Grafana 최종 스캐너

Grafana용 명령줄 취약점 스캐너입니다. 설치된 Grafana 버전을 식별하고, 버전별 CVE 검사를 실행하며, 일반적인 구성 약점을 감사하고, 결과를 로컬 데이터베이스에 저장하며, 작은 웹 대시보드를 통해 결과를 제공할 수 있습니다.

법적 고지

이 도구는 Grafana 인스턴스에 요청을 보내며, 일부 검사에서는 알려진 익스플로잇 경로(경로 탐색, SQL 인젝션, SSRF)를 시도합니다. 소유하고 있거나 테스트에 대한 서면 허가를 받은 시스템에 대해서만 실행하십시오. 무단 스캔은 해당 국가의 컴퓨터 오용 법률을 위반할 수 있습니다.

요구 사항

• Python 3.9 이상
• requests
• flask (--serve에만 필요)

설치

pip install -r requirements.txt

빠른 시작

# 단일 대상 스캔
python scanner.py -u https://grafana.example.com

# 파일에서 URL 목록 스캔
python scanner.py -f targets.txt -o report

# 혼합 URL 목록에서 Grafana 인스턴스 감지 후 스캔
python scanner.py --auto-search urls.txt -o discovery

# 데이터베이스에 결과 저장 후 대시보드에서 보기
python scanner.py -f targets.txt --db vulndb.json
python scanner.py --serve --db vulndb.json

명령줄 옵션

보안 동작

• TLS는 기본적으로 확인됩니다. 자체 서명 인증서를 사용하는 내부 호스트에 대해서만 --no-ssl-verify를 전달하세요. 그렇게 하면 자격 증명이 가로채기에 노출될 수 있으므로 경고가 출력됩니다.
• --dashboard-token을 설정하지 않으면 대시보드는 인증되지 않습니다. 대시보드가 로컬이 아닌 인터페이스에 바인딩된 경우 토큰을 설정해야 합니다. 모든 상태 변경 요청에는 CSRF 토큰도 필요합니다.
• 비밀 정보는 모든 콘솔 출력에서 삭제됩니다. (인증 헤더, 비밀번호, 쿠키, 토큰)

보고서 및 데이터베이스

-o 옵션을 사용하면 스캐너가 BASE.json, BASE.html, BASE.csv를 작성합니다. HTML 보고서는 악성 대상 응답에서 올 수 있는 javascript:/data:/vbscript: URI를 무력화합니다.

--db 옵션을 사용하면 결과가 원자적으로 기록되는 JSON 파일에 저장됩니다. 이전 상태의 .bak 복사본이 유지되며, 구문 분석에 실패한 파일은 자동으로 폐기되지 않고 .corrupt-<timestamp>로 이동됩니다.

검사

스캐너는 버전별 CVE 검사와 구성 감사(보안 헤더, CORS, 익명 액세스, 자체 가입, 플러그인 분석, 노출된 메트릭)를 실행합니다. 전체 CVE 목록 및 탐지 방법 노트는 docs/vulnerabilities.md에 있습니다.

프로젝트 구조

• scanner.py — 엔진, 검사, 데이터베이스, 웹 대시보드, CLI
• docs/usage.md — 스캔 모드 및 워크플로
• docs/vulnerabilities.md — CVE 참조
• docs/architecture.md — 내부 구조 및 데이터 흐름
• tests/ — 테스트 스위트

개발

make test       # 테스트 스위트 실행
make lint       # ruff + flake8

CI 파이프라인은 Python 3.9–3.12에서 테스트와 린터를 실행하고 Docker 이미지를 빌드합니다.

라이선스

MIT. LICENSE 참조.