업데이트로 돌아가기
New releaseAug 25, 2026

Nettacker v0.4.1

자동화된 침투 테스트 프레임워크 - 오픈소스 취약점 스캐너 - 취약점 관리

공유

OWASP Nettacker

Build Status Apache License Twitter GitHub contributors Documentation Status repo size Docker Pulls

면책 조항

  • 이 소프트웨어는 자동화된 침투 테스트 및 정보 수집을 위해 제작되었습니다. 이 소프트웨어는 반드시 책임감 있고 윤리적인 방식으로 사용해야 합니다. 시스템 소유자나 관리자로부터 허가 또는 동의를 받지 않은 시스템이나 애플리케이션을 대상으로 삼지 마십시오. 기여자는 불법적인 사용에 대해 책임을 지지 않습니다.

2018-01-19_0-45-07

OWASP Nettacker는 사이버 보안 전문가와 윤리적 해커가 정찰, 취약점 평가, 네트워크 보안 감사를 효율적으로 수행할 수 있도록 설계된 오픈소스 Python 기반 자동 침투 테스트 및 정보 수집 프레임워크입니다. Nettacker는 포트 스캐닝, 서비스 탐지, 서브도메인 열거, 네트워크 매핑, 취약점 스캐닝, 자격 증명 무차별 대입 테스트와 같은 작업을 자동화하여 네트워크, 웹 애플리케이션, IoT 기기 및 API의 취약점을 식별하는 강력한 도구입니다.

주요 기능

  • 모듈식 아키텍처 - 포트 스캐닝, 디렉터리 발견, 서브도메인 열거, 취약점 점검, 자격 증명 무차별 대입 등 각 작업은 자체 모듈로 구현되어 실행할 항목을 제어할 수 있습니다.
  • 다중 프로토콜 및 다중 스레드 스캐닝 - HTTP/HTTPS, FTP, SSH, SMB, SMTP, ICMP, TELNET, XML-RPC를 지원하며 속도 향상을 위해 병렬로 스캔을 실행할 수 있습니다.
  • 포괄적인 출력 - HTML, JSON, CSV 및 일반 텍스트로 보고서를 내보낼 수 있습니다.
  • 내장 데이터베이스 및 드리프트 감지 - 과거 스캔을 데이터베이스에 저장하여 현재 결과와 쉽게 검색하고 비교할 수 있습니다. CI/CD 파이프라인에서 새 호스트, 열린 포트 또는 취약점을 감지하는 데 유용합니다.
  • CLI, REST API 및 웹 UI - 프로그래밍 방식 통합과 스캔 정의 및 결과 확인을 위한 사용자 친화적인 웹 인터페이스를 모두 제공합니다.
  • 탐지 회피 기술 - 방화벽 또는 IDS 시스템에 의한 탐지를 줄이기 위해 구성 가능한 지연, 프록시 지원, 무작위 사용자 에이전트를 활성화합니다.
  • 유연한 대상 - 단일 IPv4, IP 범위, CIDR 블록, 도메인 이름 및 전체 HTTP/HTTPS URL을 허용합니다. 단일 명령에서 대상을 혼합하거나 -l/--targets-list 플래그를 사용하여 파일에서 로드할 수 있습니다.

사용 사례

  • 침투 테스트
    정찰, 잘못된 구성 점검, 서비스 탐지, 취약점 스캐닝을 자동화하여 효율적이고 반복 가능한 침투 테스트 워크플로우를 지원합니다.

  • 정찰 및 취약점 평가
    활성 호스트, 열린 포트, 서비스, 기본 자격 증명 및 디렉터리를 매핑한 다음 내장 또는 사용자 정의 워드리스트를 사용하여 자격 증명 무차별 대입 또는 퍼징을 수행합니다.

  • 공격 표면 매핑
    내장 열거 모듈을 사용하여 노출된 호스트, 포트, 서브도메인 및 서비스를 빠르게 발견합니다. 내부 및 외부 자산 모두에 적합합니다.

  • 버그 바운티 정찰
    서브도메인 열거, 디렉터리 무차별 대입, 기본 자격 증명 점검과 같은 일반적인 정찰 작업을 자동화하고 확장하여 대상 찾기 속도를 높입니다.

