Suomi

← Takaisin luetteloon

Soluttautuminen muuttuu yhdessä yössä! Xalgorix, vaihe 22, täysin automaattinen.

itadol5j

Kansi

Mikä on vaikein osa soluttautumistestiä? Se ei ole raportti, se on kaksinkertainen työ - tiedustelu, katapultit, injektointi pistettä testit, SSRF varmennus, CORES tarkastus Normaali Web penetraatio vaatii ainakin tusinan työkaluja, koputtaa satoja komentoja, sitten kokoaa tulokset käsin.

Vuosien mittaan tekoälyn turvatyökaluja on kääritty, mutta useimmat projektit ovat joko yksivaiheisia, joissa on vain muutama kiinteä malli tai käyttöliittymä mätänee siihen pisteeseen, missä komento on vaikea.

Kunnes näin Xalgorixin -- tämä projekti hajotti koko läpäisevyysmenetelmän 22 vaiheeseen, täydellä auto-ajolla, web-kojelautailla, reaaliaikaisella telemetrialla, PDF-raporteilla.Tukee Mini Max, GPT, Claude, Gemini ja kaikki OpenAI yhteensopivat rajapinnatEn tiedä. Avoin lähdekoodi, kirjoita, juonna, rakenna.

Hankkeen osoite: Github.com/xalgord/xalgorix

Mikä helvetti on Xalgorix?

Virkkeen määritelmä:Itse isännöity tekoälyn läpäisytestialustaEn tiedä.

Siinä yhdistyvät

  • LLM-ajo-agenttien aivot
  • Selainautomaatio (DAST ja interaktiiviset kohtaukset)
  • Päätetyökaluketju (yhteiset turvatyökalut automaattisesti asennettuna tarpeen mukaan)
  • Levinneisyyden testausmenetelmien 22 vaiheen sarja
  • Reaaliaikainen WebSocket-tapahtumavirta
  • Tutustu hallintajärjestelmään (tila + CVSS + tunnistustila)
  • Branding PDF raporttien laatiminen
  • AgenttiMail ja discord integraatio

Avaa selain osoitteessa http://127.0.01:9137 on "AI Infiltration Command Centre."

22 Vaiheen menetelmä: tiedustelusta nollaan päivään

Tämä on Xalgorixin kirkkain kohta silmissäni. Se ei ole väkivaltainen kaava "hukkaa URL ja anna tekoälyn selvittää se," mutta se on 22-vaiheinen sarja:

  • Vaihe 1-2: Reconnaissance / Manual Hole Digging
  • Vaihe 3-4: Hakemistotiedosto löytyi / CORS ja evästeanalyysi
  • Vaihe 5-6Tunnistautumistesti / injektointitesti (SQL/XSS/Cmd)
  • Vaihe 7-8:SSRF Testi / IDOR pääsy ylitetty
  • Vaiheet 9-10:API- ja GraphQL-testi / tiedoston lataustesti
  • Vaiheet 11-12Käänteinen sekvensointi ja RCE / kilpailuolosuhteet ja liiketoiminnan logiikka
  • Vaihe 13-14: osa-aluevaltaus / avoin suora testi
  • Vaihe 15-16Postin turvallisuustestit / Pilvet ja infrastruktuuri
  • Vaihe 17-18:WebSocket Test / CMS Specific Test
  • Vaihe 19-20Muu järjestäjä
  • Vaihe 21-22: nollapäivän löytäminen / loppuraportti

Voit ajaa kaiken, tai voit valita tietyn vaiheen Web UI. - SSR:n ja IDOR:n mittaamiseen.

Kolme skannaustilaa

Kuva
  • Yksi tavoite: Testaa yksi tunnettu URL tai isäntä
  • Wildcard / multi: wildcard useita kohteita, hyökkäys kasvojen havaitseminen ja erä lakaista Sketch
  • DASTSelaimen tukitestaus, joka on erikoistunut Web-sovelluksiin, tunnistusvirtoihin, muotoihin ja juoksuaikaan

DAST-malli on valoisa paikka - monet tekoälyn läpäisytyökalut eivät tue selaimen automaatiota ja ovat sokkoutettuja nykyaikaisilla Web-sovelluksilla, jotka edellyttävät kirjautumista ja SPA:n vuorovaikutusta. Xalgorixissa on selailukerros, joka kulkee täysin sisäänkirjautumisprosessin läpi, muodossa toimitettavana, JavaScript vuorovaikutus.

