infoslack/awesome-web-hackingКурируемый список ресурсов по безопасности веб-приложений, включающий книги, инструменты, шпаргалки, лаборатории и курсы для изучения тестирования на проникновение и оценки уязвимостей.
# awesome-web-hacking
Этот список предназначен для всех, кто хочет изучать безопасность веб-приложений, но не знает, с чего начать.
Вы можете помочь, отправляя Pull Requests для добавления дополнительной информации.
Если вы не склонны делать PR, вы можете написать мне в Twitter по адресу `@infoslack`
Содержание
=================
* [Книги](#books)
* [Документация](#documentation)
* [Инструменты](#tools)
* [Шпаргалки](#cheat-sheets)
* [Docker](#docker-images-for-penetration-testing)
* [Уязвимости](#vulnerabilities)
* [Курсы](#courses)
* [Онлайн-площадки для демонстрации взлома](#online-hacking-demonstration-sites)
* [Лаборатории](#labs)
* [SSL](#ssl)
* [Безопасность Ruby on Rails](#security-ruby-on-rails)
## Книги
* http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
* http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
* http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
* http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
* http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
* http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
* http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
* http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
* http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
* http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
* http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
* https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
* https://www.crypto101.io/ — Crypto 101 — это вводный курс по криптографии
* http://www.offensive-security.com/metasploit-unleashed/ — Metasploit Unleashed
* http://www.cl.cam.ac.uk/~rja14/book.html — Security Engineering
* https://www.feistyduck.com/library/openssl-cookbook/ — OpenSSL Cookbook
* https://www.manning.com/books/real-world-cryptography — Изучите и применяйте криптографические методы.
* https://www.manning.com/books/making-sense-of-cyber-security — Руководство по ключевым концепциям, терминологии и технологиям кибербезопасности, идеально подходящее для всех, кто планирует или внедряет стратегию безопасности.
* https://www.manning.com/books/cyber-security-career-guide — Начните карьеру в кибербезопасности, научившись адаптировать свои существующие технические и нетехнические навыки.
* https://www.manning.com/books/secret-key-cryptography — Книга о криптографических методах и методах секретного ключа.
* https://www.manning.com/books/application-security-program-handbook — Эта практическая книга — универсальное руководство по внедрению надёжной программы безопасности приложений.
* https://www.manning.com/books/cyber-threat-hunting — Практическое руководство по охоте за киберугрозами.
* https://nostarch.com/bug-bounty-bootcamp — Bug Bounty Bootcamp
* https://nostarch.com/hacking-apis — Hacking APIs
* https://www.manning.com/books/grokking-web-application-security — Книга о создании веб-приложений, готовых и устойчивых к любой атаке.
## Документация
* https://www.owasp.org/ - Open Web Application Security Project
* http://www.pentest-standard.org/ - Penetration Testing Execution Standard
* http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
* https://appsecwiki.com/ - Application Security Wiki — инициатива по предоставлению всех ресурсов, связанных с безопасностью приложений, исследователям безопасности и разработчикам в одном месте.
* [AppSec Santa](https://appsecsanta.com) - Независимое сравнение более 129 инструментов безопасности веб-приложений по категориям SAST, DAST, SCA и другим.
## Инструменты
* https://github.com/bad-antics/nullsec-linux - NullSec Linux - Дистрибутив для безопасности с предварительно настроенными инструментами тестирования веб-приложений
* https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Фреймворк для фаззинга веб-приложений
* https://github.com/poszothebuilder/nextjs-security-headers-starter - Стартовый набор для заголовков безопасности Next.js без зависимостей с CSP, HSTS и верификатором для продакшена для CI.
* https://www.deepinfo.com/ — платформа Deepinfo Attack Surface Platform обнаруживает все ваши цифровые активы, отслеживает их в режиме 24/7, выявляет любые проблемы и оперативно уведомляет вас, чтобы вы могли незамедлительно принять меры.
* https://github.com/bountyyfi/lonkero — веб-сканер уязвимостей корпоративного уровня с более чем 60 модулями атак, написанный на Rust для тестирования на проникновение и оценки безопасности.
