Ogma เทียบกับ Caido

Ogma และ Caido ใช้แนวทางทดสอบความปลอดภัยเว็บที่เริ่มจากทราฟฟิกเหมือนกัน นั่นคือบันทึกคำขอ ทำความเข้าใจ แก้ไข แล้วติดตามผล ทั้งคู่ใช้ Rust ในแบ็กเอนด์ และมีประวัติ HTTP การดักแก้ไข การส่งซ้ำ และระบบอัตโนมัติ ประเด็นที่ควรเปรียบเทียบจึงไม่ใช่ว่าเครื่องมือใดมีแท็บมากกว่า แต่เป็นสิ่งที่ทำได้โดยไม่ต้องสมัครบริการเพิ่ม ติดตั้งปลั๊กอิน หรือเตรียมระบบเพิ่มเติม

Ogma ผสานการออกแบบที่ใช้ทรัพยากรน้อยกับชุดเครื่องมือที่รวมมาให้ครบหลายด้าน แอปพลิเคชันเดสก์ท็อปรวมการทดสอบด้วยตนเอง เวิร์กโฟลว์ การสแกน การค้นหา การทำงานกับเบราว์เซอร์ และเซิร์ฟเวอร์ MCP ที่ฝังอยู่ในตัว ผู้ช่วย AI ใช้ได้โดยไม่ต้องสมัครบริการของ Ogma ส่วน Caido ก็เน้นสถาปัตยกรรม Rust ที่ใช้ทรัพยากรน้อยเช่นกัน ความแตกต่างที่มีประโยชน์กว่าคือเครื่องมือใดมีในตัว เครื่องมือใดต้องใช้ปลั๊กอิน และเครื่องมือใดต้องใช้แผนแบบเสียเงิน

ภาพรวม

ความสามารถ	Ogma	Caido
การดักแก้ไขและส่งซ้ำขั้นพื้นฐาน	รวมมาให้	รวมใน Basic
ผู้ช่วย AI ในตัว	รวมมาให้; ตั้งค่าผู้ให้บริการเอง	ไม่มีใน Basic; Assistant แบบเสียเงิน
การใช้โครงการและเวิร์กโฟลว์	ไม่มีโควตาที่ผูกกับระดับบริการแบบเสียเงิน	Basic: 2 โครงการ, 7 เวิร์กโฟลว์
การกรอง HTTP	HTTPQL ตัวกรองสำเร็จรูป และการค้นหา	HTTPQL ตัวกรองสำเร็จรูป และการค้นหา
การทดสอบด้วยเพย์โหลด	Automate ในตัว	Automate ในตัว
การทดสอบ WebSocket	ประวัติ การดักแก้ไข และ WS Replay แยกเฉพาะ	ประวัติและการดักแก้ไข WebSocket ในตัว
เวิร์กโฟลว์อัตโนมัติ	กราฟแบบพาสซีฟ แอ็กทีฟ และแปลงค่า	กราฟเวิร์กโฟลว์ในตัว
การสแกนช่องโหว่	เอนจินพาสซีฟและแอ็กทีฟในตัว	ปลั๊กอิน Scanner จากชุมชน
การค้นหาพาธที่ซ่อนอยู่	เครื่องมือค้นหาเฉพาะ	รายการคำใน Automate และครอว์เลอร์จากชุมชน
การทดสอบนอกช่องทางหลัก	ลิสเนอร์ HTTP, HTTPS, DNS, SMTP ในตัว	การเชื่อมต่อจากชุมชน
เอเจนต์ AI ภายนอก	เซิร์ฟเวอร์ MCP ในตัว	เซิร์ฟเวอร์ MCP จากชุมชน
การทดสอบที่ต้องควบคุมจังหวะเวลา	เครื่องมือ Race เฉพาะ รวมโหมด HTTP/2	Replay Pipelines

ข้อมูลระดับบริการของ Caido มาจากตารางเปรียบเทียบแผน ส่วนรายการเทียบเครื่องมือแยกความสามารถในตัวออกจากส่วนขยายของชุมชน และเอกสารการสแกนอธิบายปลั๊กอิน Scanner ความแตกต่างอยู่ที่การรวมเครื่องมือและสิทธิ์ใช้งาน ไม่ใช่ว่า Caido ทำงานเหล่านี้ไม่ได้

