Каждая часть STEWS (обнаружение, идентификация, обнаружение уязвимостей) имеет отдельные инструкции. Пожалуйста, смотрите README в соответствующей папке.

Обнаружение WebSocket

Смотрите README по обнаружению

Идентификация WebSocket

Смотрите README по идентификации

Обнаружение уязвимостей WebSocket

Смотрите README по обнаружению уязвимостей

Зачем нужен этот инструмент?

WebSocket серверы в значительной степени игнорировались в кругах безопасности. Это частично связано с тремя препятствиями, которые не были четко решены для конечных точек WebSocket:

1. Обнаружение
2. Перечисление/идентификация
3. Обнаружение уязвимостей

STEWS пытается решить эти три пункта. Потребовался специальный инструмент, потому что в современных инструментах тестирования безопасности явно не хватает поддержки ручной настройки тестирования WebSocket:

1. Наблюдается общий недостаток поддерживаемых и скриптуемых инструментов тестирования безопасности WebSocket (например, неподдерживаемый инструмент NCC wssip tool, отсутствие поддержки WebSocket в nuclei и отсутствие поддержки WebSocket в nmap)
2. В Burp Suite отсутствует поддержка расширений WebSocket (например, смотрите эту тему на форуме PortSwigger и эту).
3. Не хватает более глубоких исследований безопасности, специфичных для WebSocket (репозиторий Awesome WebSocket Security перечисляет опубликованные исследования безопасности WebSockets)
4. Распространение WebSockets на современном вебе (как видно из результатов инструмента обнаружения STEWS)