OSTE-Meta-Scanner

Questo progetto è ora mantenuto e supportato da OSTE e non è più disponibile come progetto open-source. Per richieste, uso commerciale o supporto, contatta OSTE tramite LinkedIn, o il sito ufficiale, o il team vendite al +213.7.98.38.94.54 via whatsup. Questo progetto mira a semplificare il campo del Dynamic Application Security Testing. Lo scanner OSTE meta è uno scanner completo di vulnerabilità web che combina più scanner DAST, tra cui Nikto Scanner, ZAP, Nuclei, SkipFish e Wapiti.

Indice

• Introduzione
• Caratteristiche
• Installazione
• Utilizzo
• Contributi
• Licenza
• Screenshot

Introduzione

Questo software offre un'interfaccia grafica user-friendly che presenta un report completo per ogni scansione, rendendo il processo di scansione semplice e diretto.

L'obiettivo principale di questo scanner sono le vulnerabilità di injection web come SQL injection, XSS injection, OS command injection, XML injection e molte altre. Inoltre, fornisce un elenco di vulnerabilità supportate da ogni scanner, oltre alle vulnerabilità di injection.

Offriamo due tipi di report. Il primo è un report consolidato in formato JSON, che include i report importanti di ogni scanner. Contiene dettagli come la vulnerabilità, l'URL corrispondente, il parametro utilizzato, il comando Curl, il vettore di attacco, una descrizione della vulnerabilità e altro.

Il secondo report è un file HTML che evidenzia specificamente gli attacchi di injection riusciti. I nostri risultati e decisioni si basano su un nuovo algoritmo di apprendimento proposto durante ("A Meta-Scan based approach for the detection of injection vulnerabilities in Web applications.", -University May 8, 1945 -Guelma -, Dipartimento di Informatica, Presentato da: SEYYID TAQY EDINE OUDJANI, Supervisionato da: DR. ABDELHAKIM HANNOUSSE. 2023). [https://dspace.univ-guelma.dz/jspui/handle/123456789/15028].

Caratteristiche

Elenco delle principali vulnerabilità supportate:

1. Injection

• SQL injection
• Cross site scripting
• OS command injection
• XML injection
• XSLT injection
• XML External entites
• code injection
• host header injection
• html injection
• Template injection (server-side)
• CRLF injection
• OGNL injection

2. Altre vulnerabilità (fare riferimento al repository di ogni scanner per un elenco completo.)

• Elenco delle vulnerabilità supportate da Skipfish.
• Elenco delle vulnerabilità supportate da Wapiti.
• Elenco di attacchi attivi di ZAP.
• Elenco delle vulnerabilità supportate da Nikto (Specificato: Tunning 9 & 4).
• Nuclei CVE-Template.

Installazione

Il processo di installazione richiede un insieme specifico di requisiti. Sebbene questo progetto sia principalmente supportato su Kali Linux, può essere compatibile anche con altri sistemi operativi:

1. ZAP:

• kaliLinux: [ sudo apt install zaproxy ]
• Altri sistemi operativi: [ https://github.com/zaproxy/zaproxy ]

2. Wapiti:

• kaliLinux: [ sudo apt install wapiti ]
• Altri sistemi operativi: [ https://wapiti-scanner.github.io/ ]

3. Skipfish:

• kaliLinux: [ sudo apt install skipfish ]
• Altri sistemi operativi: [ https://gitlab.com/kalilinux/packages/skipfish ]

4. Nikto :

• kaliLinux: [ sudo apt install nikto ]
• Altri sistemi operativi: [ https://github.com/sullo/nikto ]

5. Nuclei:

• kaliLinux: [ sudo apt install nuclei ]
• Altri sistemi operativi: [ https://github.com/projectdiscovery/nuclei ]

6. Librerie Python 3:

• customtkinter
• zapv2
• jinja2
• webbrowser
• PIL
• matplotlib
• BeautifulSoup
• pprint

7. Requisiti opzionali per funzionalità aggiuntive:

• XAMP server
• NPM

(Nota: Tieni presente che creerò uno script bash per automatizzare i passaggi di installazione per gli utenti Linux il prima possibile.)

Utilizzo

Dopo aver clonato il repository sulla tua macchina locale, puoi avviare l'applicazione eseguendo il comando python3 Metascan.py.

Quindi, puoi navigare attraverso l'interfaccia dell'applicazione.

Docker

Un'immagine Docker è disponibile nella directory OSTEscaner. È basata su Kali Linux e necessita di un server X per visualizzare la GUI Python. Su Linux, probabilmente ne hai già uno in esecuzione, su Windows (incluso WSL) buoni server OSS sono vcxsrv o xming.

prima esporta il tuo display:
Linux: export DISPLAY=:0.0
Windows (wsl): export DISPLAY="$(grep nameserver /etc/resolv.conf | sed 's/nameserver //'):0"
poi costruisci ed esegui l'immagine Docker:

docker build -t metascan .
docker run -e DISPLAY=$DISPLAY --network=host metascan

risoluzione dei problemi:

• La visualizzazione X per Docker può essere complicata e potresti incontrare l'errore _tkinter.TclError: couldn't connect to display. Poiché è basata su comunicazione di rete, potresti dover includere il tuo indirizzo IP locale: ad esempio export DISPLAY:192.168.100.5:0.0, su Windows potresti cercare un tutorial su xming e installare font aggiuntivi.
• i comandi apt durante la build a volte falliscono a causa di un errore di rete di kali.org (Failed to fetch http://http.kali.org/), basta riprovare la build.

Contributi

Accogliamo con favore i contributi per migliorare e potenziare questo progetto. sia tramite donazione :

o con la potenza della tua mente. Contribuisci, segui queste linee guida:

1. Fai il fork del repository e crea un nuovo ramo per il tuo contributo.
2. Assicurati che il tuo codice aderisca agli standard di codifica del progetto.
3. Apporta le modifiche, risolvendo il problema specifico o aggiungendo il miglioramento proposto.
4. Testa accuratamente le tue modifiche.
5. Esegui il commit delle tue modifiche e fornisci un messaggio di commit chiaro e descrittivo.
6. Carica le tue modifiche nel repository forkato.
7. Invia una pull request, descrivendo le modifiche apportate e fornendo qualsiasi informazione o contesto rilevante.

Tieni presente che tutti i contributi saranno revisionati dai manutentori del progetto. Apprezziamo il tuo impegno e faremo del nostro meglio per fornire un feedback tempestivo.

Se hai domande o hai bisogno di ulteriori chiarimenti, sentiti libero di contattarci tramite il tracker dei problemi o contattando direttamente i manutentori del progetto.

Licenza

Questo progetto è sotto GNU GENERAL PUBLIC LICENSE Versione 3, 29 giugno 2007.

Questo progetto è inteso per scopi educativi e mira a semplificare la valutazione complessiva della cybersecurity. Tuttavia, vogliamo sottolineare che non siamo responsabili per qualsiasi uso malevolo di questa applicazione. È fondamentale che gli utenti di questo software esercitino responsabilità e comportamento etico. Raccomandiamo vivamente di notificare i target o gli individui coinvolti prima di utilizzare questo software.

ScreenShots

Contatti

LinkedIn: (https://www.linkedin.com/in/oudjani-seyyid-taqy-eddine-b964a5228)