OWASP Nettacker

HAFTUNGSAUSSCHLUSS

• DIESE SOFTWARE WURDE FÜR AUTOMATISIERTE PENETRATIONSTESTS UND DIE INFORMATIONSBESCHAFFUNG ERSTELLT. SIE MÜSSEN DIESE SOFTWARE VERANTWORTUNGSVOLL UND ETHISCH VERWENDEN. RICHTEN SIE SICH NICHT GEGEN SYSTEME ODER ANWENDUNGEN, OHNE DIE ERLAUBNIS ODER ZUSTIMMUNG DER SYSTEMEIGENTÜMER ODER ADMINISTRATOREN EINZUHOLEN. DIE MITWIRKENDEN ÜBERNEHMEN KEINE HAFTUNG FÜR JEGLICHE ILLEGALE NUTZUNG.

OWASP Nettacker ist ein quelloffenes, Python-basiertes Framework für automatisierte Penetrationstests und Informationsbeschaffung, das Cybersicherheitsexperten und ethischen Hackern dabei helfen soll, Aufklärung (Reconnaissance), Schwachstellenbewertungen und Netzwerksicherheitsaudits effizient durchzuführen. Nettacker automatisiert Aufgaben wie Port-Scanning, Diensterkennung, Subdomain-Enumeration, Netzwerk-Mapping, Schwachstellen-Scanning und Brute-Force-Tests von Anmeldedaten und macht es damit zu einem leistungsstarken Werkzeug zur Identifizierung von Schwachstellen in Netzwerken, Webanwendungen, IoT-Geräten und APIs.

Hauptfunktionen

• Modulare Architektur – Jede Aufgabe – wie Port-Scanning, Verzeichniserkennung, Subdomain-Enumeration, Schwachstellenprüfungen oder Brute-Force-Angriffe auf Anmeldedaten – ist als eigenes Modul implementiert und gibt Ihnen die Kontrolle darüber, was ausgeführt wird.
• Multiprotokoll- und Multithread-Scanning – Unterstützt HTTP/HTTPS, FTP, SSH, SMB, SMTP, ICMP, TELNET, XML-RPC und kann Scans zur Beschleunigung parallel ausführen.
• Umfassende Ausgabe – Exportiert Berichte in HTML, JSON, CSV und reinem Text.
• Integrierte Datenbank und Drift-Erkennung – Speichert vergangene Scans in der Datenbank zur einfachen Suche und zum Vergleich mit aktuellen Ergebnissen: nützlich, um neue Hosts, offene Ports oder Schwachstellen in CI/CD-Pipelines zu erkennen.
• CLI, REST-API und Web-UI – Bietet sowohl programmatische Integration als auch eine benutzerfreundliche Weboberfläche zum Definieren von Scans und Anzeigen von Ergebnissen.
• Verschleierungstechniken – Ermöglicht konfigurierbare Verzögerungen, Proxy-Unterstützung und randomisierte User-Agents, um die Erkennung durch Firewalls oder IDS-Systeme zu reduzieren.
• Flexible Ziele – Akzeptiert einzelne IPv4-Adressen, IP-Bereiche, CIDR-Blöcke, Domainnamen und vollständige HTTP/HTTPS-URLs. Ziele können in einem einzigen Befehl gemischt oder mithilfe des Flags -l/--targets-list aus einer Datei geladen werden.

Anwendungsfälle

• Penetrationstests
  Automatisieren Sie Aufklärung, Prüfungen auf Fehlkonfigurationen, Diensterkennung und Schwachstellen-Scanning, um effiziente und wiederholbare Penetrationstest-Workflows zu unterstützen.

• Aufklärung und Schwachstellenbewertung
  Kartieren Sie aktive Hosts, offene Ports, Dienste, Standard-Anmeldedaten und Verzeichnisse und führen Sie anschließend Brute-Force-Angriffe auf Anmeldedaten oder Fuzzing mit integrierten oder benutzerdefinierten Wortlisten durch.