สิทธิ์ใช้งานฟรีและผู้ช่วย AI

Caido Basic ไม่มี Assistant ในตัว ส่วน Ogma รวมหน้าจอผู้ช่วยมาให้โดยไม่ต้องใช้แผน Ogma แบบเสียเงิน Caido ระบุว่า Assistant ใช้ได้ในแผน Individual และ Team โดยช่วยอธิบายทราฟฟิก เสนอแนวทางโจมตี และสร้างตัวอย่างพิสูจน์แนวคิดได้ ดูCaido Assistant

ผู้ช่วย Ask Bob ของ Ogma ทำงานควบคู่กับการตรวจสอบและแก้ไขคำขอ การตั้งค่าผู้ให้บริการรองรับ Anthropic, OpenAI, Google, OpenRouter และปลายทางที่กำหนดเองซึ่งเข้ากันได้กับ OpenAI คุณเลือกผู้ให้บริการและข้อมูลรับรองเอง แทนการซื้อส่วนเสริม AI ของ Ogma

การรวมความสามารถนี้มาให้ไม่ได้หมายถึงการเรียกใช้โมเดลฟรีแบบไม่จำกัด ผู้ให้บริการที่โฮสต์โมเดลอาจคิดค่าใช้ API เช่นเดียวกัน การเชื่อมไคลเอนต์ AI ภายนอกผ่าน MCP ก็มีข้อกำหนดเรื่องโมเดลและบัญชีของตนเอง การดักแก้ไข การส่งซ้ำ และเวิร์กโฟลว์ทั่วไปไม่จำเป็นต้องมีผู้ให้บริการ AI

สำหรับผู้ที่กำลังเรียนรู้การทดสอบความปลอดภัยหรือทำงานอิสระ ผู้ช่วยจึงอยู่ในพื้นที่ทำงานเดียวกับสแกนเนอร์และเครื่องมืออัตโนมัติได้ตั้งแต่เริ่ม ส่วนทีมที่ใช้ Caido อยู่แล้ว บริการแบบเสียเงินของ Caido อาจเข้ากับแนวทางจัดซื้อและการรับความช่วยเหลือที่มีอยู่มากกว่า

เมื่อชุดเครื่องมือเล็ก ๆ เริ่มขยาย

Caido Basic จำกัดจำนวนโครงการ เวิร์กโฟลว์ ปลั๊กอิน ตัวกรองที่บันทึกไว้ และเซสชันไปป์ไลน์ที่ทำงานพร้อมกัน อีกทั้งการสำรองโครงการต้องใช้แผนแบบเสียเงินด้วย ขอบเขตเหล่านี้อาจมีผลเมื่อคุณเก็บเป้าหมายและขั้นตอนทดสอบที่ใช้ซ้ำมากขึ้น โครงการเดสก์ท็อป คลังเวิร์กโฟลว์ และแฟ้มเก็บโครงการของ Ogma ไม่ได้ถูกจำกัดด้วยระดับฟีเจอร์แบบเสียเงิน ดูข้อจำกัดของแผน Caido

การต่อยอดชุดเครื่องมือกับการรวบรวมเครื่องมือที่จำเป็นก่อนเริ่มทดสอบก็เป็นคนละเรื่อง Caido มี Scanner ครอว์เลอร์ และการเชื่อมต่อ OAST จากชุมชน ส่วน Ogma รวมการสแกนแบบเจาะจง การค้นหาเนื้อหา และลิสเนอร์รับคอลแบ็กไว้ในแอปพลิเคชัน หากใช้สิ่งเหล่านี้เป็นประจำในการประเมิน ก็เริ่มใช้ได้โดยไม่ต้องเลือกและตั้งค่าแพ็กเกจปลั๊กอินแยกก่อน ปลั๊กอินยังมีประโยชน์สำหรับงานเฉพาะทางในทั้งสองผลิตภัณฑ์ ดูตัวเลือกการสแกนของ Caido และรายการเทียบเครื่องมือของ Caido

