Pwnflow

🎯 Визуализируйте свой путь тестирования и анализа безопасности

Pwnflow — это платформа для построения ментальных карт, созданная специально для специалистов по кибербезопасности. Она помогает визуализировать, отслеживать и делиться методологиями тестирования безопасности, сохраняя полный контроль над конфиденциальными данными.

🚀 Ключевые возможности

Основные функции

🗺️ Интерактивные ментальные карты: Создавайте и перемещайтесь по сложным рабочим процессам тестирования безопасности с помощью интуитивного визуального интерфейса
🤖 Помощь ИИ: Генерируйте предложения по узлам и расширяйте свою методологию с помощью встроенных возможностей ИИ
📋 Шаблоны команд: Сохраняйте и повторно используйте CLI-команды с подстановкой переменных
📊 Отслеживание прогресса: Визуализируйте ход тестирования и покрытие методологии

Безопасность и конфиденциальность

🔐 Самостоятельный хостинг: Запускайте полностью на своей инфраструктуре
🔒 Зашифрованные экспорты: Шифрование AES-256-GCM для безопасного обмена проектами и шаблонами
🔏 Аутентификация/Авторизация: Аутентификация на основе токенов с контролем доступа на уровне ресурсов
🤖 Конфиденциальность ИИ: Только нечувствительные данные (названия/описания узлов) передаются ИИ — никаких команд или конфиденциальных деталей

Импорт/Экспорт

📥 Импорт шаблонов: Загружайте методологии из GitHub или частных репозиториев
📤 Множество форматов экспорта: CSV и зашифрованные форматы
🔄 Миграция с предыдущих версий: Импорт из старых версий Pwnflow
📦 Массовые операции: Экспорт нескольких проектов или шаблонов за раз

🏗️ Архитектура

Фронтенд: React 19 + TypeScript + Vite
- TailwindCSS для стилизации
- XYFlow для визуализации ментальных карт
- Zustand для управления состоянием
Бэкенд: FastAPI (Python 3.12)
- Neo4j графовая база данных для хранения связей
- Redis

🚀 Начало работы

Предварительные требования

Docker и Docker Compose
Node.js 18+ и pnpm (для разработки)
Python 3.12+ (для разработки бэкенда)

Быстрый старт с Docker

Клонируйте репозиторий:

git clone https://github.com/rb-x/pwnflow.git
cd pwnflow

Сделайте скрипт запуска исполняемым:

chmod +x run.sh

Запустите окружение для разработки:

./run.sh dev

Это автоматически:

Проверит наличие Docker и Docker Compose
Создаст .env.development с безопасными настройками по умолчанию (пароль Neo4j: password)
Чтобы включить функцию ИИ, нажмите CTRL+C. Затем добавьте свой API-ключ Gemini в файл .env и перезапустите приложение командой ./run.sh dev
Запустит все сервисы (Фронтенд, Бэкенд, Neo4j, Redis)
Отобразит URL сервисов

Откройте приложение:

Фронтенд: http://localhost:5173
API бэкенда: http://localhost:8000
Документация API: http://localhost:8000/docs
Neo4j Browser: http://localhost:7474
Redis Commander: http://localhost:8081

Другие команды

./run.sh prod   # Запуск production-окружения (с nginx)
./run.sh stop   # Остановка всех контейнеров
./run.sh clean  # Остановка и удаление всех контейнеров и томов

Настройка разработки

Вариант 1: Использование Docker (рекомендуется)

./run.sh dev

Это запускает все сервисы с поддержкой горячей перезагрузки. Идеально для full-stack разработки.

