noir

अपने कोड में हर एंडपॉइंट का शिकार करें, शैडो API को उजागर करें, अटैक सरफेस का मानचित्र बनाएं।

दस्तावेज़ीकरण • स्थापना • उपयोग • योगदान • परिवर्तन लॉग

Noir एक SAST उपकरण है जो स्रोत कोड पढ़ता है और किसी एप्लिकेशन द्वारा उजागर किए गए एंडपॉइंट्स — पथ, विधियाँ, पैरामीटर, हेडर, कुकीज़ और उनके पीछे की स्रोत फ़ाइलें — निकालता है। शैडो API, अप्रचलित रूट्स और अप्रलेखित हैंडलर उसी इन्वेंटरी के भाग के रूप में सामने आते हैं; वे कोई अलग मोड नहीं हैं।

यह इन्वेंटरी तीन समूहों को सेवा प्रदान करती है:

• मानव समीक्षक। सुरक्षा इंजीनियर और कोड ऑडिटर को हमलावर-सुलभ प्रविष्टि बिंदुओं — पथ, पैरामीटर, स्रोत फ़ाइलें, टैग — की एक केंद्रित सूची मिलती है, बजाय पूरे रेपो को स्किम करने के।
• AI ऑडिटर। LLM-आधारित SAST एजेंटों को वही केंद्रित सूची मिलती है, साथ ही प्रति-एंडपॉइंट समीक्षा संदर्भ (--include callee 1-हॉप कैलीज़ के लिए, --ai-context गार्ड, सिंक, वैलिडेटर और सिग्नल के लिए)।
• DAST उपकरण। ZAP, Burp Suite, Caido और Gori को स्कैन करने के लिए एक वास्तविक रूट सूची मिलती है, जिसमें वे पथ भी शामिल हैं जिन तक वे क्रॉल करके कभी नहीं पहुँच पाते।

Noir क्या करता है

• एंडपॉइंट निष्कर्षण। 50+ फ्रेमवर्क में स्थैतिक विश्लेषण। एंडपॉइंट्स, पैरामीटर, हेडर, कुकीज़ और वे स्रोत फ़ाइलें लौटाता है जिनसे वे आए हैं।
• LLM फ़ॉलबैक। जब स्थैतिक नियम लागू नहीं होते, तो असमर्थित फ्रेमवर्क (या एक-बंद कस्टम रूटिंग) को OpenAI / Ollama आदि को सौंपें।
• अगले चरण के लिए आउटपुट। JSON, YAML, OpenAPI, SARIF, cURL, Postman, HTML — पाइपलाइन में अगला उपकरण जो भी प्रारूप पढ़ता है।
• DAST एकीकरण। प्रॉक्सी लक्ष्य के रूप में सीधे ZAP, Burp Suite, Caido या Gori में पाइप करें, या आयात के लिए OpenAPI निर्यात करें।
• AI SAST संदर्भ। एंडपॉइंट इन्वेंटरी (और --include callee के साथ, प्रत्येक हैंडलर द्वारा आह्वान किए गए 1-हॉप फ़ंक्शन) वह केंद्रित संदर्भ है जिसकी एक LLM ऑडिटर को हमलावर-सुलभ बग खोजने के लिए आवश्यकता होती है। --ai-context आगे बढ़कर प्रति-एंडपॉइंट समग्र समीक्षा संदर्भ — गार्ड, कैलीज़, सिंक, वैलिडेटर और सिग्नल — संलग्न करता है, ताकि LLM को उन्हें फिर से खोजना न पड़े।
• CI/CD। GitHub Action, SARIF आउटपुट, एग्ज़िट कोड — आपकी मौजूदा पाइपलाइन में फिट बैठता है।