ลองพิจารณาลำดับงานทั่วไป เช่น ค้นหาเอนด์พอยต์ API ส่งคำขอซ้ำ ตรวจสอบประเด็นเฉพาะ บันทึกหลักฐานประกอบ แล้วจัดทำรายงาน Ogma เก็บขั้นตอนเหล่านี้ไว้ในพื้นที่ทำงานเดียวกัน นี่คือความสะดวกสำหรับผู้ทดสอบที่ต้องการชุดเครื่องมือพร้อมใช้ ไม่ใช่การอ้างว่าส่วนขยายด้อยกว่าโดยธรรมชาติ หรือการตรวจสอบในตัวทุกอย่างมีความลึกเท่าสแกนเนอร์ของ Burp

งานทดสอบประจำวัน: ประวัติ การส่งซ้ำ และทราฟฟิกขณะใช้งาน

Ogma รวมการกรองด้วย HTTPQL ตัวกรองที่บันทึกไว้ การค้นหา และตารางประวัติ HTTP แบบแสดงเฉพาะแถวที่จำเป็น คุณตรวจสอบข้อมูลคำขอและการตอบกลับ เลือกรายการที่น่าสนใจ แล้วส่งตรงไปยังเครื่องมือส่งซ้ำ Automate หรือเวิร์กโฟลว์แอ็กทีฟได้ เวิร์กโฟลว์ประมวลผลทรัพยากรที่เลือกได้โดยไม่ต้องเขียนตัวกรองใหม่สำหรับทุกเป้าหมาย

เครื่องมือส่งซ้ำเก็บคอลเลกชันและรายการส่งแต่ละครั้ง รวมถึงคำขอที่ส่งในครั้งนั้น การแก้ไขแบบมีโครงสร้างช่วยตรวจสอบเพย์โหลดได้สะดวก ส่วนโหมด Raw และ Hex รักษาไบต์ HTTP/1.x สำหรับทดสอบคำขอผิดรูปแบบ แทนการแก้โครงสร้างกรอบข้อความให้ถูกต้องโดยไม่แจ้งให้ทราบ โหมดส่งไบต์ตรงตามที่ระบุเหล่านี้จงใจข้ามการแปลงคำขอตามปกติ ดูเครื่องมือส่งซ้ำของ Ogma

Caido ก็บันทึกรายการส่งซ้ำและรวมตัวแปรสภาพแวดล้อมกับตัวแทนค่าในเวิร์กโฟลว์ไว้ในการแก้ไขคำขอเช่นกัน นี่เป็นความสามารถที่มีคุณค่า ไม่ใช่สิ่งทดแทนสแกนเนอร์แบบเสียเงิน ดูCaido Replay และเวิร์กโฟลว์ใน Replay

Ogma เพิ่มประวัติ WebSocket และ SSE แยกกัน การกรองด้วย StreamQL และมุมมองบทสนทนาเฉพาะสำหรับส่งซ้ำ WebSocket คุณเชื่อมต่อใหม่ แก้ไขข้อความ ส่ง แล้วตรวจดูข้อความตอบกลับถัดไปได้ โหมด Socket.IO แบบจัดการให้รองรับการแลกเปลี่ยนข้อความควบคุมใน Engine.IO 4 / Socket.IO 3-4 ที่รองรับ ส่วนโหมด Raw ยังใช้กับโปรโตคอลอื่นได้ ทั้งสองโหมดไม่สามารถสร้างโทเค็นที่มีลายเซ็นของแอปพลิเคชันขึ้นใหม่ หรือข้ามกฎการยืนยันตัวตนของแอปพลิเคชันได้ ดูเครื่องมือส่งซ้ำ WebSocket ของ Ogma

เวิร์กโฟลว์ที่พัฒนาเป็นเครื่องมือใช้ซ้ำได้

ทั้งสองผลิตภัณฑ์มีระบบเวิร์กโฟลว์อัตโนมัติแบบกราฟ Caido อธิบายการแปลงและการทำงานหลายขั้นตอน โหนด JavaScript และ Shell ตลอดจนตัวอย่างการต่ออายุข้อมูลยืนยันตัวตนไว้ในเอกสาร ดูเวิร์กโฟลว์ของ Caido