Kolme askelta, 60 sekuntia.

Ympäristövaatimukset: Linux + Go 1.24.2+.

Vaihe 1: Kloonaus ja kokoaminen

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Tee rakennettu kääntää React Web UI kansainväliseen/web/staattinen ja sitten Go binary.

Vaihe 2: LLM:n asetukset

Luo ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

On suositeltavaa, että MiniMax-M2.7 on arvokas ja ystävällinen kiinalaisten penetraatio raportteja. Se tukee myös OpenAI, mukautettu OpenAI yhteensopiva käyttöliittymä, Gemini.

OpenAI- asetukset:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Custom OpenAI yhteensopivuus (esim., Alitsu, tiedustelu):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Vaihe 3: Käynnistä Web-mittari Board

xalgorix --web

Avaa selain osoitteessa http://127.0.1.9137, kuiva.

Käskyt voivat mennä.

Muu järjestäjä

xalgorix --target https://example.com

tilauskomento:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Tämä luonnollinen kielen opetus syötetään suoraan Agentille, ja se toimii kuten sanoit.

Palvelutila: Järjestelmäpalveluihin siirtyminen

Kuva

7x24 käynnissä erä skannaus vaaditaan:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Haluatko etäselaimen pääsyn? Muu järjestäjä

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Huomio.: Jos todentamista ei ole, palvelin hylkää suoraan ulkoisen sidonnan. Tämä tietoturvan oletus on kohteliaisuus tekijälle.

Integroitu ekologia

Xalgorix ei ole saari:

  • AgenttiMailKertaluonteisen postilaatikon testaus, postin vastaanoton todentaminen, OTP-prosessi, postin laukaisintapahtuma
  • Discord Webkook.: suuririskinen porsaanreikä, joka lähetetään reaaliajassa ja jonka vähimmäisarvo on asetettu

Discord- asetukset Esimerkki:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Se on vain silloin, kun löydät jotain korkealta ja korkeammalta, joten et hukuta matalan tason tietoja.

Raportointitoiminto: PDF lähettää asiakkaille suoraan

Monet avoimen lähdekoodin työkalut ovat vitsi - joko puhdas JSON, tai Markdown, eikä voi toimittaa asiakkaita suoraan.

Xalgorixin raporttimoduuli toimii:

  • Summer.: tiivistelmä, tavoitemetatiedot, skannatut metatiedot, kriittisen tason yleiskatsaus
  • Ikkunat: sertifioidut havainnot, CVSS-tiedot, tekninen analyysi, todisteet käytöstä
  • Todisteet: PoC komento, skripti, hyötykuorma, taustahavainto
  • Korjaavat toimet: Palautusohjaus, priorisointi
  • Merkki.: Yrityksen nimi, Logo.

Suorita skannaus ja saada PDF raportti yrityksesi Logo, joka voidaan toimittaa suoraan. Tämä on valmennusta tietoturvakonsulttiyritysten, SRC-tiimit, penetraatiopalvelujen tarjoajat.

Turvallinen ajoaika suunnittelu

Kuva

Xalgorix mietti jonkin aikaa "Älä kuseta":

  • Oletussidottu vain toisto(127.0.10.1) Ulkoista altistumista varten vaaditaan näkyvä tunnistus.
  • Polkupolitiikka: tiedostojärjestelmät kirjoittaa vain data dir, ~/.xalgorix/, /tmp, kaikki muut hylätty
  • Esimerkkejä resurssihavainnon rajoituksista: Vältä koneen käynnissä liikaa skannattu muisti
  • Jokaisella työkalulla on vaikea katsella koiraa.: calculus tullaan voimakkaasti tappaa
  • Yhdistetyn kulunvalvonta: Ylärajan ylittävät skannaukset hylätään ilman aivottomia tehtäviä

GET /api/status -käyttöliittymä paljastaa myös juoksuaikatilastot: paniikit takaisin, polun hylkäykset, vahtikoirat tappavat, sisäänpääsyn epäämiset,llm infovalon korkki. Ajatus havaintokyky standardin API osoittaa, että tekijä on insinööri, ei PoC.