  • 네트워크 취약점 스캐닝
    대규모 네트워크 평가를 위해 모듈식 다중 스레드 접근 방식을 사용하여 IP, IP 범위, 전체 CIDR 블록 또는 조직의 모든 서브도메인을 병렬로 효율적으로 스캔합니다.

  • 섀도우 IT 및 자산 발견
    과거 스캔 데이터와 드리프트 감지를 사용하여 시간이 지남에 따라 나타나는 관리되지 않거나 잊힌 호스트, 열린 포트/서비스 및 서브도메인을 발견합니다.

  • CI/CD 및 규정 준수 모니터링
    Nettacker를 파이프라인에 통합하여 저장된 스캔 기록과 비교 기능을 통해 인프라 변경 사항을 추적하고 새로운 취약점을 감지합니다.

링크

빠른 설정 및 실행

CLI (Docker)


# Basic port scan on a single IP address:
$ docker run owasp/nettacker -i 192.168.0.1 -m port_scan
# Scan the entire Class C network for any devices with port 22 open:
$ docker run owasp/nettacker -i 192.168.0.0/24 -m port_scan -g 22
# Scan all subdomains of 'owasp.org' for http/https services and return HTTP status code
$ docker run owasp/nettacker -i owasp.org -d -s -m http_status_scan
# Display Help
$ docker run owasp/nettacker --help

웹 UI (Docker)

$ docker-compose up
  • CLI에 표시된 API 키를 사용하여 웹 GUI에 로그인합니다.
  • 웹 GUI는 (https://localhost:5000) 또는 https://nettacker-api.z3r0d4y.com:5000/ (로컬호스트를 가리킴)에서 접근할 수 있습니다.
  • 로컬 데이터베이스는 .nettacker/data/nettacker.db (sqlite)입니다.
  • 기본 결과 경로는 .nettacker/data/results입니다.
  • docker-compose는 nettacker 폴더를 공유하므로 docker-compose down 후에도 데이터가 손실되지 않습니다.
  • API 키를 보려면 docker logs nettacker_nettacker를 실행할 수도 있습니다.
  • 자세한 내용 및 Docker 없이 설치하려면 https://nettacker.readthedocs.io/en/latest/Installation

멋진 기여자분들께 감사드립니다!

OWASP Nettacker는 협업과 공유 지식의 원칙을 바탕으로 구축된 오픈소스 프로젝트입니다. 활발한 OWASP 커뮤니티가 개발에 기여하여 이 도구가 최신 보안 관행에 부합하고 적응 가능하며 최신 상태로 유지되도록 보장합니다. 모든 멋진 기여자분들께 감사드립니다! 🚀

Awesome Contributors

사용 기관

보안 워크플로우를 위해 OWASP Nettacker를 채택하고 의존하는 조직, 커뮤니티 프로젝트 및 개인에게 감사드립니다.

귀하의 조직이나 프로젝트에서 OWASP Nettacker를 사용하고 있다면 저희는 여러분의 소식을 듣고 싶습니다! ADOPTERS.md 파일에 세부 정보를 추가하려면 풀 리퀘스트를 제출하거나 GitHub 이슈를 통해 문의해 주세요. Nettacker가 보안 커뮤니티에 어떻게 변화를 만들어내고 있는지 함께 보여줍시다!

세부 사항은 ADOPTERS.md를 참조하세요.

Google Summer of Code (GSoC) 프로젝트

  • ☀️ OWASP Nettacker 프로젝트는 Google Summer of Code 이니셔티브에 참여하고 있습니다.
  • 🙏 Google Summer of Code 이니셔티브와 여름 방학 동안 이 프로젝트에 기여한 모든 학생들에게 감사드립니다.

후원자

OWASP Nettacker는 보안 팀이 평가, 증거 수집, 위험 관리 및 규제 워크플로우를 간소화하도록 돕는 규정 준수 및 GRC 플랫폼인 Sorena AI의 지원을 받습니다.

더 읽기

카테고리

Penetration Testing FrameworksReconnaissanceVulnerability ScannersWeb Vulnerability ScannersExploit FrameworksPassword AttacksPort ScanningVulnerability AnalysisDynamic Code Analysis (DAST)ExploitationAPI Security TestingInformation GatheringWeb SecurityNetwork SecurityPenetration TestingSubdomain EnumerationAPI Security