Melayu

← Kembali ke senarai

Infiltrasi loops berubah semalam! Xalgorix, fase 22, otomatis sepenuhnya.

itadol5j

Kulit Sampul

Apa bagian tersulit dari tes penyusupan? Ini bukan laporan, itu adalah pekerjaan ganda - pengintaian, katapel, tes titik injeksi, verifikasi SSRF, pemeriksaan CORES Sebuah penetrasi Web standar mengambil setidaknya selusin alat, mengetuk ratusan perintah, kemudian menyusun hasil secara manual.

Selama bertahun-tahun, alat keamanan AI telah digulung, tetapi sebagian besar proyek baik dijalankan pada tahap tunggal, dengan hanya beberapa model tetap, atau UI membusuk sampai titik di mana perintah sulit.

Sampai saya melihat Xalgorix -- proyek ini memecahkan seluruh metode permeabilitas menjadi 22 tahap, auto-run penuh, dengan Web dashboard, telemetri real-time, laporan PDF.Sodium Mendukung Mini Max, GPT, Claude, Gemini dan setiap antarmuka kompatibel OpenAIAku tidak tahu. Sumber terbuka, Go menulis, host, membuat membangun lepas landas.

Alamat projek: Github.com/xalgord/xalgorix

Apa itu Xalgorix?

Definisi kalimat:Platform pengujian penetrasi AI yang dihost sendiriAku tidak tahu.

Ini menggabungkan:

  • Otak Agen Terkendara LLM
  • Otomasi Browser (untuk DAT dan adegan interaktif)
  • Rantaian alat terminal tool terminal (alat keamanan umum dipasang secara otomatis sesuai kebutuhan)
  • Sebuah set dari 22 tahap metodologi pengujian penetrasi
  • aliran peristiwa WebSocket waktu nyata
  • Sistem manajemen Discogne (fasility + CVSS + status autentikasi)
  • Generasi laporan PDF Branding
  • Integrasi AgenMail and Disccord

Buka peramban untuk http://127.0.0.1:9137 adalah Pusat Perintah Penyusupan "AI Anda."

Metodologi Tahap 22: dari pengintaian ke nol hari

Ini mata Xalgorix yang paling terang di mataku... Ini bukan pola kekerasan dari "hilang URL dan biarkan AI mengetahuinya," tapi itu urutan 22-tahap:

  • Fase 1-2Penggalan Lubang Manual
  • Fase 3-4Berkas direktori ditemukan / CORS dan analisis kue
  • Phase 5-6Tes sesi otentikasi / tes injeksi (SQL/XSS/Cmd)
  • Phase 7-8:SSRF Pengujian / Akses IDOR Digagalkan
  • Phases 9-10Ujian unggah berkas dan tes API dan GraphQL
  • Phase 11-12Penjurian terbalik dan RCE / kondisi kompetitif dan logika bisnis
  • Phase 13-14: sub-domain takeover / Open Direct test
  • Phasa 15-16Uji keamanan surat / Awan dan infrastruktur
  • Phase 17-18:WebSocket Test / CMS Specified Test
  • Phase 19-20Penyusun:
  • Phase 21-22Penemuan hari-nol / laporan akhir

Anda dapat menjalankan semuanya, atau Anda dapat memilih fase spesifik di Web UI. - Sebagai contoh, itu hanya untuk mengukur SSR dan IDOR, hanya mengambil keduanya, menghemat waktu, Token.

Tiga mode pemindaian

Gambar
  • Target tunggalUji URL atau host tunggal yang diketahui
  • Kartu liar / multi: wildcard multi target, serang deteksi wajah dan sapuan batch Sketch
  • DASAT MASUSPengujian dukungan Browser, spesialisasi dalam aplikasi Web, aliran autentikasi, bentuk dan perilaku waktu berjalan

Model DASAT adalah sebuah spot terang - banyak alat penetrasi AI tidak mendukung otomatisasi peramban dan dibutakan oleh aplikasi Web modern yang membutuhkan interaksi login dan SPA. Xalgorix Xalgorix memiliki lapisan browsing yang sepenuhnya berjalan melalui proses log masuk, bentuk penyerahan, interaksi JavaScript.

