gokul-dev47/headers-analyzer

# 🛡️ HTTP 安全响应头分析器 一款命令行工具，可分析任何网站的 HTTP 安全响应头，并生成包含评分、评级和优先修复步骤的详细安全评估报告。 专为 Web 应用程序渗透测试、安全审计、漏洞赏金侦察以及学习防御性 Web 安全而构建。 ## ⚠️ 法律声明 ## 检查项目 | 响应头 | 严重程度 | 防护目标 | |--------|----------|--------------------------| | Content-Security-Policy (CSP) | 🔴 高 | XSS，数据注入攻击 | | Strict-Transport-Security (HSTS) | 🔴 高 | 协议降级，MITM 攻击 | | X-Frame-Options | 🟡 中 | 点击劫持攻击 | | X-Content-Type-Options | 🟡 中 | MIME 类型嗅探攻击 | | Permissions-Policy | 🟡 中 | 功能滥用（摄像头、麦克风、GPS） | | Referrer-Policy | 🟢 低 | Referer 信息泄露 | | Cache-Control | 🟢 低 | 浏览器缓存敏感数据 | | X-XSS-Protection | 🟢 低 | 旧版 XSS 过滤器（旧版浏览器） | | Cross-Origin-Opener-Policy | 🟢 低 | XS-Leaks，跨域攻击 | | Cross-Origin-Resource-Policy | 🟢 低 | 未授权资源加载 | | Cross-Origin-Embedder-Policy | 🟢 低 | 浏览器隔离绕过 | | Server (信息泄露) | ℹ️ 信息 | 服务器指纹识别 | | X-Powered-By (信息泄露) | ℹ️ 信息 | 技术栈指纹识别 | ## 功能特性 - **满分 100 的安全评分**，附带 A+ 到 F 评级 - **三种发现类别：** 已配置 ✅ / 配置错误 ⚠️ / 缺失 ❌ - **信息泄露检测** — 标记 `Server` 和 `X-Powered-By` 的信息泄露 - **优先修复建议** — 优先突出显示高严重性问题 - **批量扫描** — 从文本文件扫描多个站点 - **报告导出** — 将结果保存为 `.txt` 或 `.json` 格式 - **详细模式** — 显示响应头的值、描述和具体的修复命令 - **SSL 降级回退** — 优雅地处理 SSL 证书错误 ## 安装说明 ``` git clone https://github.com/yourusername/cybersecurity-portfolio.git cd cybersecurity-portfolio/headers-analyzer pip install -r requirements.txt ``` **环境要求：** Python 3.8+ ## 使用方法 ### 扫描单个站点 ``` python3 headers_analyzer.py -u https://example.com ``` ### 详细模式（显示响应头的值 + 修复建议） ``` python3 headers_analyzer.py -u https://example.com --verbose ``` ### 保存报告到文件 ``` python3 headers_analyzer.py -u https://example.com --output report.txt ``` ### 批量扫描多个站点 ``` python3 headers_analyzer.py --batch sites.txt --output batch_report.txt ``` ### 导出原始结果为 JSON ``` python3 headers_analyzer.py -u https://example.com --json results.json ``` ### sites.txt 文件格式（用于批量扫描） ``` https://site1.com https://site2.com https://site3.com ``` ## 输出示例 ``` ╔══════════════════════════════════════════════════════╗ ║ HTTP Security Headers Analyzer v1.0 ║ ╚══════════════════════════════════════════════════════╝ [+] Target : https://example.com [→] Fetching headers... [+] Got 18 headers — analyzing... ──────────────────────────────────────────────────────── Target : https://example.com Status : HTTP 200 Score : 65/100 (Grade: C) ──────────────────────────────────────────────────────── ✅ Secure Headers Present (5) ✓ Strict-Transport-Security (HSTS) ✓ X-Frame-Options ✓ X-Content-Type-Options ✓ Referrer-Policy ✓ Cache-Control ⚠️ Misconfigured Headers (1) ⚠ Content-Security-Policy (CSP) [HIGH] Current : default-src 'none'; script-src 'unsafe-inline' Issue : Contains potentially unsafe directive ❌ Missing Headers (4) ✗ Permissions-Policy [MEDIUM] ✗ Cross-Origin-Opener-Policy [LOW] ✗ Cross-Origin-Resource-Policy [LOW] ✗ Cross-Origin-Embedder-Policy [LOW] 🔍 Information Disclosure (1) ℹ Server: nginx/1.18.0 🚨 Top Priority Fixes: → Tighten CSP — remove 'unsafe-inline' from script-src ``` ## 评分系统 | 评分 | 评级 | 含义 | |-------|-------|---------| | 90-100 | A+ | 安全态势极佳 | | 80-89 | A | 配置强大 | | 70-79 | B | 良好，存在微小差距 | | 60-69 | C | 一般，需要进行多项改进 | | 40-59 | D | 较弱，存在显著差距 | | 0-39 | F | 差 — 缺少主要安全响应头 | ## 实际测试结果（示例） | 站点 | 评分 | 备注 | |------|-------|---------| | github.com | 60/100 C | 缺失 COOP, CORP, COEP | | 配置良好的应用 | 85/100 A | 良好的 HSTS + CSP | | 典型的小型企业网站 | 10/100 F | 大部分响应头缺失 | ## 应用场景 - **漏洞赏金侦察** — 在进行深入测试之前，快速检查目标是否存在薄弱的安全响应头 - **Web 应用渗透测试** — 在测试报告中包含安全响应头分析 - **开发者安全审计** — 在部署前检查自己应用的安全态势 - **学习** — 了解每个安全响应头的作用及其重要性 ## 参考资料 - [OWASP 安全响应头项目](https://owasp.org/www-project-secure-headers/) - [Mozilla Web 安全指南](https://infosec.mozilla.org/guidelines/web_security) - [PortSwigger：点击劫持](https://portswigger.net/web-security/clickjacking) - [MDN：HTTP 安全响应头](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers#security) - [securityheaders.com](https://securityheaders.com) — 在线参考 ## 许可证 MIT 许可证 — 详见 [LICENSE](../LICENSE)。

标签：Bug Bounty, C2日志可视化, CISA项目, Content-Security-Policy, DInvoke, HSTS, HTTP安全头, MITM防御, Python安全工具, Web安全, XSS防御, 信息泄露检测, 可自定义解析器, 安全合规, 安全报告生成, 安全评分, 密码管理, 指纹识别, 无服务器架构, 网站安全检测, 网络代理, 网络安全, 蓝队分析, 逆向工具, 防御性安全, 隐私保护