## Инструменты

Бесплатные онлайн-инструменты безопасности для игроков CTF и пентестеров.

Используйте только на системах, которые вам принадлежат, или на которые у вас есть явное разрешение.

## [Подборщик сервисов Nmap](https://hackindex.io/ru/tools/nmap-suggestor)

Открыть →

Вставьте вывод Nmap и мгновенно получите подходящие страницы сервисов. Определяет открытые порты и связывает их с релевантными техниками атаки и документацией по сервисам.

Nmap Port scanning Recon

## [Генератор обходов инъекции команд](https://hackindex.io/ru/tools/cmd-injection-bypass)

Открыть →

Вставьте regex-фильтр и команду — получите пейлоады, которые его обходят. Поддерживает Linux и Windows, фильтры blacklist и whitelist, regex из Python, JavaScript, Go и других языков.

Command injection Regex bypass Linux Windows CTF

## [Конструктор правил Hashcat](https://hackindex.io/ru/tools/rule-builder)

Открыть →

Создавайте правила Hashcat визуально. Выстраивайте преобразования шаг за шагом, просматривайте результаты на тестовом словаре и скачивайте в формате .rule или John the Ripper .conf.

Hashcat Password cracking Rules John the Ripper

## [Конвертер правил Hashcat в John](https://hackindex.io/ru/tools/hashcat-to-john)

Открыть →

Вставьте правила Hashcat и скачайте готовый конфигурационный файл John the Ripper. Оборачивает правила в режим hashcat logic, чтобы John мог запускать их напрямую.

Hashcat John the Ripper Password cracking Rules

## [Генератор действий из SOAP WSDL](https://hackindex.io/ru/tools/soap-wsdl)

Открыть →

Вставьте необработанный WSDL XML и получите готовые SOAP-конверты и команды curl для каждой операции. Автоматически извлекает эндпоинты, пространства имён, параметры и заголовки SOAPAction.

SOAP WSDL XML Web services CTF

## [Laravel Cookie Forge и Декодер](https://hackindex.io/ru/tools/laravel-cookie)

Открыть →

Декодируйте и проверяйте зашифрованные AES cookie Laravel с помощью APP_KEY. Инструмент показывает содержимое сессии, проверяет подпись HMAC и позволяет подделать новые корректно подписанные cookie.

Laravel Cookie AES Session CTF

## [Подделка и декодирование cookie Flask](https://hackindex.io/ru/tools/flask-cookie)

Открыть →

Декодируйте сессионные cookie Flask itsdangerous без ключа для чтения JSON-полезной нагрузки. Проверяйте подпись HMAC-SHA1/SHA512 с помощью SECRET_KEY и создавайте новые валидные подписанные cookie для манипуляций с сессией в CTF веб-заданиях.

Flask Cookie HMAC Session CTF

## Об этих инструментах

Эти инструменты созданы для соревнований CTF (Capture The Flag) и авторизованного пентестинга. Они работают полностью на стороне сервера — никакой ввод не сохраняется и не выполняется. Каждый инструмент разработан для экономии времени на повторяющихся задачах анализа во время работы.

Подборщик сервисов Nmap

Разбирает таблицу PORT/STATE/SERVICE/VERSION из необработанного вывода Nmap и сопоставляет каждый открытый порт с релевантными страницами сервисов — техниками атаки, методами перечисления и ресурсами эксплойтов.

Генератор обходов инъекции команд

Генерирует обфусцированные пейлоады инъекции команд — base64, hex, xxd, ANSI-C-кавычки, трюки с IFS, конкатенацию переменных, подстановочные символы, обфускацию каретой, кодирование PowerShell — и фильтрует их по вашему regex, показывая только рабочие обходы.

Конвертер правил Hashcat в John

Оборачивает правила Hashcat в конфигурационный файл John the Ripper с использованием директивы hashcat logic ON/OFF. Вставьте правила, выберите название набора, просмотрите вывод и скачайте файл .conf, готовый для флагов --config и --rules.

Генератор действий из SOAP WSDL

Разбирает необработанный WSDL XML для извлечения каждой операции, её параметров и заголовка SOAPAction, затем генерирует полные SOAP-конверты и готовые к выполнению команды curl. Полезно при атаках на SOAP-веб-сервисы в CTF-заданиях или авторизованных пентестах.

Laravel Cookie Forge и Декодер

Расшифровывает зашифрованные AES cookie Laravel с помощью APP_KEY, проверяет подпись HMAC-SHA256 и показывает содержимое сессии. Также подделывает новые корректно подписанные cookie: это полезно для перехвата сессии и повышения привилегий в веб-заданиях CTF.

Подделка и декодирование cookie Flask

Декодирует сессионные cookie Flask itsdangerous для раскрытия JSON-полезной нагрузки без ключа. Проверяет подпись HMAC-SHA1 или HMAC-SHA512 с помощью SECRET_KEY и создаёт новые валидные подписанные cookie — необходимо для манипуляций с сессией в CTF Flask-заданиях.