OWASP Nettacker

AVERTISSEMENT

• CE LOGICIEL A ÉTÉ CRÉÉ POUR LES TESTS D'INTRUSION AUTOMATISÉS ET LA COLLECTE D'INFORMATIONS. VOUS DEVEZ UTILISER CE LOGICIEL DE MANIÈRE RESPONSABLE ET ÉTHIQUE. NE CIBLEZ PAS DE SYSTÈMES OU D'APPLICATIONS SANS OBTENIR L'AUTORISATION OU LE CONSENTEMENT DES PROPRIÉTAIRES OU ADMINISTRATEURS DES SYSTÈMES. LES CONTRIBUTEURS NE SERONT PAS RESPONSABLES DE TOUT USAGE ILLÉGAL.

OWASP Nettacker est un framework open-source de tests d'intrusion automatisés et de collecte d'informations, basé sur Python, conçu pour aider les professionnels de la cybersécurité et les hackers éthiques à réaliser efficacement des reconnaissances, des évaluations de vulnérabilités et des audits de sécurité réseau. Nettacker automatise des tâches telles que le scan de ports, la détection de services, l'énumération de sous-domaines, la cartographie réseau, le scan de vulnérabilités et les tests de force brute d'identifiants, ce qui en fait un outil puissant pour identifier les faiblesses des réseaux, des applications web, des appareils IoT et des API.

Fonctionnalités clés

• Architecture modulaire - Chaque tâche — comme le scan de ports, la découverte de répertoires, l'énumération de sous-domaines, les vérifications de vulnérabilités ou la force brute d'identifiants - est implémentée sous forme de module propre, vous donnant le contrôle sur ce qui est exécuté.
• Scan multi-protocole et multithreadé - Prend en charge HTTP/HTTPS, FTP, SSH, SMB, SMTP, ICMP, TELNET, XML-RPC, et peut exécuter des scans en parallèle pour plus de rapidité.
• Sortie complète - Exportez les rapports en HTML, JSON, CSV et texte brut.
• Base de données intégrée et détection de dérive - Stocke les scans passés dans la base de données pour une recherche facile et une comparaison avec les résultats actuels : utile pour détecter de nouveaux hôtes, ports ouverts ou vulnérabilités dans les pipelines CI/CD.
• CLI, API REST et interface web - Offre à la fois une intégration programmatique et une interface web conviviale pour définir des scans et consulter les résultats.
• Techniques d'évasion - Permet des délais configurables, la prise en charge de proxys et des user-agents aléatoires pour réduire la détection par les pare-feu ou les systèmes IDS.
• Cibles flexibles - Accepte des IPv4 uniques, des plages d'IP, des blocs CIDR, des noms de domaine et des URL HTTP/HTTPS complètes. Les cibles peuvent être mélangées dans une seule commande ou chargées depuis un fichier à l'aide de l'option -l/--targets-list.

Cas d'usage

• Tests d'intrusion
  Automatisez la reconnaissance, les vérifications de mauvaise configuration, la découverte de services et le scan de vulnérabilités pour soutenir des workflows de tests d'intrusion efficaces et reproductibles.

• Reconnaissance et évaluation des vulnérabilités
  Cartographiez les hôtes actifs, les ports ouverts, les services, les identifiants par défaut et les répertoires, puis effectuez de la force brute d'identifiants ou du fuzzing à l'aide de listes de mots intégrées ou personnalisées.

• Cartographie de la surface d'attaque
  Découvrez rapidement les hôtes, ports, sous-domaines et services exposés à l'aide des modules d'énumération intégrés — idéal pour les actifs internes comme externes.

• Reconnaissance pour Bug Bounty
  Automatisez et mettez à l'échelle les tâches de reconnaissance courantes comme l'énumération de sous-domaines, le brute-forcing de répertoires et la vérification des identifiants par défaut pour accélérer la découverte de cibles.

• Scan de vulnérabilités réseau
  Scannez efficacement des IP, des plages d'IP, des blocs CIDR entiers ou tous les sous-domaines de l'organisation en parallèle grâce à une approche modulaire et multithreadée pour les évaluations réseau à grande échelle.

• Shadow IT & découverte d'actifs
  Utilisez les données de scan historiques et la détection de dérive pour révéler les hôtes non gérés ou oubliés, les ports/services ouverts et les sous-domaines apparaissant au fil du temps.

• Surveillance CI/CD & conformité
  Intégrez Nettacker dans les pipelines pour suivre les changements d'infrastructure et détecter de nouvelles vulnérabilités via l'historique des scans stocké et les fonctionnalités de comparaison.

Liens

• Page d'accueil du projet OWASP Nettacker : https://owasp.org/nettacker
• Documentation : https://nettacker.readthedocs.io
• Slack : #project-nettacker sur https://owasp.slack.com
• Installation : https://nettacker.readthedocs.io/en/latest/Installation
• Utilisation : https://nettacker.readthedocs.io/en/latest/Usage
• Dépôt GitHub : https://github.com/OWASP/Nettacker
• Image Docker : https://hub.docker.com/r/owasp/nettacker
• Comment utiliser le Dockerfile : https://nettacker.readthedocs.io/en/latest/Installation/#install-nettacker-using-docker
• OpenHub : https://www.openhub.net/p/OWASP-Nettacker
• Faire un don : https://owasp.org/donate/?reponame=www-project-nettacker&title=OWASP+Nettacker
• En savoir plus : https://www.secologist.com/open-source-projects

---

Installation et exécution rapides

CLI (Docker)

# Basic port scan on a single IP address:
$ docker run owasp/nettacker -i 192.168.0.1 -m port_scan
# Scan the entire Class C network for any devices with port 22 open:
$ docker run owasp/nettacker -i 192.168.0.0/24 -m port_scan -g 22
# Scan all subdomains of 'owasp.org' for http/https services and return HTTP status code
$ docker run owasp/nettacker -i owasp.org -d -s -m http_status_scan
# Display Help
$ docker run owasp/nettacker --help

Interface Web (Docker)

$ docker-compose up 

• Utilisez la clé API affichée dans la CLI pour vous connecter à l'interface Web
• L'interface Web est accessible depuis votre (https://localhost:5000) ou https://nettacker-api.z3r0d4y.com:5000/ (pointant vers votre localhost)
• La base de données locale est .nettacker/data/nettacker.db (sqlite).
• Le chemin par défaut des résultats est .nettacker/data/results
• docker-compose partagera votre dossier nettacker, vous ne perdrez donc aucune donnée après docker-compose down
• Pour voir la clé API, vous pouvez également exécuter docker logs nettacker_nettacker.
• Plus de détails et installation sans docker https://nettacker.readthedocs.io/en/latest/Installation

---

Merci à nos formidables contributeurs !