owasp/nettackerCadre de test d'intrusion automatisé - Scanner de vulnérabilités open-source - Gestion des vulnérabilités
OWASP Nettacker ========= [](https://github.com/OWASP/Nettacker/actions/workflows/ci_cd.yml/badge.svg?branch=master) [](https://github.com/OWASP/Nettacker/blob/master/LICENSE) [](https://twitter.com/iotscan)  [](https://nettacker.readthedocs.io/en/latest/?badge=latest) [](https://github.com/OWASP/Nettacker) [](https://hub.docker.com/r/owasp/nettacker) <img src="https://raw.githubusercontent.com/OWASP/Nettacker/master/nettacker/web/static/img/owasp-nettacker.png" width="200"><img src="https://raw.githubusercontent.com/OWASP/Nettacker/master/nettacker/web/static/img/owasp.png" width="500"> **AVERTISSEMENT** * ***CE LOGICIEL A ÉTÉ CRÉÉ POUR LES TESTS D'INTRUSION AUTOMATISÉS ET LA COLLECTE D'INFORMATIONS. VOUS DEVEZ UTILISER CE LOGICIEL DE MANIÈRE RESPONSABLE ET ÉTHIQUE. NE CIBLEZ PAS DE SYSTÈMES OU D'APPLICATIONS SANS OBTENIR L'AUTORISATION OU LE CONSENTEMENT DES PROPRIÉTAIRES OU ADMINISTRATEURS DES SYSTÈMES. LES CONTRIBUTEURS NE SERONT PAS RESPONSABLES DE TOUT USAGE ILLÉGAL.***  OWASP Nettacker est un framework open-source de tests d'intrusion automatisés et de collecte d'informations, basé sur Python, conçu pour aider les professionnels de la cybersécurité et les hackers éthiques à réaliser efficacement des reconnaissances, des évaluations de vulnérabilités et des audits de sécurité réseau. Nettacker automatise des tâches telles que le scan de ports, la détection de services, l'énumération de sous-domaines, la cartographie réseau, le scan de vulnérabilités et les tests de force brute d'identifiants, ce qui en fait un outil puissant pour identifier les faiblesses des réseaux, des applications web, des appareils IoT et des API. ### Fonctionnalités clés - **Architecture modulaire** - Chaque tâche — comme le scan de ports, la découverte de répertoires, l'énumération de sous-domaines, les vérifications de vulnérabilités ou la force brute d'identifiants - est implémentée sous forme de module propre, vous donnant le contrôle sur ce qui est exécuté. - **Scan multi-protocole et multithreadé** - Prend en charge HTTP/HTTPS, FTP, SSH, SMB, SMTP, ICMP, TELNET, XML-RPC, et peut exécuter des scans en parallèle pour plus de rapidité. - **Sortie complète** - Exportez les rapports en HTML, JSON, CSV et texte brut. - **Base de données intégrée et détection de dérive** - Stocke les scans passés dans la base de données pour une recherche facile et une comparaison avec les résultats actuels : utile pour détecter de nouveaux hôtes, ports ouverts ou vulnérabilités dans les pipelines CI/CD. - **CLI, API REST et interface web** - Offre à la fois une intégration programmatique et une interface web conviviale pour définir des scans et consulter les résultats. - **Techniques d'évasion** - Permet des délais configurables, la prise en charge de proxys et des user-agents aléatoires pour réduire la détection par les pare-feu ou les systèmes IDS. - **Cibles flexibles** - Accepte des IPv4 uniques, des plages d'IP, des blocs CIDR, des noms de domaine et des URL HTTP/HTTPS complètes. Les cibles peuvent être mélangées dans une seule commande ou chargées depuis un fichier à l'aide de l'option `-l/--targets-list`. ### Cas d'usage - **Tests d'intrusion** Automatisez la reconnaissance, les vérifications de mauvaise configuration, la découverte de services et le scan de vulnérabilités pour soutenir des workflows de tests d'intrusion efficaces et reproductibles. - **Reconnaissance et évaluation des vulnérabilités** Cartographiez les hôtes actifs, les ports ouverts, les services, les identifiants par défaut et les répertoires, puis effectuez de la force brute d'identifiants ou du fuzzing à l'aide de listes de mots intégrées ou personnalisées. - **Cartographie de la surface d'attaque** Découvrez rapidement les hôtes, ports, sous-domaines et services exposés à l'aide des modules d'énumération intégrés — idéal pour les actifs internes comme externes. - **Reconnaissance pour Bug Bounty** Automatisez et mettez à l'échelle les tâches de reconnaissance courantes comme l'énumération de sous-domaines, le brute-forcing de répertoires et la vérification des identifiants par défaut pour accélérer la découverte de cibles. - **Scan de vulnérabilités réseau** Scannez efficacement des IP, des plages d'IP, des blocs CIDR entiers ou tous les sous-domaines de l'organisation en parallèle grâce à