Strumento di gestione della superficie d'attacco a costo zero
Strumento di gestione della superficie d'attacco a costo zero
presentato al Black Hat Arsenal 2023 e al Recon Village @ DEF CON 2023.
Easy EASM è esattamente questo... lo strumento più semplice da configurare per dare alla tua organizzazione visibilità sui propri asset esterni.
Il mercato è dominato da vendor da $30k che vendono "Gestione della Superficie d'Attacco", ma i veterani del bug bounty e del red teaming conoscono la verità. La gestione della superficie d'attacco esterna è nata proprio dalla scena del bug bounty. La maggior parte di questi vendor da $30k utilizza questi stessi strumenti open-source nel backend.
Con dieci righe di configurazione o meno, utilizzando strumenti open-source e un deployment con un solo pulsante, Easy EASM darà alla tua organizzazione una visione completa dei tuoi asset online. Easy EASM esegue scansioni giornaliere e ti avvisa tramite Slack o Discord per gli asset appena trovati! Easy EASM produce anche uno scheletro Excel per un Registro dei Rischi o un Database degli Asset! Non è scienza missilistica, ma è UTILE. Non farti truffare. Prendi Easy EASM e sentiti sicuro di sapere cosa è esposto agli attaccanti su internet.
go install github.com/g0ldencybersec/EasyEASM/easyeasm@latest
Lo strumento si aspetta un file di configurazione chiamato config.yml nella directory da cui viene eseguito.
Ecco un esempio di questo file yaml:
# EasyEASM configurations
runConfig:
domains: # Elenca qui i domini radice.
- example.com
- mydomain.com
slack: https://hooks.slack.com/services/DUMMYDATA/DUMMYDATA/RANDOM # URL del webhook Slack per notifiche Slack.
discord: https://discord.com/api/webhooks/DUMMYURL/Dasdfsdf # Webhook Discord per notifiche Discord.
runType: fast # Imposta su 'fast' (enumerazione passiva) o 'complete' (enumerazione attiva).
activeWordList: subdomainWordlist.txt
activeThreads: 100
Per eseguire lo strumento, compila il file di configurazione: config.yml. Quindi, esegui il modulo easyeasm:
./easyeasm
Al termine dell'esecuzione, vedrai il CSV di output (EasyEASM.csv) nella directory di esecuzione. Questo CSV può essere aggiunto al tuo database degli asset e al registro dei rischi!
Il/i creatore/i di questo strumento non fornisce alcuna garanzia o assicurazione riguardo alle sue prestazioni, affidabilità o idoneità per uno scopo specifico.
Lo strumento viene fornito "così com'è" senza alcuna forma di garanzia, esplicita o implicita, incluse, ma non limitate a, garanzie implicite di commerciabilità, idoneità per uno scopo particolare o non violazione.
L'utente si assume la piena responsabilità nell'utilizzo di questo strumento e lo fa a proprio rischio. Il/i creatore/i non è responsabile per qualsiasi perdita, danno o spesa sostenuta dall'utente o da terzi a causa dell'utilizzo di questo strumento, sia in modo diretto che indiretto.
Inoltre, il/i creatore/i declina espressamente qualsiasi responsabilità per l'accuratezza, il contenuto o la disponibilità delle informazioni ottenute tramite l'uso di questo strumento, così come per qualsiasi danno causato da virus, malware o altri componenti dannosi che potrebbero infiltrarsi nel sistema dell'utente come risultato dell'utilizzo di questo strumento.
Utilizzando questo strumento, l'utente riconosce di aver letto e compreso questa dichiarazione di garanzia e accetta di assumersi tutti i rischi legati al suo utilizzo.
Questo progetto è concesso in licenza sotto la Licenza MIT - vedere il file LICENSE.md per i dettagli.
Per assistenza, utilizza la scheda Issues. Se non ricevi risposta entro 7 giorni, contattaci qui.