OWASP-mth3l3m3nt-framework

#OWASP Mth3l3m3nt Framework

Un aggiornamento leggermente maggiore (perdonate il gioco di parole) è in corso. Questo per introdurre cose come:

• Standard di codifica più semplice
• Supporto per PHP 8
• Funzionalità più robuste
• Correzione delle segnalazioni di bug inviate.

Questo strumento è rilasciato sotto GNU Affero General Public License v3.

Moduli inclusi finora:

• Payload Store
• Generatore di Shell (PHP/ASP/JSP/JSPX/CFM)
• Codificatore e Decodificatore di Payload (Base64/Rot13/Hex/Hex con separatore \x/ Hex con prefisso 0x)
• GUI di CURL (GET/POST/TRACE/OPTIONS/HEAD)
• Modulo di sfruttamento LFI (attualmente pre-imballato con: Koha Lib Lime LFI/ Wordpress Aspose E-book generator LFI/ Zimbra Collaboration Server LFI)
• HTTP Bot Herd per controllare le web shell.
• WHOIS
• String Tools
• Offuscatore lato client
• Database per furto di cookie (Consente di rubare cookie di sessione e scaricare il contenuto della pagina se è presente un XSS memorizzato)

Attualmente è impostato per utilizzare un database flat file.

Copia tutti i file nella tua webroot tranne db_dump_optional

Assicurati che le seguenti cartelle siano scrivibili:

• tmp
• framework/data
• framework/data/site_config.json
• incoming/
• scripts/

Dovrebbe funzionare subito, basta navigarci.

l'URL di login è: /cnc

username: mth3l3m3nt password: mth3l3m3nt

Per impostazione predefinita l'ho impostato per utilizzare il database JIG, ma puoi cambiarlo in qualsiasi momento nel backend. Il DB Dump presente è per gli utenti che usano MySQL e necessitano di dati demo. Sfortunatamente l'ho fatto solo per MySQL. È il mio database di scelta.

In alternativa guarda l'installazione qui:

https://www.youtube.com/playlist?list=PL8peOGsl5TC4WscgWaNMx0xJlS6X2QJI0

Se desideri passare da JIG puoi farlo nelle impostazioni. Nota: il DB deve essere creato, il sistema popola solo le tabelle necessarie, non elimina né crea il DB. Gli altri database supportati sono:

• Mongo DB
• MSSQL
• PostgreSQL
• SQLite
• MySQL

Oltre a SQLite, assicurati di avere le estensioni PHP per i database sopra indicati in modo che possa accedervi tramite PHP Data Objects.

Per gli utenti MySQL che necessitano di dati di esempio MySQL, specialmente molti payload, passa al database MySQL e importa i dati dal Dump per popolare.

In caso di domande, suggerimenti o bug e altre cose: http://munir.skilledsoft.com

Puoi anche inviarli o iscriverti alla mailing list: https://lists.owasp.org/mailman/listinfo/owasp-mth3l3m3nt-framework-project

È stato testato su:

• Apache
• Litespeed
• Nginx
• Lighttpd

Nel caso lo testi su un altro server, per favore dai il tuo feedback.

Se lo installi in una sottocartella, modifica il file .htaccess per riflettere RewriteBase come sottocartella.

Hai problemi a farlo funzionare sul tuo server web? Dai un'occhiata alla nostra guida alla configurazione del server web.