e avaliações de segurança.

• https://spyse.com/ - Mecanismo de busca OSINT que fornece dados atualizados sobre toda a web, armazenando todos os dados em seu próprio banco de dados, interconectando dados encontrados e com alguns recursos interessantes.

• http://www.metasploit.com/ - O software de teste de penetração mais usado no mundo

• https://findsubdomains.com - Serviço online de scanner de subdomínios com muitos dados adicionais. Funciona usando OSINT.

• https://github.com/BlessedRebuS/Krawl - Servidor de decepção web nativo da nuvem e anti-crawler.

• https://github.com/bjeborn/basic-auth-pot HoneyPot de Autenticação HTTP Básica.

• http://www.arachni-scanner.com/ - Framework de Scanner de Segurança de Aplicações Web

• https://github.com/ASCIT31/Dark-Moon - Darkmoon é uma plataforma autônoma de teste de penetração com IA de código aberto (GPL-3.0) que orquestra mais de 80 ferramentas via MCP com subagentes ofensivos dedicados por tecnologia (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby) e mantém um rastro de evidências por descoberta.

• SaaSFort - Scan externo gratuito de postura de segurança NIS2 em 60 segundos, nota A-F, sem necessidade de cadastro.
• ARS3NAL - Arsenal pesquisável e offline-first: ~1500 payloads, gerador de comandos, GTFOBins, wordlists, CyberChef embutido, reverse shells e 70 checklists.

Folhas de Dicas

• http://n0p.net/penguicon/php_app_sec/mirror/xss.html - Folha de dicas XSS
• https://highon.coffee/blog/lfi-cheat-sheet/ - Folha de dicas LFI
• https://highon.coffee/blog/reverse-shell-cheat-sheet/ - Folha de dicas Reverse Shell
• https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - Folha de dicas SQL Injection
• https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - Folha de dicas Path Traversal: Windows
• Pentest Mindmap - Mapa mental interativo com mais de 11.600 comandos de pentest em 32 categorias. Pesquisável com cópia em um clique.

Imagens Docker para Testes de Penetração

• docker pull kalilinux/kali-linux-docker Kali Linux oficial
• docker pull blackarchlinux/blackarch BlackArch Linux oficial
• docker pull owasp/zap2docker-stable - OWASP ZAP oficial
• docker pull wpscanteam/wpscan - WPScan oficial
• docker pull metasploitframework/metasploit-framework - docker-metasploit
• docker pull citizenstig/dvwa - Damn Vulnerable Web Application (DVWA)
• docker pull bkimminich/juice-shop OWASP Juice Shop
• docker pull wpscanteam/vulnerablewordpress - Instalação WordPress Vulnerável

Vulnerabilidades* http://cve.mitre.org/ - Common Vulnerabilities and Exposures. O Padrão para Nomes de Vulnerabilidades de Segurança da Informação

• https://www.exploit-db.com/ - The Exploit Database – arquivo definitivo de Exploits, Shellcode e Artigos de Segurança.
• http://0day.today/ - Inj3ct0r é o banco de dados definitivo de exploits e vulnerabilidades e um grande recurso para pesquisadores de vulnerabilidades e profissionais de segurança.
• http://www.securityfocus.com/ - Desde sua criação em 1999, o SecurityFocus tem sido um pilar na comunidade de segurança.
• http://packetstormsecurity.com/ - Recurso Global de Segurança
• https://wpvulndb.com/ - Banco de Dados de Vulnerabilidades do WPScan
• https://snyk.io/vuln/ - Banco de Dados de Vulnerabilidades, informações detalhadas e orientações de remediação para vulnerabilidades conhecidas.
• https://stellastra.com/cipher-suite - Banco de dados de centenas de suítes de cifras TLS e seu status de segurança.
• https://vulert.com/vuln-db - O Vulert ajuda desenvolvedores a proteger seu software monitorando e alertando sobre vulnerabilidades em dependências de código aberto—sem exigir acesso ao código. Ele suporta dependências de Js, PHP, Java, Python e muitos outros.
• https://vulncheck.com/xdb/ - Um índice de código de prova de conceito de exploits em repositórios Git.
• https://labs.jamessawyer.co.uk/cves/ - CVE PoC Search fornece consulta de prova de conceito de CVE para GitHub, permitindo uma transição rápida de uma vulnerabilidade web para código de exploit público.

Cursos

• https://pwn.guide/ - Plataforma de aprendizado em cibersegurança, com cerca de 100 tutoriais, aproximadamente 25 deles sobre hacking web e defesa de sites.
• https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation (ao vivo)
• https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Teste de Penetração em Aplicações Web e Hacking Ético
• https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Teste de Penetração Avançado em Aplicações Web e Hacking Ético
• http://opensecuritytraining.info/ - Open Security Training
• http://securitytrainings.net/security-trainings/ - Security Exploded Training
• http://www.securitytube.net/ - O maior portal de Infosec e Hacking do mundo.
• https://www.hacker101.com/ - Aula gratuita de segurança web por Hackerone
• https://www.darkrelay.com/courses/professional-penetration-tester - Curso de pentest estilo Zero-Hero por DarkRelay Security Labs

