हिन्दी

← सूची पर वापस जाएँ

घुसपैठ loops रात भर बदल! Xalgorix, चरण 22, पूरी तरह से स्वचालित।

itadol5j

आवरण

घुसपैठ परीक्षण का सबसे कठिन हिस्सा क्या है? यह एक रिपोर्ट नहीं है, यह एक डबल नौकरी है - पुनर्जागरण, catapults, इंजेक्शन बिंदु परीक्षण, एसएसआरएफ सत्यापन, CORES निरीक्षण एक मानक वेब प्रवेश कम से कम एक दर्जन उपकरण लेता है, सैकड़ों कमांडों को नॉक करता है, फिर मैन्युअल रूप से परिणाम देता है।

वर्षों में, एआई सुरक्षा उपकरण को रोल किया गया है, लेकिन अधिकांश परियोजनाएं या तो एकल चरणों में चलती हैं, केवल कुछ निश्चित मॉडलों के साथ, या यूआई उस बिंदु पर घूमती है जहां कमांड कठिन होता है।

जब तक मैंने Xalgorix देखा - इस परियोजना ने पूरी पारगम्यता विधि को 22 चरणों में तोड़ दिया, पूर्ण ऑटो रन, वेब डैशबोर्ड, वास्तविक समय टेलीमेट्री, पीडीएफ रिपोर्ट के साथ।मिनी मैक्स, जीपीटी, क्लाउड, मिथुन और किसी भी ओपनएआई संगत इंटरफेस का समर्थन करता हैमैं नहीं जानता हूँ। ओपन सोर्स, गो लिखते हैं, होस्ट करते हैं, निर्माण करते हैं।

परियोजना का पता: Github.com/xalgord/xalgorix

Xalgorix क्या है?

एक वाक्य की परिभाषा:स्व-होस्टेड एआई पैठ परीक्षण मंचमुझे नहीं पता।

यह जोड़ती है:

  • एक LLM संचालित एजेंट मस्तिष्क
  • ब्राउज़र स्वचालन (DAST और इंटरैक्टिव दृश्यों के लिए)
  • टर्मिनल टूल चेन (आम सुरक्षा उपकरण स्वचालित रूप से आवश्यकतानुसार स्थापित)
  • प्रवेश परीक्षण पद्धति के 22 चरणों का एक सेट
  • रियल टाइम WebSocket इवेंट स्ट्रीम
  • डिस्कवर प्रबंधन प्रणाली (फैसिलिटी + CVSS + प्रमाणीकरण स्थिति)
  • ब्रांडिंग पीडीएफ रिपोर्ट जनरेशन
  • एजेंटमेल और डिसकॉर्ड एकीकरण

http://127.0.0.1:9137 के लिए ब्राउज़र खोलें आपका "AI Infiltration कमांड सेंटर" है।

22 चरण पद्धति: पुनर्जागरण से शून्य दिनों तक

यह मेरी आंखों में Xalgorix का सबसे उज्ज्वल स्थान है। यह "एक यूआरएल को खोने और एआई को यह पता लगाने" का एक हिंसक पैटर्न नहीं है, लेकिन यह 22-चरण अनुक्रम है:

  • चरण 1-2Reconnaissance / मैनुअल होल Digging
  • चरण 3-4निर्देशिका फ़ाइल पाया / CORS और कुकी विश्लेषण
  • चरण 5-6प्रमाणीकरण सत्र परीक्षण / इंजेक्शन परीक्षण (SQL / XSS / Cmd)
  • चरण 7-8साइटमैप टेस्ट / IDOR एक्सेस एक्सचेंज
  • चरण 9-10API और GraphQL परीक्षण / फ़ाइल अपलोड परीक्षण
  • चरण 11-12उलटा अनुक्रमीकरण और RCE / प्रतिस्पर्धी स्थितियों और व्यापार तर्क
  • चरण 13-14उप डोमेन अधिग्रहण / ओपन डायरेक्ट टेस्ट
  • चरण 15-16मेल सुरक्षा परीक्षण / बादल और बुनियादी ढांचा
  • चरण 17-18WebSocket Test:
  • चरण 19-20अन्य आयोजक
  • चरण 21-22: शून्य दिन खोज / अंतिम रिपोर्ट