Tiga langkah, 60 detik.

Persyaratan lingkungan hidup hewan: Linux + Go 1.24.2+.

Langkah ke - 1: Klon dan kompilasi

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Buat pembuatan kompilasi React Web UI ke internasional/web/static dan kemudian go biner.

Langkah 2: Konfigur LLM

Ciptakan ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Disarankan agar MiniMax-M2.7 bernilai tinggi dan ramah terhadap laporan penetrasi Tiongkok. Ini juga mendukung OpenAI, antarmuka kompatibel OpenAI kustom, Gemini.

Konfigurasi OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Keserasian Custom OpenAI (misalnya, Alitsu, Intelijen):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Langkah 3: Mulai Papan meteran Web

xalgorix --web

Pelayar terbuka untuk http://127.0.0.1:9137, kering.

Perintah bisa dijalankan.

Penyusun:

xalgorix --target https://example.com

Fiji dengan perintah tersendiri:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Instruksi bahasa alami ini diberikan langsung kepada Agen, dan berjalan seperti yang Anda katakan.

Mode Layanan: Berjalan ke layanan sistem

Gambar

Pencarian 7x24 menjalankan pemindaian batch yang diperlukan:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Mau akses remote browser? Penyusun:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Perhatian.Dengan tidak adanya autentikasi, server secara langsung menolak pengikatan eksternal. Standar keamanan ini adalah pujian untuk penulis.

Ekologi terintegrasi

Xalgorix bukan sebuah pulau:

  • AgenMailGagal menguji satu-off kotak surat, pengesahan penerimaan surat, proses OTP, peristiwa pemicu surat
  • Disconcord Webhook.¡lubang-lubang-lirik berisiko tinggi dikirim secara real time, dengan nilai nilai ambang serius minimum

Contoh Konfigurasi Diskonframe:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Ini hanya ketika Anda menemukan sesuatu yang tinggi dan di atas, sehingga Anda tidak mendapatkan terendam dengan informasi tingkat rendah.

Fungsi pelaporan: PDF untuk mengirim klien secara langsung

Banyak alat open-source adalah lelucon -- baik JSON murni, atau Markdown, dan tidak dapat memberikan klien secara langsung.

Modul laporan Xalgorix benar-benar bekerja:

  • Musim panas.: ringkasan eksekutif, data meta target, data meta dipindai, level kritis selayang pandang
  • Jendela: temuan sertifikasi, rincian CVSS, analisis teknis, bukti pemanfaatan
  • Bukti Bukti BuktiPerintah PoC, skrip, muatan, mendukung pengamatan
  • ♪ RemedialBimbingan pemulihan, prioritas
  • Branding.Nama perusahaan, Logo.

Luncurkan pemindaian dan keluarkan laporan PDF untuk Logo perusahaan Anda, yang dapat dikirimkan secara langsung. Ini adalah fungsi dari mempersiapkan perusahaan konsultasi keamanan, tim SRC, penyedia layanan penetrasi.

Rancangan waktu berjalan yang aman

Gambar

Xalgorix menghabiskan beberapa waktu berpikir tentang "Jangan sampai kacau":

  • Default band hanya loopbackOtentikasi tampak diperlukan untuk eksposur eksternal
  • Kebijakan Jalur Polisi: sistem berkas hanya menulis dir data, ~/.xalgorix/, /tmp, yang lainnya ditolak
  • Contoh - contoh keterbatasan persepsi sumber dayaHindari mesin yang berjalan terlalu banyak memindai memori
  • Setiap alat memiliki anjing penjaga waktu yang sulit.Kalkulus akan dibunuh dengan paksa
  • Pengendalian akses gabunganMemindai di atas batas atas akan ditolak tanpa tugas tanpa otak

GET /api/status antarmuka juga mengekspos statistik waktu berjalan: panik pulih, penolakan jalur, watchdog membunuh, penolakan penerimaan, infolight cap. Ide penulisan observabilitas dalam API standar menunjukkan bahwa penulis adalah seorang teknik, bukan PoC.