Вариант 2: Ручная настройка разработки

Если вы предпочитаете запускать сервисы по отдельности без Docker:

Разработка фронтенда

cd frontend
pnpm install
pnpm dev          # Работает на http://localhost:5173

Разработка бэкенда

cd backend
pipenv install --dev
pipenv shell
python main.py    # Работает на http://localhost:8000

Примечание: Для ручной настройки вам потребуется Neo4j и Redis, запущенные локально:

Neo4j: Скачайте с neo4j.com
Redis: brew install redis (macOS) или apt install redis (Linux)

📁 Структура проекта

pwnflow/
├── frontend/           # React TypeScript приложение
│   ├── src/
│   │   ├── components/ # UI компоненты
│   │   ├── pages/      # Страницы маршрутов
│   │   ├── services/   # API сервисы
│   │   └── store/      # Управление состоянием
│   └── package.json
├── backend/            # FastAPI приложение
│   ├── api/           # API эндпоинты
│   ├── crud/          # Операции с базой данных
│   ├── models/        # Модели данных
│   ├── schemas/       # Pydantic схемы
│   └── services/      # Бизнес-логика
└── docker-compose.*.yml

🔧 Конфигурация

Скрипт run.sh автоматически обрабатывает всю конфигурацию окружения:

Разработка (./run.sh dev): Создаёт .env.development с безопасными настройками по умолчанию
Production (./run.sh prod): Создаёт .env.production с надёжными паролями

Чтобы добавить функции ИИ, просто отредактируйте сгенерированный файл .env.development или .env.production и добавьте свой GOOGLE_API_KEY.

Развёртывание в production

Для production-развёртывания:

Запустите production-сборку:

./run.sh prod

Это:

Проверит наличие существующего файла .env.production
При необходимости сгенерирует безопасные пароли и секреты
Предложит обновить CORS-источники для вашего домена
Запустит проверку безопасности перед запуском
Запустит все сервисы за прокси nginx

При первом запуске обновите .env.production:

Укажите ваш домен в BACKEND_CORS_ORIGINS
Добавьте GOOGLE_API_KEY для функций ИИ (опционально)
Проверьте все сгенерированные пароли

Создайте первого пользователя (регистрация отключена по умолчанию из соображений безопасности):

# Создать администратора через CLI (внутри контейнера бэкенда)
docker exec -it pwnflow-backend-prod python create_user.py create admin [email protected]

# Или с помощью docker-compose:
docker compose -f docker-compose.prod.yml exec backend python create_user.py create admin [email protected]

# Скрипт выведет:
# User created successfully:
# Username: admin
# Password: <secure-random-password>
# Email: [email protected]

Дополнительные шаги для production:

⚠️ Уведомление о безопасности: Мы категорически не рекомендуем открывать доступ к Pwnflow через интернет. Если это необходимо:

Внесите доверенные IP-адреса в белый список через WAF или брандмауэр
Регистрация отключена по умолчанию — создание пользователей только вручную через SSH

Настройте SSL/TLS сертификаты (рекомендуется Let's Encrypt)
Настройте мониторинг и логирование
Регулярно обновляйте систему безопасности

📚 Документация

🚧 Документация в настоящее время обновляется для новой full-stack архитектуры

🎯 Варианты использования

Pwnflow идеально подходит для:

Пентестеров: Отслеживание методологии и результатов
Аналитиков безопасности: Документирование процессов расследования
Специалистов по реагированию на инциденты: Создание карт процедур реагирования
Команд безопасности: Обмен знаниями и методологиями
Исследователей: Организация и визуализация путей атак

🛡️ Безопасность

Pwnflow разработан с учётом безопасности:

Конфиденциальность ИИ в первую очередь: Функции ИИ имеют доступ только к названиям и описаниям узлов — никогда к конфиденциальным данным, таким как результаты или переменные
Зашифрованные экспорты: Безопасный обмен с шифрованием AES-256-GCM
Нулевая телеметрия: Никакого отслеживания или сбора данных
Открытый исходный код: Полная прозрачность и безопасность на основе сообщества

Создано с ❤️ во 🇫🇷 Riadh BOUCHAHOUA (rb-x) & Ludovic COULON (LasCC)

Присоединяйтесь к сообществу Pwnflow и революционизируйте свой рабочий процесс тестирования безопасности!

Веб-сайт (устаревший) | Документация (устаревшая) | Шаблоны (устаревшие)

pwnflow

Популярное