आप इसे सभी चला सकते हैं, या आप वेब यूआई में एक विशिष्ट चरण चुन सकते हैं। - उदाहरण के लिए, यह सिर्फ SSR और IDOR को मापने के लिए है, बस दोनों ही लेते हैं, समय बचाते हैं।

तीन स्कैनिंग मोड

चित्र
  • एकल लक्ष्यएक ज्ञात URL या होस्ट का परीक्षण करें
  • वाइल्डकार्ड / बहु: वाइल्डकार्ड एकाधिक लक्ष्य, हमला चेहरा पहचान और बैच स्वीप स्केच
  • DASTब्राउज़र समर्थन परीक्षण, वेब अनुप्रयोग, प्रमाणीकरण धाराओं, रूपों और चल समय व्यवहार में विशेषज्ञता

DAST मॉडल एक उज्ज्वल स्थान है - कई एआई प्रवेश उपकरण ब्राउज़र स्वचालन का समर्थन नहीं करते हैं और आधुनिक वेब अनुप्रयोगों द्वारा अंधा कर रहे हैं जिन्हें लॉगिन और एसपीए बातचीत की आवश्यकता होती है। Xalgorix एक ब्राउज़िंग परत है जो पूरी तरह से लॉगिन प्रक्रिया, फॉर्म सबमिशन, जावास्क्रिप्ट इंटरेक्शन के माध्यम से चलती है।

तीन चरण, 60 सेकंड।

पर्यावरण आवश्यकताओं: लिनक्स + जाओ 1.24.2+।

चरण 1: क्लोनिंग और संकलन

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

निर्मित compiles React Web UI को अंतरराष्ट्रीय/वेब/स्थिर और फिर Goबाइनरी में बनाया गया है।

चरण 2: LLM को कॉन्फ़िगर करें

~/.xalgorix.env बनाएँ:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

यह सिफारिश की जाती है कि मिनीमैक्स-एम2.7 चीनी प्रवेश रिपोर्ट के लिए उच्च मूल्य और अनुकूल है। यह ओपनएआई, कस्टम ओपनएआई संगत इंटरफेस, जेमिनी का भी समर्थन करता है।

OpenAI विन्यास:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

कस्टम OpenAI संगतता (जैसे, Alitsu, खुफिया):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

चरण 3: प्रारंभ वेब मीटर बोर्ड

xalgorix --web

http://127.0.0.1:9137 के लिए खुला ब्राउज़र, सूखा।

ऑर्डर चला सकते हैं।

अन्य आयोजक

xalgorix --target https://example.com

एक कस्टम कमांड के साथ:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

यह प्राकृतिक भाषा निर्देश सीधे एजेंट को खिलाया जाता है, और यह आपके जैसे चलता है।

सेवा मोड: सिस्टम सेवाओं में चल रहा है

चित्र

7x24 रनिंग बैच स्कैनिंग की आवश्यकता है:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

दूरस्थ ब्राउज़र पहुँच चाहते हैं? अन्य आयोजक

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

ध्यान दें।प्रमाणीकरण की अनुपस्थिति में, सर्वर सीधे बाहरी बाध्यकारी को खारिज कर देता है। यह सुरक्षा डिफ़ॉल्ट लेखक के लिए एक अनुपालन है।

एकीकृत पारिस्थितिकी

Xalgorix एक द्वीप नहीं है:

  • एजेंटमेलएक-बंद मेलबॉक्स का परीक्षण, मेल रिसेप्शन का प्रमाणीकरण, ओटीपी प्रक्रिया, मेल ट्रिगर इवेंट
  • डिसकॉर्ड वेबहुक।: उच्च जोखिम पाशहोल वास्तविक समय में भेजा गया, न्यूनतम गंभीर सीमा निर्धारित मूल्य के साथ