Ini perubahan yang merusak

Perhatian promosional:Keluaran, catatan, jadwal, data lain yang dihasilkan kini disimpan secara terpusat di ~/.xalgorix/data/, bukan dalam direktori permulaan biner.

Pengguna lama ingin menjaga perilaku mereka:

export XALGORIX_DATA_DIR=$(pwd)

Peringatan -- tapi Xalgorix Jangan baca secara otomatis, salin, hapusFile lama ini. Hanya untuk mengingatkanmu untuk pindah, bukan mengacaukan data, yang meyakinkan.

Untuk siapa?

Tim Merah / Insinyur Uji Penyusupan:22 Fase Metodologi + Automasi + Komando Bahasa Alam, yang dapat membebaskan Anda dari pekerjaan berulang dan berkonsentrasi pada penggalian manual dan analisis mendalam.

Bug Bounty, Hunter.Batch scan melalui
Target Beacon, wajah auto-deteksi, Discord mendorong risiko tinggi dalam waktu nyata. AI untuk membantumu mendapatkan hadiah saat kau tidur.

Tim SRC dari Tim BiruKepentingan diri yang teratur untuk menjelaskan wajah serangan terhadap aset perusahaan. Laporan PDF merek dagang melaporkan langsung ke bos.

Firma konsultasi KeamananModel start-up layanan, multi-client dipindai, keluaran laporan merek klien.

Mahasiswa/ PenelitiMetodologi fase 22 adalah sendiri buku teks infiltrasi hidup yang terbuka, mudah dibaca dan mudah beradaptasi.

Mengapa proyek ini menjadi perhatian?

Gambar

Pada tahun 2026, AI memiliki sejumlah tes penetrasi, tetapi beberapa dari mereka dapat mencapai Xalgorix, sebuah cincin tertutup lengkap:

  • Tidak hanya Agen, tidak ada UI.
  • Ini bukan hanya UI. Tak ada metodologi.
  • Bukan model tunggal.
  • Bukan setengah produk.
  • Tidak telanjang tanpa desain keamanan.

Aquile the ČAI Agent Brain + Browser Automasi + Rantai Alat + 22 Fase Metodologi + Web UI + Sistem Pelaporan", yang langka dalam lingkaran sumber terbuka.

Gunakan alarm dengan aman

Akhirnya, penting untuk menekankan pernyataan resmi:

Setelah Xalgorix hanya pada sistem Anda sendiri atau memiliki status eksklusif untuk menguji.

Xalgorix hanya digunakan pada sistem yang Anda miliki atau memiliki otorisasi khusus untuk menguji.

Alat penetrasi AI juga merupakan pedang bermata dua -- dapat mendeteksi lubang secara efisien, tetapi menggunakan tempat yang salah adalah risiko hukum yang nyata. Penghapusan wewenang, ruang lingkup dan proses pelaporan perlu ditujukan. Ini tidak jarang hari ini untuk alat AI untuk masuk ke dalam permainan, bukan untuk diri sendiri.

Ringkasan

Xalgorix tidak lain AI infiltrasi PoC, tetapi sampel sumber terbuka dari rekayasa dan produkisasi Tes Keselamatan "AI".

Jika Anda melakukan bisnis keamanan, apakah Anda menyerang atau melawan, itu patut dicoba. Jika Anda membuat kontribusi sumber terbuka, Go + React + LLM Agen agen struktur proyek ini adalah sampel pembelajaran yang baik.

Alamat proyek diposting lagi:

gythub.com/xalgord/xalgorix