owasp/nettackerФреймворк автоматизированного тестирования на проникновение - Сканер уязвимостей с открытым исходным кодом - Управление уязвимостями
OWASP Nettacker ========= [](https://github.com/OWASP/Nettacker/actions/workflows/ci_cd.yml/badge.svg?branch=master) [](https://github.com/OWASP/Nettacker/blob/master/LICENSE) [](https://twitter.com/iotscan)  [](https://nettacker.readthedocs.io/en/latest/?badge=latest) [](https://github.com/OWASP/Nettacker) [](https://hub.docker.com/r/owasp/nettacker) <img src="https://raw.githubusercontent.com/OWASP/Nettacker/master/nettacker/web/static/img/owasp-nettacker.png" width="200"><img src="https://raw.githubusercontent.com/OWASP/Nettacker/master/nettacker/web/static/img/owasp.png" width="500"> **ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ** * ***ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ СОЗДАНО ДЛЯ АВТОМАТИЗИРОВАННОГО ТЕСТИРОВАНИЯ НА ПРОНИКНОВЕНИЕ И СБОРА ИНФОРМАЦИИ. ВЫ ОБЯЗАНЫ ИСПОЛЬЗОВАТЬ ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ОТВЕТСТВЕННО И ЭТИЧНО. НЕ НАПРАВЛЯЙТЕ ЕГО НА СИСТЕМЫ ИЛИ ПРИЛОЖЕНИЯ БЕЗ ПОЛУЧЕНИЯ РАЗРЕШЕНИЯ ИЛИ СОГЛАСИЯ ОТ ВЛАДЕЛЬЦЕВ ИЛИ АДМИНИСТРАТОРОВ СИСТЕМ. УЧАСТНИКИ ПРОЕКТА НЕ НЕСУТ ОТВЕТСТВЕННОСТИ ЗА ЛЮБОЕ НЕЗАКОННОЕ ИСПОЛЬЗОВАНИЕ.***  OWASP Nettacker — это фреймворк с открытым исходным кодом на языке Python для автоматизированного тестирования на проникновение и сбора информации, предназначенный для помощи специалистам по кибербезопасности и этичным хакерам в эффективном выполнении разведки, оценки уязвимостей и аудита безопасности сетей. Nettacker автоматизирует такие задачи, как сканирование портов, обнаружение служб, перечисление поддоменов, построение карты сети, сканирование уязвимостей и подбор учётных данных (brute-force), что делает его мощным инструментом для выявления слабых мест в сетях, веб-приложениях, IoT-устройствах и API. ### Ключевые возможности - **Модульная архитектура** — Каждая задача — например, сканирование портов, поиск директорий, перечисление поддоменов, проверка уязвимостей или подбор учётных данных — реализована в виде отдельного модуля, что даёт вам контроль над тем, что выполняется. - **Многопротокольное и многопоточное сканирование** — Поддерживает HTTP/HTTPS, FTP, SSH, SMB, SMTP, ICMP, TELNET, XML-RPC и может выполнять сканирование параллельно для повышения скорости. - **Всесторонние результаты** — Экспорт отчётов в HTML, JSON, CSV и обычный текст. - **Встроенная база данных и обнаружение изменений (drift detection)** — Сохраняет прошлые сканирования в базе данных для удобного поиска и сравнения с текущими результатами: полезно для обнаружения новых хостов, открытых портов или уязвимостей в конвейерах CI/CD. - **CLI, REST API и веб-интерфейс** — Предлагает как программную интеграцию, так и удобный веб-интерфейс для настройки сканирований и просмотра результатов. - **Техники уклонения** — Позволяет настраивать задержки, поддержку прокси и случайные user-agent'ы для снижения вероятности обнаружения межсетевыми экранами или системами IDS. - **Гибкие цели** — Принимает отдельные IPv4-адреса, диапазоны IP, CIDR-блоки, доменные имена и полные HTTP/HTTPS URL. Цели можно комбинировать в одной команде или загружать из файла с помощью флага `-l/--targets-list`. ### Варианты использования - **Тестирование на проникновение** Автоматизируйте разведку, проверку неправильных конфигураций, обнаружение служб и сканирование уязвимостей для поддержки эффективных и воспроизводимых процессов тестирования на проникновение. - **Разведка и оценка уязвимостей** Составьте карту активных хостов, открытых портов, служб, учётных данных по умолчанию и директорий, затем выполните подбор учётных данных или фаззинг с использованием встроенных или собственных словарей. - **Построение карты поверхности атаки** Быстро обнаруживайте открытые хосты, порты, поддомены и службы с помощью встроенных модулей перечисления — идеально как для внутренних, так и для внешних активов. - **Разведка для Bug Bounty** Автоматизируйте и масштабируйте типовые задачи разведки, такие как перечисление поддоменов, перебор директорий и проверка учётных данных по умолчанию, чтобы ускорить поиск целей. - **Сканирование сетевых уязвимостей** Эффективно сканируйте IP-адреса, диапазоны IP, целые CIDR-блоки или все поддомены организации параллельно, используя модульный