เวิร์กโฟลว์พาสซีฟของ Ogma ตรวจสอบทราฟฟิกที่บันทึกไว้ เวิร์กโฟลว์แอ็กทีฟทำงานที่ระบุอย่างชัดเจน และเวิร์กโฟลว์แปลงค่าทำหน้าที่แปลงข้อมูล โดยปกติข้อกำหนดเวิร์กโฟลว์จะแชร์ในพื้นที่ทำงาน แต่เลือกจำกัดเฉพาะโครงการได้ ชุดข้อมูลตัวอย่าง HTTP ใช้ทดสอบเวิร์กโฟลว์แอ็กทีฟและพาสซีฟ ส่วนเวิร์กโฟลว์แปลงค่ามีอินพุตทดสอบของตัวเอง คุณเปิดการเก็บประวัติการรันและบันทึกการทำงานเมื่อวิเคราะห์ปัญหา และปิดเมื่อต้องประมวลผลปริมาณมากได้

ตัวอย่างการใช้งานจริงคือการส่งออกทรัพยากร JavaScript ที่น่าสนใจ Match & Replace กรองทราฟฟิกด้วย HTTPQL แล้วส่งเนื้อหาการตอบกลับทั้งหมดไปยังเวิร์กโฟลว์แปลงค่าได้ เวิร์กโฟลว์แอ็กทีฟบันทึกทรัพยากรด้วย sdk.fs.writeFile ใช้ sdk.fs.exists เพื่อเลี่ยงการเขียนทับ และประกอบพาธด้วย sdk.path.join ได้ สิ่งเหล่านี้เป็นเมธอด SDK ที่รองรับ ไม่ใช่คำสัญญาว่าโมดูล Node.js ทุกตัวจะทำงานได้โดยไม่ปรับแก้ ดูเวิร์กโฟลว์ของ Ogma, จับคู่และแทนที่ และแบ็กเอนด์ SDK

การสแกน การค้นหา และขอบเขตการทดสอบ API

Ogma มีการวิเคราะห์แบบพาสซีฟและการตรวจสอบแอ็กทีฟแบบเจาะจง เอนจินแอ็กทีฟปัจจุบันครอบคลุม SQL injection, reflected XSS, path traversal, command injection, SSTI, SSRF, open redirect, XXE และการอัปโหลดที่ไม่ปลอดภัย ผลตรวจมีลิงก์กลับไปยังทราฟฟิกที่เป็นหลักฐาน การตรวจพบยังต้องได้รับการตรวจสอบยืนยัน โดยเฉพาะผลที่อาศัยเวลาในการตอบกลับหรือการสะท้อนอินพุต ชื่อหมวดหมู่ไม่ได้รับประกันว่าจะตรวจได้ครอบคลุมทุกกรณี ดูสแกนเนอร์ของ Ogma

Scanner จากชุมชนของ Caido รองรับการทดสอบแอ็กทีฟและพาสซีฟ รวมถึงการตรวจสอบที่กำหนดเอง การบอกว่า Caido ไม่มีความสามารถด้านการสแกนจึงไม่ถูกต้อง ความแตกต่างคือ Ogma รวมเอนจินไว้ในแอปพลิเคชัน แทนที่จะต้องติดตั้งปลั๊กอินนั้น ดูการสแกนของ Caido

ตัวนำเข้า API ของ Ogma สร้างคำขอสำหรับส่งซ้ำจากเอกสาร OpenAPI 3.x ที่สมบูรณ์ในตัว คอลเลกชัน Postman ผลการ introspection ของ GraphQL และ WSDL โดยจัดการตัวอย่างเนื้อหาคำขอหรือค่าที่สร้างจากสคีมา พารามิเตอร์และเทมเพลตยืนยันตัวตนที่รองรับ รวมถึงเมทาดาทาของจุดแทรกค่าที่ระบุชนิดข้อมูล รองรับตัวแปรเซิร์ฟเวอร์และการอ้างอิงภายใน OpenAPI แต่ไม่ดึงข้อมูลอ้างอิงภายนอก คำขอที่สร้างยังต้องมีข้อมูลรับรองที่ถูกต้องและค่าที่เหมาะสมกับแอปพลิเคชัน ดูการนำเข้า API ของ Ogma

เครื่องมือค้นหาเนื้อหาและมุมมองเอนด์พอยต์ที่สกัดได้ช่วยเสริมแผนผังเว็บไซต์ สิ่งนี้มีประโยชน์เมื่อทราฟฟิกจากเบราว์เซอร์ที่บันทึกไว้เป็นเพียงบางส่วนของพื้นที่เสี่ยงต่อการโจมตี คุณตรวจสอบเส้นทางที่พบ สร้างคำขอจากข้อกำหนด แล้วทดสอบพาธด้วยรายการคำได้ ไม่ได้หมายความว่าการค้นหาจะอนุมานพาธตามตรรกะธุรกิจได้ทุกเส้นทาง