* https://spyse.com/ — поисковая система OSINT, предоставляющая свежие данные обо всём интернете, хранящая все данные в собственной БД, находящая взаимосвязи в данных и обладающая рядом интересных возможностей.
* http://www.metasploit.com/ — самое популярное в мире программное обеспечение для тестирования на проникновение
* https://findsubdomains.com — онлайн-сервис сканирования поддоменов с массой дополнительных данных. Работает на основе OSINT.
* https://cc.la — бесплатный онлайн-инструментарий для WHOIS, RDAP, DNS, IP WHOIS, поиска SSL-сертификатов, истории name-серверов, сетевой диагностики (ping/traceroute/MTR) и мониторинга доменов. Регистрация не требуется.
* https://vacato.io — бесплатный список отслеживания доменов на основе RDAP: проверки по расписанию + уведомления в Telegram/по email/Slack, когда статус выглядит как доступный. Не регистратор и не drop-catcher. Бесплатный тариф: 10 доменов.
* https://github.com/BlessedRebuS/Krawl — облачный сервер веб-обмана и защиты от краулеров.
* https://github.com/bjeborn/basic-auth-pot — honeypot для HTTP Basic Authentication.
* http://www.arachni-scanner.com/ — фреймворк для сканирования безопасности веб-приложений
* https://github.com/ASCIT31/Dark-Moon — Darkmoon — это открытая (GPL-3.0) автономная платформа для тестирования на проникновение на основе ИИ, которая оркестрирует более 80 инструментов через MCP с выделенными наступательными субагентами для каждой технологии (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby) и ведёт журнал доказательств по каждой находке.
* https://github.com/BugTraceAI/BugTraceAI — BugTraceAI — это открытая мультиагентная платформа для авторизованного тестирования безопасности веб-приложений с валидацией, сбором доказательств и отчётностью.
* https://github.com/TayfurYldz/headerproof — HeaderProof — это активный сканер уровня developer-alpha с низким уровнем шума для авторизованного тестирования зацепок веб-безопасности, связанных с заголовками, таких как неверная конфигурация CORS, расщепление ответа, кандидаты на отравление кэша и пути отражения, с явными условиями подтверждения доказательств и подавлением ложных срабатываний.
* https://github.com/ANVEAI/anve-offsec — автономный инженер по безопасности на основе ИИ и платформа для bug bounty в Kali Linux, включающая stateful-рассуждения Hermes, sidecar-браузер OpenClaw Chromium и векторный RAG стратегий Qdrant. 🇮🇳
* https://github.com/sullo/nikto — сканер веб-серверов Nikto
* http://www.tenable.com/products/nessus-vulnerability-scanner — сканер уязвимостей Nessus
* http://www.portswigger.net/burp/intruder.html — Burp Intruder — инструмент для автоматизации настраиваемых атак на веб-приложения.
* http://www.openvas.org/ — самый продвинутый в мире сканер и менеджер уязвимостей с открытым исходным кодом.
* https://github.com/iSECPartners/Scout2 — инструмент аудита безопасности для сред AWS
* https://www.owasp.org/index.php/Category:OWASP_DirBuster_Project — многопоточное Java-приложение, предназначенное для перебора имён каталогов и файлов на веб-серверах и серверах приложений.
* https://www.owasp.org/index.php/ZAP — Zed Attack Proxy — это простой в использовании интегрированный инструмент тестирования на проникновение для поиска уязвимостей в веб-приложениях.
* https://github.com/vigolium/vigolium — высокоточный сканер уязвимостей веб-приложений и API, объединяющий агентный ИИ с быстрым нативным движком; более 250 модулей обнаружения, охватывающих OWASP Top 10, аутентифицированное тестирование IDOR/BOLA и out-of-band-тестирование, а также входные данные OpenAPI/Postman/Burp/cURL. Открытый исходный код, AGPL-3.0.
* https://github.com/tecknicaltom/dsniff — dsniff — это набор инструментов для аудита сетей и тестирования на проникновение.