многопоточный подход для крупномасштабной оценки сетей. - **Обнаружение Shadow IT и активов** Используйте исторические данные сканирований и обнаружение изменений, чтобы выявлять неуправляемые или забытые хосты, открытые порты/службы и поддомены, появляющиеся со временем. - **Мониторинг CI/CD и соответствия требованиям** Интегрируйте Nettacker в конвейеры для отслеживания изменений инфраструктуры и обнаружения новых уязвимостей с помощью сохранённой истории сканирований и функций сравнения. ### Ссылки * Домашняя страница проекта OWASP Nettacker: https://owasp.org/nettacker * Документация: https://nettacker.readthedocs.io * Slack: [#project-nettacker](https://owasp.slack.com/archives/CQZGG24FQ) на https://owasp.slack.com * Установка: https://nettacker.readthedocs.io/en/latest/Installation * Использование: https://nettacker.readthedocs.io/en/latest/Usage * Репозиторий GitHub: https://github.com/OWASP/Nettacker * Docker-образ: https://hub.docker.com/r/owasp/nettacker * Как использовать Dockerfile: https://nettacker.readthedocs.io/en/latest/Installation/#install-nettacker-using-docker * OpenHub: https://www.openhub.net/p/OWASP-Nettacker * **Пожертвовать**: https://owasp.org/donate/?reponame=www-project-nettacker&title=OWASP+Nettacker * **Читать далее**: https://www.secologist.com/open-source-projects ____________ Быстрая установка и запуск ============ ### CLI (Docker) ```bash # Базовое сканирование портов одного IP-адреса: $ docker run owasp/nettacker -i 192.168.0.1 -m port_scan # Сканирование всей сети класса C на предмет устройств с открытым портом 22: $ docker run owasp/nettacker -i 192.168.0.0/24 -m port_scan -g 22 # Сканирование всех поддоменов 'owasp.org' на предмет http/https-сервисов и вывод HTTP-кода состояния $ docker run owasp/nettacker -i owasp.org -d -s -m http_status_scan # Показать справку $ docker run owasp/nettacker --help ``` ### Веб-интерфейс (Docker) ```bash $ docker-compose up ``` * Используйте API-ключ, отображаемый в CLI, для входа в веб-интерфейс * Веб-интерфейс доступен по адресу (https://localhost:5000) или https://nettacker-api.z3r0d4y.com:5000/ (указывает на ваш localhost) * Локальная база данных находится в `.nettacker/data/nettacker.db` (sqlite). * Путь к результатам по умолчанию: `.nettacker/data/results` * `docker-compose` будет использовать общую папку nettacker, поэтому вы не потеряете данные после `docker-compose down` * Чтобы увидеть API-ключ, вы также можете выполнить `docker logs nettacker_nettacker`. * Подробнее и установка без Docker: https://nettacker.readthedocs.io/en/latest/Installation _____________ Спасибо нашим замечательным участникам! ============ OWASP Nettacker — это проект с открытым исходным кодом, построенный на принципах сотрудничества и обмена знаниями. Активное сообщество OWASP вносит вклад в его развитие, гарантируя, что инструмент остаётся актуальным, адаптируемым и соответствующим современным практикам безопасности. Спасибо всем нашим замечательным участникам! 🚀  ## Внедрения Мы благодарны организациям, общественным проектам и частным лицам, которые внедряют OWASP Nettacker и полагаются на него в своих процессах обеспечения безопасности. Если вы используете OWASP Nettacker в своей организации или проекте, мы будем рады узнать о вас! Добавьте свои данные в файл [ADOPTERS.md](https://github.com/owasp/nettacker/blob/master/ADOPTERS.md), отправив pull request, или свяжитесь с нами через GitHub issues. Давайте покажем, как Nettacker меняет сообщество безопасности к лучшему! См. подробности в [ADOPTERS.md](https://github.com/owasp/nettacker/blob/master/ADOPTERS.md). _____________ ## ***Проект Google Summer of Code (GSoC)*** * ☀️ Проект OWASP Nettacker участвует в инициативе Google Summer of Code * 🙏 Благодарим инициативу Google Summer of Code и всех студентов, которые внесли вклад в этот проект во время своих летних каникул: <a href="https://summerofcode.withgoogle.com"><img src="https://betanews.com/wp-content/uploads/2016/03/vertical-GSoC-logo.jpg" width="200"></img></a> _____________ ## Спонсоры OWASP Nettacker поддерживается платформой [Sorena AI](https://www.sorena.io/), решением для обеспечения соответствия требованиям и GRC, которое помогает командам безопасности оптимизировать процессы оценки, сбора доказательств, управления рисками и соблюдения нормативных требований.
