Cartero

Cartero теперь представляет собой CLI на Go со встроенной рабочей областью без необходимости настройки, вместо старого runtime, зависимого от MongoDB.

Текущая реализация предоставляет:

• отточенный терминальный интерфейс на базе Cobra и Lip Gloss
• локальный административный веб-интерфейс и безопасные страницы тестирования через cartero serve
• безопасные по умолчанию команды проверки и предпросмотра кампаний
• встроенное хранилище SQLite в рабочей области по пути .cartero/cartero.sqlite
• собственные плагины для создания шаблонов, импорта клонов, синхронизации аудитории, экспорта аналитики и записи вовлеченности
• нормализованный импорт результатов из CSV, JSON, SARIF и JSONL
• односторонняя миграция из старого экспорта Mongo в текущую рабочую область
• модульные, CLI и конформные тесты с workflow для дымового тестирования
• воспроизводимая упаковка с помощью GoReleaser, Docker и GitHub Actions

Модель рабочей области

Cartero хранит локальное состояние внутри активной рабочей области:

• .cartero/cartero.sqlite: встроенное хранилище состояния SQLite
• plugins/: синхронизированные манифесты плагинов
• drafts/: сгенерированные черновики кампаний из проверенных сообщений
• exports/: экспорт аналитики

Внешняя база данных для установки или управления не требуется. Существующие рабочие области на Bolt автоматически мигрируются в SQLite при первом открытии.

Быстрый старт

make bootstrap
make build

./dist/cartero --plain workspace init
./dist/cartero init campaign.yaml
./dist/cartero --plain validate -f campaign.yaml
./dist/cartero --plain preview -f campaign.yaml
./dist/cartero serve --addr 127.0.0.1:8080
./dist/cartero --plain template list
./dist/cartero --plain finding list
./dist/cartero --plain plugin list

Запуск из вложенной директории или внешней сессии оболочки с помощью --root /path/to/workspace для принудительного разрешения рабочей области.

Команды

cartero workspace init       Инициализация встроенной рабочей области
cartero workspace status     Показать статус базы данных и счетчики рабочей области
cartero init                 Создать стартовый файл кампании
cartero preview              Отобразить стилизованную сводку готовности и сохранить снимок
cartero validate             Проверить определение кампании и сохранить снимок
cartero serve                Запустить локальный административный интерфейс и безопасные страницы тестирования
cartero template list        Просмотр библиотеки загруженных шаблонов
cartero template show        Детальный просмотр шаблона
cartero audience import      Импорт сегмента CSV в рабочую область
cartero audience list        Список сохраненных участников аудитории
cartero import clone         Преобразовать проверенное сообщение в безопасный черновик кампании
cartero finding import       Нормализация внешних результатов в рабочую область
cartero finding list         Список импортированных результатов
cartero migrate mongo-export Импорт файлов экспорта из Mongo в SQLite
cartero event record         Запись телеметрии вовлеченности
cartero event list           Список сохраненных событий вовлеченности
cartero report export        Экспорт аналитики рабочей области в JSON или CSV
cartero plugin list          Показать установленные манифесты плагинов
cartero plugin sync          Синхронизация встроенных манифестов плагинов и данных шаблонов
cartero doctor               Проверка здоровья локальной рабочей области
cartero version              Вывод метаданных сборки

Встроенные плагины

Репозиторий поставляется со следующими собственными плагинами:

• local-preview
• template-library
• clone-importer
• analytics-export
• audience-sync
• engagement-recorder

Их манифесты находятся в plugins/, а контракт описан в PLUGIN.md.

Модель кампании

Кампании — это YAML-файлы, описывающие план учебного упражнения. Cartero проверяет структуру и обеспечивает локальные меры безопасности:

• capture_credentials должен оставаться false
• allow_external_links должен оставаться false
• требуется одобрение менеджера для упражнений с пометкой high риск

Начните с configs/campaign.example.yaml.

Результаты и миграция

Cartero может соотносить результаты внешнего сканирования с той же локальной рабочей областью, которая используется для кампаний и событий:

./dist/cartero --plain finding import --file scans/nuclei.jsonl --source nightly-nuclei
./dist/cartero --plain finding list --tool nuclei
./dist/cartero --plain migrate mongo-export --path legacy-export

Путь миграции устаревших данных импортирует старые файлы экспорта Mongo для людей и попаданий, а также преобразует устаревшие артефакты учетных данных в отредактированные результаты, вместо переноса исходных введенных значений.

Разработка

make fmt
make vet
make test
make smoke

CI запускается при push и pull request через ci.yml. Тегированные релизы упаковываются через release.yml с помощью .goreleaser.yaml.