* https://github.com/WangYihang/Webshell-Sniper — управляйте своим веб-шеллом через терминал.
* https://github.com/DanMcInerney/dnsspoof — DNS-спуфер. Отбрасывает DNS-ответы от роутера и заменяет их поддельным DNS-ответом
* https://github.com/trustedsec/social-engineer-toolkit — репозиторий Social-Engineer Toolkit (SET) от TrustedSec
* https://github.com/sqlmapproject/sqlmap — инструмент для автоматического SQL-инъекций и захвата базы данных
* https://github.com/beefproject/beef — проект фреймворка для эксплуатации браузеров
* http://w3af.org/ — w3af — фреймворк для атак и аудита веб-приложений
* https://github.com/espreto/wpsploit — WPSploit, эксплуатация WordPress с помощью Metasploit
* https://vulert.com/ — Vulert обеспечивает безопасность программного обеспечения, обнаруживая уязвимости в зависимостях с открытым исходным кодом — без доступа к вашему коду. Поддерживает Js, PHP, Java, Python и другие.
* https://github.com/WangYihang/Reverse-Shell-Manager — менеджер обратных оболочек через терминал.
* https://github.com/RUB-NDS/WS-Attacker — WS-Attacker — модульный фреймворк для тестирования на проникновение веб-сервисов
* https://github.com/wpscanteam/wpscan — WPScan — сканер уязвимостей WordPress методом чёрного ящика
* https://github.com/own2pwn-fr/wp2shell-detect — детектор цепочки pre-auth RCE wp2shell в ядре WordPress (CVE-2026-63030 / CVE-2026-60137) методом чёрного ящика без вмешательства; определяет версию ядра из публичных источников и помечает уязвимые установки без их эксплуатации
* http://sourceforge.net/projects/paros/ Прокси Paros
* https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project Прокси Web Scarab
* https://code.google.com/p/skipfish/ Skipfish — активный инструмент разведки безопасности веб-приложений
* http://www.acunetix.com/vulnerability-scanner/ Сканер уязвимостей веб-приложений Acunetix
* https://cystack.net/ Платформа веб-безопасности CyStack
* http://www-03.ibm.com/software/products/en/appscan IBM Security AppScan
* https://www.netsparker.com/web-vulnerability-scanner/ Сканер уязвимостей веб-приложений Netsparker
* http://www8.hp.com/us/en/software-solutions/webinspect-dynamic-analysis-dast/index.html HP Web Inspect
* https://github.com/sensepost/wikto Wikto — Nikto для Windows с дополнительными возможностями
* http://samurai.inguardians.com Фреймворк веб-тестирования Samurai
* https://code.google.com/p/ratproxy/ Ratproxy
* http://www.websecurify.com Websecurify
* http://sourceforge.net/projects/grendel/ Grendel-scan
* https://tools.kali.org/web-applications/gobuster Инструмент перебора каталогов/файлов и DNS, написанный на Go
* http://www.edge-security.com/wfuzz.php Wfuzz
* http://wapiti.sourceforge.net wapiti
* https://github.com/neuroo/grabber Grabber
* https://subgraph.com/vega/ Vega
* http://websecuritytool.codeplex.com Пассивный веб-сканер Watcher
* http://xss.codeplex.com x5s — помощник по тестированию безопасности XSS и преобразований Unicode
* http://www.beyondsecurity.com/avds AVDS — оценка и управление уязвимостями
* http://www.golismero.com Golismero
* http://www.ikare-monitoring.com IKare
* http://www.nstalker.com N-Stalker X
* https://www.rapid7.com/products/nexpose/index.jsp Nexpose
* http://www.rapid7.com/products/appspider/ App Spider
* http://www.milescan.com ParosPro
* https://www.qualys.com/enterprises/qualysguard/web-application-scanning/ Сканирование веб-приложений Qualys
* http://www.beyondtrust.com/Products/RetinaNetworkSecurityScanner/ Retina
* https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework Фреймворк эксплуатации XSS Xenotix
* https://github.com/future-architect/vuls Сканер уязвимостей для Linux, без агентов, написан на golang.
