Top10 Mapping Reporter

CLI tool that checks observable web security settings and maps the evidence to OWASP Top 10 2025 categories.

Features

• Check six HTTP security headers, including HSTS, CSP, and Permissions-Policy
• Inspect Server and X-Powered-By exposure
• Check the availability of robots.txt and sitemap.xml
• Inspect Secure, HttpOnly, SameSite, Path, and Domain cookie attributes
• Classify results as PASS, WEAK, MISSING, OBSERVED, or NOT_TESTED
• Map each result and its rationale to OWASP Top 10 2025 categories
• Save request context and structured results as JSON
• Generate a standalone HTML report with supporting evidence
• Include a configurable demo web app for reproducible validation

Safe Use

• This tool reports observable settings; it does not confirm vulnerabilities.
• It does not send attack payloads or provide automatic exploitation.
• Results require manual review in the context of the target service.
• Use it only on websites and applications you are authorized to assess.

Current Status

• Public version: v0.1
• Checks: HTTP headers, information exposure, and cookie attributes
• OWASP mappings: A02:2025 Security Misconfiguration and A07:2025 Authentication Failures
• Source code: Public in this repository

Local Installation

Requirements: Python 3.11+

git clone https://github.com/O-SQZ/Top10-Mapping-Reporter.git
cd Top10-Mapping-Reporter
python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

Run the reporter against an authorized target:

python -m app.main --url http://localhost:5050 --save

Output

Each saved run is written to runs/<run_id>/:

context.json   Request and response context
summary.json   Structured check results and OWASP mappings
report.html    Standalone HTML report

Repository Structure

app/           Reporter CLI, checks, OWASP mappings, and report renderer
demo/          Configurable Flask app for local validation
docs/          Report screenshots
runs/          Generated results (gitignored)
requirements.txt

---

한국어 안내

웹 서비스에서 확인 가능한 보안 설정을 점검하고, 그 근거를 OWASP Top 10 2025 항목에 매핑하는 CLI 도구입니다.

주요 기능

• HSTS, CSP, Permissions-Policy를 포함한 HTTP 보안 헤더 6종 확인
• Server, X-Powered-By 헤더 노출 확인
• robots.txt, sitemap.xml 접근 여부 확인
• 쿠키의 Secure, HttpOnly, SameSite, Path, Domain 속성 확인
• 결과를 PASS, WEAK, MISSING, OBSERVED, NOT_TESTED로 구분
• 각 결과와 판단 근거를 OWASP Top 10 2025 항목에 매핑
• 요청 컨텍스트와 구조화된 결과를 JSON으로 저장
• 근거를 포함한 단독 실행형 HTML 리포트 생성
• 결과를 재현할 수 있는 설정형 데모 웹 제공

안전한 사용 원칙

• 확인 가능한 설정을 정리하는 도구이며 취약점을 확정하지 않습니다.
• 공격 Payload 전송이나 자동 익스플로잇 기능을 제공하지 않습니다.
• 결과는 대상 서비스의 구조와 맥락을 바탕으로 직접 검토해야 합니다.
• 허가받은 웹사이트와 애플리케이션에서만 사용해야 합니다.

현재 상태

• 공개 버전: v0.1
• 점검 범위: HTTP 헤더, 정보 노출 및 쿠키 속성
• OWASP 매핑: A02:2025 Security Misconfiguration, A07:2025 Authentication Failures
• 소스코드: 이 저장소에서 공개

로컬 설치

Python 3.11 이상이 필요합니다.

git clone https://github.com/O-SQZ/Top10-Mapping-Reporter.git
cd Top10-Mapping-Reporter
python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt
python -m app.main --url http://localhost:5050 --save

결과물

실행 결과는 runs/<run_id>/에 저장됩니다.

context.json   요청·응답 컨텍스트
summary.json   구조화된 점검 결과와 OWASP 매핑
report.html    단독 실행형 HTML 리포트

저장소 구성

app/           CLI, 점검 로직, OWASP 매핑 및 리포트 생성기
demo/          로컬 검증용 설정형 Flask 앱
docs/          리포트 화면 이미지
runs/          생성된 결과물 (gitignored)
requirements.txt