• Angriffsflächen-Mapping
  Entdecken Sie schnell exponierte Hosts, Ports, Subdomains und Dienste mithilfe integrierter Enumerationsmodule – ideal sowohl für interne als auch externe Assets.

• Bug-Bounty-Recon
  Automatisieren und skalieren Sie gängige Reconnaissance-Aufgaben wie Subdomain-Enumeration, Directory Brute-Forcing und Prüfungen auf Standard-Anmeldedaten, um die Suche nach Zielen zu beschleunigen.

• Netzwerk-Schwachstellenscanning
  Scannen Sie IPs, IP-Bereiche oder ganze CIDR-Blöcke oder alle Subdomains der Organisation effizient parallel mit einem modularen, multithreaded Ansatz für Netzwerkbewertungen im großen Maßstab.

• Shadow IT & Asset Discovery
  Nutzen Sie historische Scandaten und Drift-Erkennung, um nicht verwaltete oder vergessene Hosts, offene Ports/Dienste und im Laufe der Zeit auftauchende Subdomains aufzudecken.

• CI/CD- & Compliance-Überwachung
  Integrieren Sie Nettacker in Pipelines, um Infrastrukturänderungen zu verfolgen und neue Schwachstellen über gespeicherte Scan-Historien und Vergleichsfunktionen zu erkennen.

Links

• OWASP Nettacker Projekt-Homepage: https://owasp.org/nettacker
• Dokumentation: https://nettacker.readthedocs.io
• Slack: #project-nettacker auf https://owasp.slack.com
• Installation: https://nettacker.readthedocs.io/en/latest/Installation
• Verwendung: https://nettacker.readthedocs.io/en/latest/Usage
• GitHub-Repo: https://github.com/OWASP/Nettacker
• Docker-Image: https://hub.docker.com/r/owasp/nettacker
• So verwenden Sie das Dockerfile: https://nettacker.readthedocs.io/en/latest/Installation/#install-nettacker-using-docker
• OpenHub: https://www.openhub.net/p/OWASP-Nettacker
• Spenden: https://owasp.org/donate/?reponame=www-project-nettacker&title=OWASP+Nettacker
• Mehr erfahren: https://www.secologist.com/open-source-projects

---

Schnelleinrichtung & Ausführung

CLI (Docker)

# Basic port scan on a single IP address:
$ docker run owasp/nettacker -i 192.168.0.1 -m port_scan
# Scan the entire Class C network for any devices with port 22 open:
$ docker run owasp/nettacker -i 192.168.0.0/24 -m port_scan -g 22
# Scan all subdomains of 'owasp.org' for http/https services and return HTTP status code
$ docker run owasp/nettacker -i owasp.org -d -s -m http_status_scan
# Display Help
$ docker run owasp/nettacker --help

Web-Oberfläche (Docker)

$ docker-compose up 

• Verwenden Sie den in der CLI angezeigten API-Schlüssel, um sich an der Web-GUI anzumelden
• Die Web-GUI ist über Ihre (https://localhost:5000) oder https://nettacker-api.z3r0d4y.com:5000/ (verweist auf Ihren localhost) erreichbar
• Die lokale Datenbank ist .nettacker/data/nettacker.db (sqlite).
• Der Standardpfad für Ergebnisse ist .nettacker/data/results
• docker-compose teilt Ihren nettacker-Ordner, sodass Sie nach docker-compose down keine Daten verlieren
• Um den API-Schlüssel anzuzeigen, können Sie auch docker logs nettacker_nettacker ausführen.
• Weitere Details und Installation ohne Docker: https://nettacker.readthedocs.io/en/latest/Installation

---

Danke an unsere großartigen Mitwirkenden!

OWASP Nettacker ist ein Open-Source-Projekt, das auf den Prinzipien der Zusammenarbeit und des geteilten Wissens aufbaut. Die lebendige OWASP-Community trägt zu seiner Entwicklung bei und stellt sicher, dass das Tool aktuell, anpassungsfähig und an den neuesten Sicherheitspraktiken ausgerichtet bleibt. Danke an alle unsere großartigen Mitwirkenden! 🚀

Anwender