une approche modulaire et multithreadée pour les évaluations réseau à grande échelle. - **Shadow IT & découverte d'actifs** Utilisez les données de scan historiques et la détection de dérive pour révéler les hôtes non gérés ou oubliés, les ports/services ouverts et les sous-domaines apparaissant au fil du temps. - **Surveillance CI/CD & conformité** Intégrez Nettacker dans les pipelines pour suivre les changements d'infrastructure et détecter de nouvelles vulnérabilités via l'historique des scans stocké et les fonctionnalités de comparaison. ### Liens * Page d'accueil du projet OWASP Nettacker : https://owasp.org/nettacker * Documentation : https://nettacker.readthedocs.io * Slack : [#project-nettacker](https://owasp.slack.com/archives/CQZGG24FQ) sur https://owasp.slack.com * Installation : https://nettacker.readthedocs.io/en/latest/Installation * Utilisation : https://nettacker.readthedocs.io/en/latest/Usage * Dépôt GitHub : https://github.com/OWASP/Nettacker * Image Docker : https://hub.docker.com/r/owasp/nettacker * Comment utiliser le Dockerfile : https://nettacker.readthedocs.io/en/latest/Installation/#install-nettacker-using-docker * OpenHub : https://www.openhub.net/p/OWASP-Nettacker * **Faire un don** : https://owasp.org/donate/?reponame=www-project-nettacker&title=OWASP+Nettacker * **En savoir plus** : https://www.secologist.com/open-source-projects ____________ Installation et exécution rapides ============ ### CLI (Docker) ```bash # Basic port scan on a single IP address: $ docker run owasp/nettacker -i 192.168.0.1 -m port_scan # Scan the entire Class C network for any devices with port 22 open: $ docker run owasp/nettacker -i 192.168.0.0/24 -m port_scan -g 22 # Scan all subdomains of 'owasp.org' for http/https services and return HTTP status code $ docker run owasp/nettacker -i owasp.org -d -s -m http_status_scan # Display Help $ docker run owasp/nettacker --help ``` ### Interface Web (Docker) ```bash $ docker-compose up ``` * Utilisez la clé API affichée dans la CLI pour vous connecter à l'interface Web * L'interface Web est accessible depuis votre (https://localhost:5000) ou https://nettacker-api.z3r0d4y.com:5000/ (pointant vers votre localhost) * La base de données locale est `.nettacker/data/nettacker.db` (sqlite). * Le chemin par défaut des résultats est `.nettacker/data/results` * `docker-compose` partagera votre dossier nettacker, vous ne perdrez donc aucune donnée après `docker-compose down` * Pour voir la clé API, vous pouvez également exécuter `docker logs nettacker_nettacker`. * Plus de détails et installation sans docker https://nettacker.readthedocs.io/en/latest/Installation _____________ Merci à nos formidables contributeurs ! ============ OWASP Nettacker est un projet open-source, fondé sur les principes de collaboration et de partage des connaissances. La dynamique communauté OWASP contribue à son développement, garantissant que l'outil reste à jour, adaptable et aligné sur les dernières pratiques de sécurité. Merci à tous nos formidables contributeurs ! 🚀  ## Adopteurs Nous sommes reconnaissants envers les organisations, les projets communautaires et les individus qui adoptent et s'appuient sur OWASP Nettacker pour leurs workflows de sécurité. Si vous utilisez OWASP Nettacker dans votre organisation ou votre projet, nous serions ravis d'avoir de vos nouvelles ! N'hésitez pas à ajouter vos informations au fichier [ADOPTERS.md](https://github.com/owasp/nettacker/blob/master/ADOPTERS.md) en soumettant une pull request ou à nous contacter via les issues GitHub. Mettons en avant la différence que Nettacker fait dans la communauté de la sécurité ! Voir [ADOPTERS.md](https://github.com/owasp/nettacker/blob/master/ADOPTERS.md) pour plus de détails. _____________ ## ***Projet Google Summer of Code (GSoC)*** * ☀️ Le projet OWASP Nettacker participe à l'initiative Google Summer of Code * 🙏 Merci à l'initiative Google Summer of Code et à tous les étudiants qui ont contribué à ce projet pendant leurs vacances d'été : <a href="https://summerofcode.withgoogle.com"><img src="https://betanews.com/wp-content/uploads/2016/03/vertical-GSoC-logo.jpg" width="200"></img></a> _____________ ## Soutiens OWASP Nettacker est soutenu par [Sorena AI](https://www.sorena.io/), une plateforme de conformité et GRC qui aide les équipes de sécurité à rationaliser les évaluations, la collecte de preuves, la gestion des risques et les workflows réglementaires.