Sites de Demonstração de Hacking Online

• http://testasp.vulnweb.com/ - Site de teste e demonstração ASP da Acunetix
• http://testaspnet.vulnweb.com/ - Site de teste e demonstração ASP.Net da Acunetix
• http://testphp.vulnweb.com/ - Site de teste e demonstração PHP da Acunetix
• http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
• http://zero.webappsecurity.com/ - Zero Bank
• http://demo.testfire.net/ - Altoro Mutual
• https://public-firing-range.appspot.com/ - Firing Range é um ambiente de teste para scanners automatizados de segurança de aplicações web.
• https://xss-game.appspot.com/ - Desafio de XSS
• https://google-gruyere.appspot.com/ Google Gruyere, exploits e defesas de aplicações web
• https://ginandjuice.shop/catalog
• https://pentest-ground.com/ Pentest-Ground é um playground gratuito com aplicações web e serviços de rede deliberadamente vulneráveis.
• HackSimulator é um GPT criado por MarkCyber no qual o chatGPT 4 atua como um CTF de hacking. Este GPT perguntará seu nível de experiência e o que você gostaria de melhorar, antes de simular uma máquina/aplicação para você invadir, usando a caixa de chat como o local para inserir comandos de terminal. Como isso é por meio de IA, ele muda e se ajusta com base no seu nível de experiência e você pode pedir ajuda se ficar travado.

Laboratórios

• https://portswigger.net/web-security - Web Security Academy: Treinamento Online Gratuito da PortSwigger
• http://www.cis.syr.edu/~wedu/seed/all_labs.html - Desenvolvendo Laboratórios Instrucionais para Educação em Segurança de Computadores
• https://www.vulnhub.com/ - Máquinas Virtuais para Teste de Penetração em Localhost.
• https://pentesterlab.com/ - PentesterLab é uma maneira fácil e excelente de aprender teste de penetração.
• https://codereviewlab.com/ - Code Review Lab é uma plataforma prática de treinamento em revisão de código.
• https://github.com/jerryhoff/WebGoat.NET - Esta aplicação web é uma plataforma de aprendizado sobre falhas comuns de segurança web.
• http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
• http://sourceforge.net/projects/lampsecurity/ - Treinamento LAMPSecurity
• https://github.com/Audi-1/sqli-labs - Laboratórios SQLI para testar baseado em erro, boolean cego, baseado em tempo.
• https://github.com/paralax/lfi-labs - pequeno conjunto de scripts PHP para praticar exploração de vulnerabilidades LFI, RFI e injeção de CMD
• https://hack.me/ - Crie, hospede e compartilhe aplicações web vulneráveis em um ambiente isolado gratuitamente
• http://azcwr.org/az-cyber-warfare-ranges - Campo de treinamento gratuito de Capture the Flag ao vivo, equipe azul, equipe vermelha para guerra cibernética, para iniciantes até usuários avançados. É necessário usar um celular para enviar uma mensagem de texto solicitando acesso ao campo.
• https://github.com/adamdoupe/WackoPicko - WackoPicko é uma aplicação web vulnerável usada para testar scanners de vulnerabilidades de aplicações web.
• https://github.com/rapid7/hackazon - Hackazon é um site de teste gratuito e vulnerável que é uma loja online construída com as mesmas tecnologias usadas nos aplicativos ricos e móveis de hoje.

SSL

• https://www.ssllabs.com/ssltest/index.html - Este serviço realiza uma análise profunda da configuração de qualquer servidor web SSL na Internet pública.
• http://certdb.com/ - Provedor de serviços de dados SSL/TLS. Coleta dados sobre certificados digitais - emissores, organização, whois, datas de expiração, etc... Além disso, possui filtros práticos para conveniência.
• https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - Segurança SSL Forte no nginx
• https://weakdh.org/ - Diffie-Hellman Fraco e o Ataque Logjam
• https://letsencrypt.org/ - Let’s Encrypt é uma nova Autoridade Certificadora: é gratuita, automatizada e aberta.
• https://filippo.io/Heartbleed/ - Um verificador (site e ferramenta) para CVE-2014-0160 (Heartbleed).
• https://testssl.sh/ - Uma ferramenta de linha de comando que verifica as cifras TLS/SSL, protocolos e falhas criptográficas de um site.
• Scorifya - Pontuação de segurança de 0 a 100 para qualquer site cobrindo TLS, cabeçalhos de segurança (CSP, HSTS, X-Frame-Options), cookies, DNS e sinais de e-mail (SPF, DKIM, DMARC) com etapas de correção classificadas.

Segurança Ruby on Rails

• http://brakemanscanner.org/ - Um scanner de vulnerabilidades de segurança por análise estática para aplicações Ruby on Rails.
• https://github.com/rubysec/ruby-advisory-db - Um banco de dados de Gems Ruby vulneráveis
• https://github.com/rubysec/bundler-audit - Verificação em nível de patch para Bundler
• https://github.com/hakirisec/hakiri_toolbelt - Hakiri Toolbelt é uma interface de linha de comando para a plataforma Hakiri.
• https://hakiri.io/facets - Escaneie Gemfile.lock em busca de vulnerabilidades.
• http://rails-sqli.org/ - Esta página lista muitos métodos de consulta e opções no ActiveRecord que não sanitizam argumentos SQL brutos e não devem ser chamados com entrada de usuário insegura.
• https://github.com/0xsauby/yasuo - Um script ruby que escaneia aplicações web de terceiros vulneráveis e exploráveis em uma rede