𝙁𝙐𝙆𝙆𝙀𝙍𝙋𝙇𝘼𝙔𝘼

Потицяв я цей ваш Caido. І в мене маса приємних вражень! Для тих, хто ще не знає що це - Caido це прокся для веб пентесту. Конкурент burp suite, ще один "швейцарський ніж для веб пентесту", який дозволяє перехоплювати, модифікувати, і автоматизовувати HTTP реквести заточений під пошук вразливостей в вебі. Почну з мінусів. Сканер послабше, плагінів поменше, деяких фіч немає. Наприклад, не вистачає колаборатора. Відповідно без нього і сканер OOB не шукає, і рулів поменше, і немає деяких прикольних фіч типу "автогенератора CSRF пейлоада" чи "симуляції мануального тестування". Але, якщо бути відвертим, то дуже багато плагінів до бурпа глючних, а сканер все одно ніколи не тягне на собі проект. Та і в будь-якому випадку, купою функціоналу в бурпі ми, реалістично, не користуємось. Я щось не пригадаю, щоб мені реально той самий burp sequencer реально приніс баг, чи сильно якось впливав на моє життя. А той самий колаборатор без проблем заміняється interact sh. Тепер про плюси. Весь ключовий функціонал на місці! Репітер, інтрудер, проксі хісторі, матч&реплейс, сканер, і так далі. Вплоть до того, що навіть парам майнер і авторайз місцевого розливу вже завезли. Написано це щастя на раст, і воно сильно легше по оперативі ніж легасі бурп на джаві. Працює, наче, стабільно, не крашиться (на відміну від овасп зап), і інтерфейс абсолютно людяний (на відміну від овасп зап). Обіцяють що легко доводиться напильником за допомогою плагінів і воркфлоу, навіть кажуть що плагіни легко пишуться на html-css-js, і взагалі все що хочеш можна кастомізувати, але я не перевіряв. І саме приємне в цьому всьому - цінова політика, і пейвол. Ніякого більше повільного інтрудера, життя взагалі без сканера, і неможливості зберігати проекти! Безкоштовна версія, нарешті, дає весь реально необхідний функціонал щоб почати нормально щось там робити. Для тих, хто не в курсі - безкоштовна версія бурпа НІЯК не підходить для реальних проектів, тому що у вас немає ніякої можливості зберегти стан проекту. При всьому бажанні, реальний проект це тижні, і обнуляти збережену проксі хісторі і вкладки репітера кожен раз, це неможливо сповільнює будь-яку реальну роботу. Тут нам дають можливість нахаляву зберігати два різних проекта. Це не густо, але з цим вже якось можна працювати. Ще й нормальний інтрудер, і сканер в довісок. Платна версія балує цінами - 20$ за місяць, 200$ на рік, що в два рази дешевше ніж бурп, який не дозволяє помісячно оплачувати взагалі. Можна дарувати гіфтом. Моя думка наступна: якщо компанія оплачує вам бурп і сильний ноут, то мабуть все-таки краще бурп і сильний ноут. Але для новачків, для людей в яких веб пентест це хоббі (чи просто не так часто проекти по ньому), для людей зі слабкими компами, і для людей які рахують гроші і не хочуть обирати між 500$ і піраткою вдома, я думаю що це прям лютий топ. Нарешті новачку можна дати посилання на офіційний софт, замість того щоб пояснювати що крякнуту версію краще ганяти в віртуалці (бо 500$ за бурп в них все одно зазвичай немає, а попрактикуватись хочеться). Я ще не розібрався, як працює кастомізація, але якщо вона виявиться реально настільки крутою як в рекламному буклеті - можливо це навіть дійсно буде мати сенс незалежно від ціни і потужності залізяки. В будь-якому випадку, раджу зацінити, штука сама по собі крута, і фрі тір там дуже класний. https://caido.io/