เซสชันเบราว์เซอร์และเอเจนต์ภายนอก

Ogma ฝังเบราว์เซอร์ไว้ในพื้นที่ทำงานเดสก์ท็อป เครื่องมือ MCP ตรวจสอบองค์ประกอบของหน้าที่เข้าถึงได้ กรอกหลายฟิลด์ คลิก รอผลที่คาดไว้ และเก็บสแนปช็อตที่จำกัดขอบเขตหรืออัปเดตเฉพาะส่วนที่เปลี่ยนแปลงได้ กระบวนการเข้าสู่ระบบมีขั้นตอนที่ใช้ซ้ำได้ การตรวจสอบด้วย URL, DOM, คุกกี้ หรือคำขอ และจุดตรวจ MFA ที่ให้ผู้ใช้ทำเอง การมีกระบวนการหลายชุดที่ระบุบทบาทช่วยจัดระเบียบการทดสอบตามตัวตน แต่ยังต้องทดสอบการตัดสินสิทธิ์อย่างชัดเจน ดูเบราว์เซอร์ของ Ogma

การเชื่อมต่อ MCP ยังครอบคลุมทราฟฟิกที่บันทึกไว้ ผลตรวจ เครื่องมือส่งซ้ำ เวิร์กโฟลว์ และบันทึกบทสนทนาการส่งซ้ำ WebSocket จุดบันทึกสถานะ ประวัติกิจกรรม และเครื่องมือทำงานต่อช่วยให้เอเจนต์กู้บริบทโครงการหลังเซสชันยาวหรือการส่งต่องานได้ เอเจนต์ค้นหาข้อกำหนดอินเทอร์เฟซที่เกี่ยวข้องได้ แทนการพึ่งรายการชื่อเครื่องมือที่ตายตัว

Caido มีเซิร์ฟเวอร์ MCP จากชุมชนพร้อมเอกสารบนเว็บไซต์ของตนเอง โดยให้เข้าถึงทราฟฟิก การส่งซ้ำ ผลตรวจ โครงการ และงานอื่น ๆ Caido แยกไว้อย่างชัดเจนว่าเซิร์ฟเวอร์นี้ไม่ได้มีความเกี่ยวข้องอย่างเป็นทางการกับบริษัท ส่วนความแตกต่างของ Ogma คือ MCP เป็นส่วนหนึ่งของแบ็กเอนด์ของตัวเอง ดูบทเรียนการใช้งาน MCP ของ Caido

การทดสอบเฉพาะทางและรายงาน

Ogma มี Race สูตรการแปลงใน Decoder, Comparer เครื่องมือ JWT การวิเคราะห์โทเค็น และ OAST เมื่อเป้าหมายอยู่บนระบบระยะไกล ลิสเนอร์รับคอลแบ็กต้องมีโดเมนที่เข้าถึงได้และการกำหนดเส้นทางเครือข่ายที่เหมาะสม การเปิดลิสเนอร์ในเครื่องเพียงอย่างเดียวไม่ได้ทำให้เข้าถึงได้จากอินเทอร์เน็ต ดูOgma OAST

Replay Pipelines ของ Caido รองรับการทำงานตามลำดับ การส่งไบต์สุดท้ายให้ตรงจังหวะกัน และการโจมตีแบบแพ็กเก็ตเดียวบน HTTP/2 นี่เป็นตัวเลือกทดสอบภาวะแข่งขันที่มีในตัวจริง ๆ ไม่ใช่ความสามารถที่ใช้ได้ผ่านปลั๊กอินเท่านั้น ดูCaido Replay Pipelines

