CMSScan: CMS security scanner

I tool dedicati alla sicurezza e alla prevenzione delle minacce informatiche non sono mai abbastanza e la community open source è sempre all'opera per migliorare quelli esistenti e realizzarne di nuovi. In questo articolo vogliamo parlarvi di CMSScan, un tool open source che si occupa di eseguire la scansione del nostro CMS alla ricerca di problemi o falle di sicurezza.

CMSScan fornisce all'utente una Security Dashboard centralizzata da cui gestire appunto i security scan dei vari CMS, attualmente il tool supporta: WordPress, Drupal, Joomla e vBulletin.

Questo tool è sostanzialmente un wrapper che include al suo interno una vasta scelta di funzionalità dedicate all'analisi di sicurezza tra cui wpscan, droopescan, vbscan e joomscan. Tramite CMSScan è possibile, oltre ad eseguire le scansioni manuali, anche schedulare scansioni periodiche ed inviare rapporto dettagliati via email, cosi da tenere sempre traccia delle analisi eseguite.

Per abilitare la funzionalità di scansione periodica è necessario eseguire CMSScan su di un server separato e configurarlo in modo preciso prima di eseguire script scheduler.py:

# SMTP SETTINGS
SMTP_SERVER = ''
FROM_EMAIL = ''
TO_EMAIL = ''
# SERVER SETTINGS
SERVER = ''
# SCAN SITES
WORDPRESS_SITES = []
DRUPAL_SITES = []
JOOMLA_SITES = []
VBULLETIN_SITES = []

Una volta inseriti i dati relativi ai server e quelli dei CMS che ci interessa monitorare, possiamo generare un nuovo cronjob:

crontab -e
@weekly /usr/bin/python3 scheduler.py

Nel caso volessimo includere CMSScan nella nostra "cassetta degli attrezzi digitali" possiamo creare facilmente un'immagine Docker da poter avviare su qualsiasi tipo di piattaforma:

docker build -t cmsscan .
docker run -it -p 7070:7070 cmsscan

oppure se vogliamo usare un'immagine prebuild:

docker pull opensecurity/cmsscan
docker run -it -p 7070:7070 opensecurity/cmsscan

Mentre per l'installazione in locale si può sfruttare il comodo script di setup creato dal team di sviluppatori:

git clone https://github.com/ajinabraham/CMSScan.git
cd CMSScan
./setup.sh

Via CMSScan