V4.4.18 Tämä tuhoisa muutos

Edistävä huomio:Skannaustuloste, muistiinpanot, aikataulu, muut tuotetut tiedot tallennetaan nyt keskitetysti ~/.xalgorix/data/, ei binary startup hakemistossa.

Vanhat käyttäjät haluavat säilyttää käytöksensä:

export XALGORIX_DATA_DIR=$(pwd)

Varoitus, mutta Xalgorix. Älä lue, kopioi, poista automaattisestiNämä vanhat kansiot. Muistutan vain, että siirryt, etkä sotke tietoja, mikä on rauhoittavaa.

Kenelle?

Punainen ryhmä / soluttautuminen testiinsinööri:22 Vaihe Methods + Automation + Natural Language Command, joka voi vapauttaa sinut toistuvasta työstä ja keskittyä manuaalinen kaivaminen ja syvä analyysi.

Bug Bounty, Hunter.: Erän skannaus läpi
Majakkakohteet, automaattitunnistus kasvot, Discord nostaa korkean riskin reaaliajassa. Hanki tekoäly, jotta voit ansaita palkkion nukkuessasi.

SRC Team / Blue Team: Säännöllinen itsesensuuri yrityksen varoihin kohdistuneen hyökkäyksen selventämiseksi. Branded PDF raportoi suoraan pomolle.

Turvallisuuskonsulttiyritys: Palvelun start-up malli, moniasiakas skannattu, tuotos asiakasmerkki raportteja.

Opiskelijat/ Tutkijat22 Vaiheen menetelmä on itsessään elävä soluttautumisen oppikirja, joka on avoin, luettavissa ja mukautettavissa.

Miksi tämä hanke on huolenaihe?

Kuva

Vuonna 2026 tekoälyllä on useita penetraatiotestejä, mutta vain harvat niistä voivat saavuttaa Xalgorixin, täydellisen suljetun renkaan:

  • Ei vain agenttia, ei käyttöliittymää.
  • Kyse ei ole vain käyttöliittymästä. Menetelmiä ei ole.
  • Ei yhtäkään mallia.
  • Ei puoltakaan tuotetta.
  • Ei alasti ilman turvasuunnittelua.

Täydennä "AI Agent Brain + Browser Automation + Tool Chain + 22 vaihe Menetelmä + Web UI + raportointijärjestelmä," joka on niukka avoimen lähdekoodin piireissä.

Käytä hälytystä turvallisesti

Lopuksi on tärkeää korostaa virallista lausumaa:

Kerran Xalgorix vain järjestelmissä sinulla on tai on yksinomainen tila testata.

Xalgorixia käytetään vain järjestelmissä, jotka omistat tai joilla on erityinen lupa testata.

Tekoälyn penetraatiotyökalu on myös kaksiteräinen miekka - se pystyy tehokkaasti havaitsemaan reikiä, mutta väärien paikkojen käyttö on todellinen oikeudellinen riski. On käsiteltävä toimivallan siirtoa, soveltamisalaa ja raportointiprosessia. Se ei ole harvinainen näinä päivinä tekoäly työkalu päästä peliin, ei itse.

Yhteenveto

Xalgorix ei ole toinen tekoälyn soluttautuminen PoC:hen, vaan avoimen lähdekoodin näyte "AI Safety Test" -testin suunnittelusta ja tuotteistamisesta.

Jos hoidat turvatoimet, hyökkäät tai taistelet, kannattaa yrittää. Jos teet avoimen lähdekoodin panos, Go + React + LLM Projektin agenttirakenne on hyvä oppimisnäyte.

Projektiosoite on lähetetty uudelleen:

Gythub.com/xalgord/xalgorix