Discord विन्यास उदाहरण:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

यह केवल तभी होता है जब आपको कुछ ऐसी चीज़ मिलती है जो उच्च और ऊपर होती है, इसलिए आपको निम्न स्तर की जानकारी के साथ नहीं जोड़ा जाता है।

रिपोर्टिंग फ़ंक्शन: ग्राहकों को सीधे भेजने के लिए पीडीएफ

कई ओपन सोर्स टूल एक मजाक है - या तो शुद्ध JSON, या मार्कडाउन, और सीधे ग्राहकों को वितरित नहीं कर सकता है।

Xalgorix की रिपोर्ट मॉड्यूल वास्तव में काम कर रहा है:

  • ग्रीष्मकालीन।कार्यकारी सारांश, लक्ष्य मेटाडाटा, स्कैन मेटाडाटा, महत्वपूर्ण स्तर अवलोकन
  • विंडोज: प्रमाणित निष्कर्ष, CVSS विवरण, तकनीकी विश्लेषण, उपयोग का प्रमाण
  • प्रमाण: पीओसी कमांड, स्क्रिप्ट, पेलोड, अवलोकन का समर्थन
  • उपचारबहाली मार्गदर्शन, प्राथमिकता
  • ब्रांडिंग।: कंपनी का नाम, लोगो

एक स्कैन चलाएं और अपनी कंपनी लोगो के लिए एक पीडीएफ रिपोर्ट प्राप्त करें, जिसे सीधे वितरित किया जा सकता है। यह सुरक्षा परामर्श फर्मों, एसआरसी टीमों, प्रवेश सेवा प्रदाताओं की तैयारी का कार्य है।

सुरक्षित चल समय डिजाइन

चित्र

Xalgorix ने कुछ समय के बारे में सोची कि "नहीं बकवास":

  • डिफ़ॉल्ट सीमा केवल लूपबैक(127.0.0.1) बाह्य जोखिम के लिए दृश्यमान प्रमाणीकरण की आवश्यकता है
  • पथ नीति: फ़ाइल सिस्टम केवल डेटा dir लिखते हैं, ~/.xalgorix/,/tmp, अन्य सभी खारिज कर दिया
  • संसाधन धारणा सीमाओं के उदाहरणएक मशीन बहुत ज्यादा स्कैन मेमोरी चलाने से बचें
  • प्रत्येक उपकरण के पास एक कठिन समय का घड़ी कुत्ते है।: कलन बलपूर्वक मार डाला जाएगा
  • संयुक्त पहुँच नियंत्रण: ऊपरी सीमा के ऊपर स्कैन मस्तिष्कहीन कार्यों के बिना अस्वीकार कर दिया जाएगा

GET/api/status इंटरफेस भी चल रहे समय सांख्यिकी को उजागर करता है: panics ठीक हो गया, पथ अस्वीकृति, घड़ीडॉग हत्या, प्रवेश इनकार, llm इन्फोलाइट टोपी. मानक एपीआई में अवलोकन लिखने का विचार दिखाता है कि लेखक एक इंजीनियरिंग है, एक पीओसी नहीं है।

V4.4.18 यह विनाशकारी परिवर्तन

प्रचार ध्यान:स्कैन आउटपुट, नोट्स, शेड्यूल, अन्य उत्पन्न डेटा को अब केंद्रीय रूप से ~/.xalgorix/data/ पर संग्रहीत किया जाता है।बाइनरी स्टार्टअप निर्देशिका में नहीं।

पुराने उपयोगकर्ता अपने व्यवहार को रखना चाहते हैं:

export XALGORIX_DATA_DIR=$(pwd)

[MIGRATION] चेतावनी - लेकिन Xalgorix स्वचालित रूप से पढ़ने, प्रतिलिपि, हटानेये पुरानी फाइलें। बस आपको स्थानांतरित करने के लिए याद दिलाने के लिए, डेटा के साथ गड़बड़ नहीं करना, जो आश्वस्त है।

किसके लिए?