उपयोग

noir -h

उदाहरण

noir -b <source_dir>

यदि आप इसे GitHub Action के साथ उपयोग करते हैं, तो कृपया इस दस्तावेज़ को देखें।

अधिक जानकारी के लिए, कृपया हमारे दस्तावेज़ीकरण पृष्ठ पर जाएँ।

रोडमैप

Noir की शुरुआत एक WhiteBox परीक्षण सहायता के रूप में हुई: स्रोत से एंडपॉइंट निकालना ताकि DAST उन्हें अधिक सटीकता से स्कैन कर सके। काम बढ़ गया है — वही इन्वेंटरी अब मानव ऑडिटरों और AI SAST एजेंटों को भी सेवा प्रदान करती है। यहाँ से लक्ष्य तीनों उपभोक्ताओं को समान रूप से अच्छी सेवा देना है: कोड की समीक्षा करने वाले मानव, इसका ऑडिट करने वाले LLM, और इसे स्कैन करने वाले DAST उपकरण।

यहाँ से:

• भाषा और फ्रेमवर्क कवरेज का विस्तार करें; प्रति-फ्रेमवर्क फिक्स्चर के साथ सटीकता को ईमानदार रखें।
• उन मामलों के लिए LLM पर अधिक झुकें जहाँ स्थैतिक विश्लेषण नहीं पहुँच सकता।
• प्रति-एंडपॉइंट समीक्षा संदर्भ (गार्ड, कैलीज़, सिंक, वैलिडेटर, सिग्नल) को समृद्ध करें ताकि मानव समीक्षक और AI ऑडिटर प्रत्येक हैंडलर का समान केंद्रित दृश्य साझा करें।
• DAST एकीकरण को प्रथम श्रेणी का रखें — OpenAPI, प्रॉक्सी लक्ष्य, और ZAP / Burp / Caido को सीधे हस्तांतरण।

OWASP परियोजना

OWASP Noir जून 2024 में OWASP फाउंडेशन में शामिल हुआ।

• आधिकारिक परियोजना पृष्ठ: https://owasp.org/www-project-noir/
• OWASP Nest: https://nest.owasp.org/projects/noir

समाचार और अद्यतन

• मई 2026: v1.0.0 जारी किया — सभी विश्लेषकों, टैगर्स, पैसिव-स्कैन और एक बिल्कुल नई क्रिया-केंद्रित CLI संरचना में एक स्थिर 1.x लाइन की शुरुआत।
• मई 2026: रोडमैप को ताज़ा किया — Noir का लक्ष्य अब मनुष्यों, AI ऑडिटरों और DAST उपकरणों को समान रूप से उसी एंडपॉइंट इन्वेंटरी के उपभोक्ता के रूप में सेवा देना है।
• अगस्त 2025: OWASP सियोल मीटअप में प्रस्तुति दी। (ओपन सोर्स गार्डनिंग)
• नवंबर 2024: ZAP ब्लॉग पर एक अतिथि ब्लॉग पोस्ट "Powering Up DAST with ZAP and Noir" प्रकाशित किया।
• जून 2024: OWASP Noir के रूप में OWASP में शामिल हुए
  • GitHub संगठन का नाम noir-cr से owasp-noir में बदला
  • @ksg97031 के साथ सह-नेतृत्व में परिवर्तित
• नवंबर 2023: Noir रिपॉजिटरी को noir-cr GitHub संगठन में स्थानांतरित किया।
• अगस्त 2023: @hahwul के व्यक्तिगत प्रोजेक्ट के रूप में शुरू हुआ।

योगदान

Noir ❤️ से बना एक ओपन-सोर्स प्रोजेक्ट है। यदि आप योगदान देना चाहते हैं, तो कृपया CONTRIBUTING.md देखें और एक पुल रिक्वेस्ट सबमिट करें।

शुभंकर

	हमारा शुभंकर Hak (학) है, एक सारस जो छिपी हुई खामियों को पहचानने में सुंदरता और सटीकता का प्रतीक है। कोरियाई में, "학" का अर्थ "सारस" है, जो एक तेज सहयोगी का प्रतिनिधित्व करता है जो आपके कोड में कमजोरियों और हमले की सतहों को उजागर करने के लिए गहराई से गोता लगाता है। Hak से संबंधित अधिक कलाकृति और संसाधनों के लिए, noir-artwork repository देखें।