* https://github.com/rastating/wordpress-exploit-framework Фреймворк на Ruby для разработки и использования модулей, помогающих в тестировании на проникновение сайтов и систем на WordPress.
* http://www.xss-payloads.com/ XSS-полезные нагрузки для использования уязвимостей XSS, создания собственных полезных нагрузок и практики навыков тестирования на проникновение.
* https://github.com/joaomatosf/jexboss Инструмент проверки и эксплуатации JBoss (и других уязвимостей десериализации Java)
* https://github.com/commixproject/commix Автоматизированный универсальный инструмент внедрения и эксплуатации команд ОС
* https://github.com/pathetiq/BurpSmartBuster Плагин обнаружения контента для Burp Suite, добавляющий интеллектуальные возможности в Buster!
* https://github.com/GoSecure/csp-auditor Плагин для Burp и ZAP для анализа заголовков CSP
* https://github.com/ffleming/timing_attack Выполнение timing-атак на веб-приложения
* https://github.com/lalithr95/fuzzapi Fuzzapi — инструмент для пентестинга REST API
* https://github.com/owtf/owtf Offensive Web Testing Framework (OWTF)
* https://github.com/nccgroup/wssip Приложение для перехвата, модификации и отправки пользовательских данных WebSocket от клиента к серверу и наоборот.
* https://github.com/PalindromeLabs/STEWS Набор инструментов для обнаружения, фингерпринтинга и выявления уязвимостей WebSocket
* https://github.com/tijme/angularjs-csti-scanner Автоматизированное обнаружение client-side template injection (побег/обход песочницы) для AngularJS (ACSTIS).
* https://reshift.softwaresecured.com Инструмент анализа исходного кода для обнаружения и управления уязвимостями безопасности Java.
* https://encoding.tools Веб-приложение для преобразования бинарных данных и строк, включая хеши и различные кодировки. Доступна офлайн-версия под GPLv3.
* https://gchq.github.io/CyberChef/ «Кибер-швейцарский армейский нож» для выполнения различных кодирований и преобразований бинарных данных и строк.
* https://github.com/urbanadventurer/WhatWeb WhatWeb — веб-сканер нового поколения
* https://www.shodan.io/ Shodan — поисковая система для поиска уязвимых серверов
* https://github.com/WangYihang/Webshell-Sniper Менеджер веб-шеллов через терминал
* https://github.com/nil0x42/phpsploit PhpSploit — полнофункциональный C2-фреймворк, который незаметно закрепляется на веб-сервере через вредоносный PHP-однострочник
* https://webhint.io/ - webhint - webhint — настраиваемый инструмент линтинга, который помогает улучшить доступность, скорость, кросс-браузерную совместимость вашего сайта и многое другое, проверяя ваш код на соответствие лучшим практикам и распространённым ошибкам.
* https://gtfobins.github.io/ - gtfobins - GTFOBins — курируемый список Unix-бинарников, которые можно использовать для обхода локальных ограничений безопасности в неправильно настроенных системах.
* https://github.com/HightechSec/git-scanner git-scanner — инструмент для баг-хантинга или пентестинга, нацеленный на веб-сайты с открытыми репозиториями `.git`, доступными публично
* [Web Application Exploitation @ Rawsec Inventory](https://inventory.raw.pm/tools.html#title-tools-web-application-exploitation) - Полный список инструментов для веб-пентестинга
* [Cyclops is a novel browser that can detect vulnerability automatically](https://github.com/v8blink/Chromium-based-XSS-Taint-Tracking/) - Cyclops — веб-браузер с функцией обнаружения XSS
* https://caido.io/ - Веб-прокси
* https://github.com/assetnote/kiterunner - Обнаружение API
* https://github.com/owasp-amass/amass - Разведка доменов
* [https://columbus.elmasy.com/](https://columbus.elmasy.com/) - Columbus Project — продвинутый сервис обнаружения поддоменов с быстрым, мощным и простым в использовании API.