रेड टीम / इनफिल्टरेशन टेस्ट इंजीनियर:22 चरण पद्धति + स्वचालन + प्राकृतिक भाषा कमान, जो आपको बार-बार काम से मुक्त कर सकते हैं और मैनुअल खुदाई और गहरे विश्लेषण पर ध्यान केंद्रित कर सकते हैं।

Bug Bounty, हंटर।: बैच स्कैन के माध्यम से
बीकन लक्ष्य, ऑटो-डिटेक्शन चेहरे, डिसकॉर्ड वास्तविक समय में उच्च जोखिम को धक्का देता है। जब आप सोते हैं तो आपको इनाम कमाने में मदद करने के लिए एआई प्राप्त करें।

एसआरसी टीम / ब्लू टीम: उद्यम की संपत्ति पर हमले के चेहरे को स्पष्ट करने के लिए नियमित रूप से स्वयं सेंसरशिप। ब्रांडेड पीडीएफ रिपोर्ट सीधे बॉस को रिपोर्ट करती है।

सुरक्षा परामर्श फर्म: सर्विस स्टार्ट-अप मॉडल, मल्टी-क्लिएंट स्कैन्ड, क्लाइंट ब्रांड रिपोर्ट का उत्पादन।

छात्र शोधकर्ता22 चरण पद्धति स्वयं एक जीवित घुसपैठ पाठ्यपुस्तक है जो खुला, पठनीय और अनुकूलनीय है।

यह परियोजना क्यों एक चिंता का विषय है?

चित्र

2026 में, एआई में कई प्रवेश परीक्षण हैं, लेकिन उनमें से कुछ Xalgorix हासिल कर सकते हैं, एक पूर्ण बंद अंगूठी:

  • सिर्फ एजेंट नहीं, कोई यूआई नहीं।
  • यह सिर्फ यूआई नहीं है। कोई पद्धति नहीं है।
  • एक मॉडल नहीं।
  • आधे उत्पाद नहीं।
  • सुरक्षा डिजाइन के बिना नग्न नहीं।

"AI एजेंट ब्रेन + ब्राउज़र ऑटोमेशन + टूल चेन + 22 फेज मेथोलोजी + वेब यूआई + रिपोर्टिंग सिस्टम" को पूरा करें, जो ओपन सोर्स सर्कल में दुर्लभ है।

सुरक्षित रूप से अलार्म का प्रयोग करें

अंत में, आधिकारिक बयान पर जोर देना महत्वपूर्ण है:

एक बार जब Xalgorix केवल सिस्टम पर आप के मालिक हैं या परीक्षण के लिए विशेष स्थिति है।

Xalgorix केवल उन प्रणालियों पर प्रयोग किया जाता है जिनका आप परीक्षण करने के लिए एक विशिष्ट प्राधिकरण हैं।

एआई का प्रवेश उपकरण भी एक डबल एज्ड तलवार है - यह कुशलतापूर्वक छेद का पता लगा सकता है, लेकिन गलत स्थानों का उपयोग करना एक वास्तविक कानूनी जोखिम है। प्राधिकरण, गुंजाइश और रिपोर्टिंग प्रक्रिया के प्रतिनिधिमंडल को संबोधित करने की आवश्यकता है। यह एक एआई उपकरण के लिए इन दिनों दुर्लभ नहीं है ताकि गेम में प्रवेश किया जा सके।

सारांश

Xalgorix पीओसी का दूसरा एआई घुसपैठ नहीं है, बल्कि "AI सुरक्षा परीक्षण" के इंजीनियरिंग और उत्पादीकरण का एक खुला स्रोत नमूना है।

यदि आप सुरक्षा व्यवसाय करते हैं, तो क्या आप हमला करते हैं या आप लड़ते हैं, तो यह कोशिश की लायक है। यदि आप एक ओपन सोर्स योगदान करते हैं, तो Go + React + LLM इस परियोजना का एजेंट संरचना एक अच्छा शिक्षण नमूना है।

परियोजना का पता फिर से पोस्ट किया गया है:

Gythub.com/xalgord/xalgorix