CoMisSion - WhiteBox CMS विश्लेषण

CoMisSion एक उपकरण है जो CMS सेटअप का त्वरित विश्लेषण करने के लिए है। यह उपकरण:

कोर संस्करण की जाँच करता है;
CMS की आधिकारिक वेबसाइट से डाउनलोड किए गए ताजा आर्काइव के साथ कोर में किए गए संशोधनों (जोड़, परिवर्तन, हटाने) की जाँच करता है;
नवीनतम कोर संस्करण की तलाश करता है;
उपयोग किए गए कोर संस्करण में कमजोरियों की तलाश करता है (केवल WordPress);
प्लगइन्स और थीम्स के संस्करण की जाँच करता है;
प्रत्येक प्लगइन और प्रत्येक थीम पर किए गए संशोधनों (जोड़, परिवर्तन, हटाने) की जाँच CMS की आधिकारिक वेबसाइट से डाउनलोड किए गए ताजा आर्काइव के साथ करता है;
उपयोग किए गए प्लगइन्स और थीम्स के संस्करणों में कमजोरियों की तलाश करता है।

🔥 ध्यान दें: CoMisSion स्रोत कोड का विश्लेषण करके कमजोरियों की तलाश नहीं करता है। कमजोरियाँ wpvulndb जैसे सार्वजनिक डेटाबेस से एकत्र की जाती हैं। नई कमजोरियाँ ढूँढना इस उपकरण का उद्देश्य नहीं है।

एक पूर्ण रिपोर्ट निम्नलिखित प्रारूपों में उत्पन्न की जा सकती है:

XLSX
CSV
JSON (उपकरण को CI प्रक्रिया में उपयोग करने की अनुमति देने के लिए)

उपकरण का परीक्षण Linux और Windows पर किया गया है। आउटपुट प्रदूषण से बचने के लिए, मैं Windows पर --no-color विकल्प सेट करने की अनुशंसा करता हूँ।

उदाहरण

./commision.py -c wordpress -d /cms_dir -o report.xlsx -t XLSX

स्थापना

उपकरण को कम से कम python3.6 की आवश्यकता है।

git clone https://github.com/Intrinsec/comission
pip install -r requirements.txt

उपयोग

usage: comission.py [-h] -d DIR -c CMS [-o FILE] [-t TYPE] [--skip-core]
                    [--skip-plugins] [--skip-themes] [--no-color] [-f CONF]
                    [--log LOGFILE] [--wp-content WP_CONTENT]
                    [--plugins-dir PLUGINS_DIR] [--themes-dir THEMES_DIR]
                    [--major VERSION_MAJOR] [-v VERSION]
                    [--wpvulndb-token WPVULNDB_TOKEN] [--debug]

CoMisSion एक CMS और उपयोग किए गए प्लगइन्स का विश्लेषण करता है।

वैकल्पिक तर्क:
  -h, --help            यह सहायता संदेश दिखाएँ और बाहर निकलें
  -d DIR, --dir DIR     CMS रूट निर्देशिका
  -c CMS, --cms CMS     CMS प्रकार (drupal, wordpress)
  -o FILE, --output FILE
                        आउटपुट फ़ाइल का पथ
  -t TYPE, --type TYPE  आउटपुट का प्रकार (CSV, XLSX, JSON, STDOUT)। डिफ़ॉल्ट XLSX है।
  --skip-core           कोर विश्लेषण छोड़ने के लिए इसे सेट करें
  --skip-plugins        प्लगइन विश्लेषण छोड़ने के लिए इसे सेट करें
  --skip-themes         थीम विश्लेषण छोड़ने के लिए इसे सेट करें
  --no-color            आउटपुट में रंगों का उपयोग न करें।
  -f CONF, --file CONF  कॉन्फ़िगरेशन फ़ाइल। example.conf देखें।
  --log LOGFILE         दिए गए फ़ाइल में लॉग आउटपुट।
  --wp-content WP_CONTENT
                        wp-content निर्देशिका स्थान को बलपूर्वक सेट करने के लिए इसे सेट करें।
  --plugins-dir PLUGINS_DIR
                        प्लगइन निर्देशिका स्थान को बलपूर्वक सेट करने के लिए इसे सेट करें।
  --themes-dir THEMES_DIR
                        थीम निर्देशिका स्थान को बलपूर्वक सेट करने के लिए इसे सेट करें।
  --major VERSION_MAJOR
                        कोर प्रमुख संस्करण निर्दिष्ट करें (जैसे 7, 8) --skip-core तर्क का उपयोग करते समय। केवल Drupal के लिए काम करता है।
  -v VERSION, --version VERSION
                        कोर पूर्ण संस्करण निर्दिष्ट करें (जैसे 5.5)।
  --wpvulndb-token WPVULNDB_TOKEN
                        wpvulndb API का अनुरोध करने के लिए एक टोकन सेट करें।
  --debug               त्रुटियों की पहचान करने में मदद के लिए डीबग संदेश प्रिंट करें।

🔥 WordPress के लिए कमजोरियाँ प्राप्त करने के लिए, आपको --wpvulndb_token तर्क सेट करना होगा। आप wpvulndb पर एक खाते के साथ एक टोकन प्राप्त कर सकते हैं।

आप एक कॉन्फ़िगरेशन फ़ाइल प्रदान कर सकते हैं। संदर्भ के लिए example.conf देखें।

समर्थित CMS

Wordpress
Drupal (कोई कमजोरी जाँच नहीं)

Docker

हम अभी तक कोई आधिकारिक छवि प्रकाशित नहीं कर रहे हैं। Docker के साथ उपकरण का उपयोग करने के लिए, आप एक छवि बना सकते हैं। प्रोजेक्ट फ़ोल्डर में, इसके साथ बनाएँ:

docker build -t isec/comission .

फिर इसे इसके साथ चलाएँ:

docker run -it --rm -v /TARGET_PATH/:/cms_path/ -v /OUTPUT_DIR/:/output/ isec/comission -d /cms_path/ -c drupal -o /output/test_docker.xlsx -t XLSX

अपने फ़ोल्डरों से मेल खाने के लिए "TARGET_PATH" और "OUTPUT_DIR" पथ बदलने का ध्यान रखें।

परीक्षण

यूनिट परीक्षण tests फ़ोल्डर में उपलब्ध हैं। परीक्षण चलाने से पहले, आपको एक test-data-set निर्देशिका बनानी चाहिए जिसमें drupal और wordpress उपनिर्देशिकाएँ हों, और एक test.conf फ़ाइल जिसमें कम से कम एक wpvulndb_token मान हो।

लेखक

Paul Mars (Intrinsec)

Etienne Boursier (Intrinsec) के एक विचार पर आधारित

कॉपीराइट - लाइसेंस - WPVULNDB

यह उपकरण GPLv3 लाइसेंस के तहत वितरित किया गया है। लेकिन सावधान रहें, उपकरण WordPress कोर और प्लगइन्स पर जानकारी एकत्र करने के लिए wpvulndb API का उपयोग करता है।

comission

सबसे लोकप्रिय