Ogma เก็บผลตรวจ บันทึกย่อ เซสชันส่งซ้ำ และทราฟฟิกที่บันทึกไว้โดยเชื่อมโยงกับโครงการ คุณส่งออกทราฟฟิกเป็น HAR, JSON, CSV หรือ Raw HTTP ได้ตามมุมมองที่เกี่ยวข้อง ผลตรวจรองรับรายงาน HTML และ Markdown พร้อมวิธีพิมพ์เป็น PDF ผู้ทดสอบจึงเตรียมเอกสารส่งต่องานที่อ่านเข้าใจได้โดยไม่ต้องสร้างระบบรายงานภายนอกก่อน แฟ้มเก็บโครงการรองรับการย้ายข้อมูลโครงการระหว่างการติดตั้ง ส่วนเวิร์กโฟลว์ที่แชร์ในพื้นที่ทำงานต้องส่งออกแยกต่างหาก ดูการส่งออกของ Ogma

Caido มี Findings และการส่งออกทราฟฟิกในตัว แต่เอกสารแนะนำให้ใช้เครื่องมือรายงานภายนอกหรือการเชื่อมต่ออื่น แทนการสร้างรายงาน HTML/XML ที่จัดรูปแบบไว้ในตัว ความแตกต่างนี้สำคัญเมื่อสิ่งที่ต้องส่งมอบคือรายงานประเมินที่อ่านเข้าใจได้ ไม่ใช่แค่แฟ้มทราฟฟิก และไม่ควรสับสนรายงานของ Ogma กับรูปแบบรายงานสแกน XML ของ Burp ดูการรายงานของ Caido

ประสิทธิภาพและการเลือกให้เหมาะกับงาน

Ogma ใช้แบ็กเอนด์ Rust แบบอะซิงโครนัส ฐานข้อมูลโครงการ SQLite, Vue และเดสก์ท็อปเชลล์ Electron การแสดงเฉพาะส่วนของทราฟฟิกที่จำเป็นและโหลดรายละเอียดเมื่อเรียกดูมีเป้าหมายให้การตรวจสอบทั่วไปยังตอบสนองได้ดีแม้ประวัติจะเพิ่มขึ้น สำหรับการทำงานบนแล็ปท็อปหรือ VM การเลี่ยงการแสดงผลและโหลดเนื้อหาที่ไม่จำเป็นเป็นเป้าหมายการออกแบบที่มีความสำคัญ

Caido ก็วางตัวเป็นทางเลือกแทน Burp ที่ใช้ Rust และใช้ทรัพยากรน้อยเช่นกัน ประสิทธิภาพจึงเป็นเป้าหมายร่วมของทั้งคู่ ไม่ใช่เหตุผลที่มีน้ำหนักพอจะเรียก Caido ว่าหนัก ความแตกต่างที่ชัดกว่าของ Ogma ในที่นี้คือชุดเครื่องมือที่รวมมาให้กว้างกว่าและข้อจำกัดตามระดับบริการแบบเสียเงินที่น้อยกว่า Electron และเบราว์เซอร์ในตัวยังใช้ทรัพยากรอยู่ การจัดอันดับความเร็วหรือการใช้หน่วยความจำจึงต้องทดสอบด้วยทราฟฟิก การตั้งค่า ปลั๊กอิน และฮาร์ดแวร์เดียวกัน ดูแนวทางสถาปัตยกรรมของ Caido

เลือก Ogma เมื่อต้องการชุดเครื่องมือที่รวมมาให้หลายด้าน ผู้ช่วยที่ใช้ได้โดยไม่ต้องสมัครบริการ Ogma เวิร์กโฟลว์ที่นำกลับมาใช้ได้ การสแกนในตัว และการเชื่อมต่อ MCP/เบราว์เซอร์ที่พัฒนาโดยผู้ผลิตเอง

เลือก Caido เมื่ออินเทอร์เฟซและระบบปลั๊กอินเหมาะกับงานของคุณ หรือต้องการตัวเลือกอินสแตนซ์ที่ใช้ร่วมกันและสิทธิ์การใช้งานแบบเสียเงิน เครื่องมือหลักในรุ่นฟรียังเป็นพื้นที่ทำงานสำหรับทดสอบด้วยตนเองที่มีความสามารถ โดย Assistant และข้อจำกัดของแต่ละระดับบริการคือความแตกต่างที่ควรพิจารณา ดูแผน Caido

ตรวจทานล่าสุด: 3 ตุลาคม 2026 ความสามารถของ Ogma ตรวจสอบกับโค้ดแอปพลิเคชันปัจจุบัน ส่วนความสามารถของคู่แข่งตรวจสอบกับแหล่งข้อมูลทางการที่ลิงก์ไว้ข้างต้น