* [BadUSB Script To Exfiltrate Passwords](https://github.com/MarkCyber/BadUSB/blob/main/HackStuff/CredentialHarvester.txt) - Извлекает все сохранённые пароли из Chrome, Firefox и Edge для сохранения на вторичный USB-носитель для дальнейшего анализа.
* https://github.com/flibustier/jwt-online-cracker - Брутфорс HS256, HS384 или HS512 JWT-токена из вашего браузера (полностью на стороне клиента).
* [jwt-auditor](https://github.com/mohelobeid/jwt-auditor) - Офлайн-CLI для декодирования и аудита JWT на предмет alg:none, слабых HMAC-секретов и путаницы RS256 → HS256.
* https://github.com/lukechilds/reverse-shell - Легко запоминающийся reverse shell, который должен работать в большинстве Unix-подобных систем.
* https://github.com/momenbasel/keyFinder - Расширение Chrome, которое пассивно сканирует веб-страницы на предмет утечек API-ключей, токенов и секретов, используя более 80 шаблонов обнаружения и энтропию Шеннона по 10 поверхностям атаки.
* https://github.com/DenisPodgurskii/pentestkit - Браузерный сканер уязвимостей для баг-баунти и пентестинга, объединяющий возможности DAST, SAST, IAST и SCA для обнаружения проблем безопасности во время выполнения, на уровне исходного кода, в интерактивном режиме и в зависимостях.
- [SaaSFort](https://saasfort.com/scan) — бесплатное 60-секундное сканирование внешней поверхности безопасности / соответствия NIS2, оценка от A до F, регистрация не требуется.
- [ARS3NAL](https://github.com/inflictx/Arsenal) — офлайн-ориентированный арсенал с поиском: ~1500 полезных нагрузок, генератор команд, GTFOBins, списки слов, встроенный CyberChef, обратные оболочки и 70 контрольных списков.
- [Mozilla - HTTP Observatory](https://developer.mozilla.org/en-US/observatory) — разработанный Mozilla, HTTP Observatory проводит углублённую оценку HTTP-заголовков сайта и других ключевых параметров безопасности.
- [HTTP Security Report](https://httpsecurityreport.com/) — получите мгновенный отчёт о том, насколько ваш сайт соответствует лучшим практикам.
- [ImmuniWeb CyberScore](https://www.immuniweb.com/cyberscore/) — бесплатный рейтинг кибербезопасности, приватности и безопасности ИИ для вашей компании, партнёров или поставщиков
- [ImmuniWeb - Website Security Test](https://www.immuniweb.com/websec/) — проверяет веб-уязвимости, защиту от ИИ-ботов, заголовки безопасности и приватности HTTP, конфигурацию DNSSEC, CSP и соответствие GDPR и PCI DSS. 10 бесплатных тестов в месяц (без аккаунта)
- [Pentest Tools - Website Vulnerability Scanner](https://pentest-tools.com/website-vulnerability-scanning/website-scanner) — обнаруживает SQLi, XSS, инъекции команд, XXE и ещё 75+ веб-уязвимостей приложений
- [Pentest Tools - Network Vulnerability Scanner](https://pentest-tools.com/network-vulnerability-scanning/network-security-scanner-online) — онлайн-инструмент безопасности, предназначенный для выявления уязвимостей, ошибок конфигурации, устаревших сервисов и открытых портов в сетевой инфраструктуре
- [UpClaw](https://github.com/okdkebm/UpClaw) — веб-пентест CLI на основе ИИ; один файл Python без зависимостей (29 встроенных проверок + 16 адаптеров внешних инструментов + отчёты с доказательствами).
- [HTTP Detection Agent](https://github.com/ai-blueteam/http-detection-agent) — открытый локальный детектор HTTP-атак: CLI на Rust с 76 обнаружениями по 62 семействам поведения (инъекции, обход путей, контрабанда запросов, SSRF, XXE, десериализация и другое), а также локальный MCP-сервер для сортировки, управляемой агентом
- [KeyDrift](https://keydrift.dev) — сканирует развёрнутые HTML и JavaScript на предмет раскрытых секретов, при этом распознавая публичные браузерные учётные данные, которые не следует считать утечками.
