Sitadel, Scanner de sécurité d'application Web

Sitadel est essentiellement une mise à jour pour WAScan le rendant compatible avec python. >= 3.4
Il vous offre plus de flexibilité pour écrire de nouveaux modules et implémenter de nouvelles fonctionnalités :

Détection d'infrastructure frontend
Détection du réseau de diffusion de contenu (CDN)
Définir le niveau de risque pour permettre les scans
Système de plugin
Image Docker disponible pour compiler et exécuter

Installation

$ git clone https://github.com/shenril/Sitadel.git


$ cd Sitadel


$ pip install .


$ python sitadel.py --help

Caractéristiques

Détection d'empreintes (Fingerprints)
- Serveur
- Frameworks Web (CakePHP,CherryPy,...)
- Frameworks Frontend (AngularJS,MeteorJS,VueJS,...)
- Firewall applicatif (Waf)
- Content Management System (CMS)
- Système d'exploitation (Linux,Unix,..)
- Langage (PHP,Ruby,...)
- Sécurité du cookie
- Réseau de diffusion de contenu (CDN)
Attaques:
- Bruteforce
  - Interface d'administration
  - Backdoors communs
  - Répertoires de sauvegardes connus
  - Fichiers de sauvegardes connus
  - Répertoires connus
  - Fichiers connus
  - Logs connus
- Injection
  - Injection HTML
  - Injection SQL
  - Injection LDAP
  - Injection XPath
  - Injection Cross Site Scripting (XSS)
  - Injection de fichiers (RFI)
  - Injection de code PHP
- Autres
  - Methodes HTTP Allow
  - Objets HTML
  - Indexes Multiples
  - Chemin de Robots
  - Web Dav
  - Cross Site Tracing (XST)
  - PHPINFO
  - .Listing
- Vulnérabilités
  - ShellShock
  - Anonymous Cipher (CVE-2007-1858)
  - Crime (SPDY) (CVE-2012-4929)
  - Struts-Shock

Exemple

Exécution simple
python sitadel http://website.com

Exécuter avec un niveau de risque à DANGEREUX et ne pas suivre les redirections
python sitadel http://website.com -r 2 --no-redirect

Exécuter des modules spécifiques uniquement et une verbosité complète
python sitadel http://website.com -a admin backdoor -f header server -vvv

Exécution avec docker

docker build -t sitadel .
docker run sitadel http://example.com

Avertissement

L'utilisation de ce programme ne peut se faire que dans le cadre légal d'un audit de vulnérabilités, basé sur le consentement mutuel. Il est de la responsabilité de l'utilisateur final de ne pas utiliser ce programme dans un autre cadre. SecuriteInfo.com n'assume aucune responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.