## Шпаргалки
* http://n0p.net/penguicon/php_app_sec/mirror/xss.html - Шпаргалка по XSS
* https://highon.coffee/blog/lfi-cheat-sheet/ - Шпаргалка по LFI
* https://highon.coffee/blog/reverse-shell-cheat-sheet/ - Шпаргалка по Reverse Shell
* https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - Шпаргалка по SQL-инъекциям
* https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - Шпаргалка по Path Traversal: Windows
* [Pentest Mindmap](https://pentestmindmap.com/en) - Интерактивная интеллект-карта с более чем 11 600 командами для пентеста в 32 категориях. Поиск с копированием в один клик.
## Docker-образы для тестирования на проникновение
* `docker pull kalilinux/kali-linux-docker` [официальный Kali Linux](https://hub.docker.com/r/kalilinux/kali-linux-docker/)
* `docker pull blackarchlinux/blackarch` [официальный BlackArch Linux](https://hub.docker.com/r/blackarchlinux/blackarch)
* `docker pull owasp/zap2docker-stable` - [официальный OWASP ZAP](https://github.com/zaproxy/zaproxy)
* `docker pull wpscanteam/wpscan` - [официальный WPScan](https://hub.docker.com/r/wpscanteam/wpscan/)
* `docker pull metasploitframework/metasploit-framework` - [docker-metasploit](https://hub.docker.com/r/metasploitframework/metasploit-framework/)
* `docker pull citizenstig/dvwa` - [Damn Vulnerable Web Application (DVWA)](https://hub.docker.com/r/citizenstig/dvwa/)
* `docker pull bkimminich/juice-shop` [OWASP Juice Shop](https://hub.docker.com/r/bkimminich/juice-shop)
* `docker pull wpscanteam/vulnerablewordpress` - [Уязвимая установка WordPress](https://hub.docker.com/r/wpscanteam/vulnerablewordpress/)
* `docker pull hmlio/vaas-cve-2014-6271` - [Уязвимость как сервис: Shellshock](https://hub.docker.com/r/hmlio/vaas-cve-2014-6271/)
* `docker pull hmlio/vaas-cve-2014-0160` - [Уязвимость как сервис: Heartbleed](https://hub.docker.com/r/hmlio/vaas-cve-2014-0160/)
* `docker pull opendns/security-ninjas` - [Security Ninjas](https://hub.docker.com/r/opendns/security-ninjas/)
* `docker pull noncetonic/archlinux-pentest-lxde:1.0` - [Arch Linux Penetration Tester](https://hub.docker.com/r/noncetonic/archlinux-pentest-lxde/)
* `docker pull diogomonica/docker-bench-security` - [Docker Bench for Security](https://hub.docker.com/r/diogomonica/docker-bench-security/)
* `docker pull ismisepaul/securityshepherd` - [OWASP Security Shepherd](https://hub.docker.com/r/ismisepaul/securityshepherd/)
* `docker pull danmx/docker-owasp-webgoat` - [Docker-образ проекта OWASP WebGoat](https://hub.docker.com/r/webgoat/goatandwolf)
* `docker pull docker pull jeroenwillemsen/wrongsecrets` - [Docker-образ проекта OWASP WrongSecrets](https://hub.docker.com/r/jeroenwillemsen/wrongsecrets)
* `docker pull citizenstig/nowasp` - [OWASP Mutillidae II Web Pen-Test Practice Application](https://hub.docker.com/r/citizenstig/nowasp/)
* `docker pull aaaguirre/pentest` - [Docker для пентеста](https://github.com/aaaguirrep/pentest)
* `docker pull rustscan/rustscan:2.0.0` - [Современный сканер портов](https://github.com/RustScan/RustScan)
## Уязвимости
---
[Read more](https://github.com/infoslack/awesome-web-hacking)