Melayu

← Kembali ke senarai

Catatan Deployment CyberStreateAI Catatan: Pengajuan alat sederhana juga perlu rincian

itadol5j

Baru-baru ini di CyberStriteAI, sebuah platform AI Pribumi Safety Test berdasarkan Go. Saya pikir, "Langkah satu," dan saya pikir, "Clone turun untuk menjalankan skrip dan itu berakhir, dan ia menginjak beberapa lubang kecil. Meskipun kenangan itu segar, tuliskan seluruh prosesnya — banyak lubang tidak benar - benar berguna, tetapi perinciannya tidak diperhatikan.

Serangan Cyber StrikeAI

Alat apa ini?

Lokasinya adalah Sistem Aksi "Ai untuk Keamanan Jaringan Penduduk Asli" dikembangkan dalam Go, di mana perencanaan, pelaksanaan, pengawasan manual, retensi bukti, dan replaying ditempatkan dalam workstation yang dapat diaudit. Komponen kore core termasuk Eino driven Agent, MCP Primary Tool, RAG Knowledge Base, memvisualisasikan alur kerja dan model rantai serangan.

Ini berisi 100+ formulasi alat yang meliputi rantai mematikan lengkap: nmap, masscan, rurscan, pemindaian jaringan seperti; sqlmap, nikto, gobuster, ffuf, pemindaian Web seperti itu; nuklei, wpscan, dalfox, pemindaian kebocoran seperti itu; dan enumerasi sub-domain, keamanan API, keamanan kontainer, keamanan cloud, analisis biner, pemanfaatan, dekripsi sandi, forensik, post-infiltrasi, dll. Ini semua diatur untuk Anda.

Ada juga plugin Burp Suite dan ekstensi browser yang dapat melemparkan lalu lintas yang ditangkap langsung ke dalam platform untuk analisis dukungan AI. Anda tidak perlu mengubah alur kerja Anda saat ini.

Kesiapan lingkungan untuk persiapan persiapan Berencana

Secara resmi, dua awalan diperlukan, mengingat bahwa versi tidak menginjak:

  • Pergi ke Roma 1 1.5+Versi modul yang diperlukan secara eksplisit dalam Go.mod, kurang dari versi yang dikompilasi akan langsung meleset)
  • Python 3.10+fuzzer, http-framework-test)

Pape Pertama: Versi PergiAku tidak tahu. Untuk pertama kalinya, saya menggunakan versi lama sistem dengan saya, dan saya berlari ke tahap penerjemahan untuk membuat kesalahan. Saran saran pertama go version Pastikan itu tidak cukup. Kemungkinan besar, ” prekondisi ” ini kemungkinan besar diabaikan, karena kesalahan dibuat belakangan.

Apa yang skrip lakukan padamu?

Perintah pengiriman resmi sederhana:

gyberStrikeAI.git
StrikeAI
& /run.sh

Tapi run.sh sebenarnya melakukan lebih dari yang Anda pikirkan, dan melakukannya dalam urutan:

  • Periksa dan periksa lingkungan Go dan Python
  • Austria membuat lingkungan maya Python
  • Pasang Ketergantungan Python
  • Muaturun Kebergantungan Go Copend
  • Bina Projek
  • Layanan Start.

Detail 1: vev adalah skrip otomatis.Aku tidak tahu. Direktori vev/ secara otomatis dibuat dan dipelihara oleh run.sh, dan alat-alat yang membutuhkan Python (api-fuzzer, http-framework-test, dll.) akan secara otomatis menggunakan lingkungan ini. Jangan membuatnya sendiri. Ini konflik-prone.

Mula pengesahan: beberapa titik untuk konfirmasi

Setelah skrip selesai, jangan terburu-buru ke peramban, lihat terminal:

  • Konfirmasi paparan terminalIkuti alamat UI Web yang sebenarnya
  • Buka alamat itu.Mode Default HTTPS menggunakan sertifikat swatandatangan lokal, peringatan peramban, terima sekali
  • Instalasi baru akan memiliki password administrator satu kali.Terminal di bawah ADMIN SETUP REQUIRED, dimodifikasi segera setelah login

Detail: HTTPS atau HTTP?Aku tidak tahu. Other Run.sh Default Belt – https Parameter Mulai (lokal self-signed TLS, secara resmi lebih ramah terhadap komplikasi). Jika Anda ingin HTTP murni, itu untuk penggunaan yang jelas. ./run.sh --httpAku tidak tahu. Secara manual, tambahkan https atau set variabel lingkungan CYBERSTRIKE HTTPS=1.

Lingkungan produksi production tidak ditutupi oleh buku visa, yang melekat pada sebuah konfigurasi. file.tls cert Path dan server.tls Path kunci.

Kesalahan sebuah perjanjianAku tidak tahu. Jika Anda melihat "cent mengirim permintaan HTTP ke server HTTPS" dalam log, klien masih menggunakan http://akses ke port TLS. WOVE Ubah URL dan jangan pergi ke konfigurasi server.

Platform Uji Keselamatan Utama AIashi

Konfigurasi awalan astrophy: saluran AI diperlukan

Itu bukan langkah yang baik. Platform kosong. Kunjungan pasca-komentar https://127.0.0.1:8080/(laporan didasarkan pada server.port di config.yaml) --, tambahkan saluran untuk mengisi langit-langit penyedia, URL Dasar, Kunci API, Model dan token.

Ia juga dapat diubah secara langsung ke konfigurasi. Yaml, mungkin dalam format berikut:

Siapa:
Ini pertama kalinya aku mendengar ini.
Saluran:
Openai-main:
Maafkan aku, maafkan aku.
\"${OPENAI API KUNCI}\"
url dasar: \"https://api.openai.com/v1”
Model: "gpt-4o"

Detail III: Skop peran saluran defaultAku tidak tahu. saluran a.default untuk sesi baru dan tugas yang tidak secara jelas memilih saluran; halaman chat juga dapat memilih saluran yang disimpan secara terpisah dari sesi. Jadi ketika Anda memiliki beberapa model, Anda tidak perlu memiliki satu.

Pembekal devider fill openai kompatibel memungkinkan akses ke sebagian besar antarmuka OpenAI, url basis ke https://api.deepseek.com/v1, model ke deepseek-chat, qwen3-max sama. Senang punya model nasional.

Peringatan keamanan.Tidak dapat menutup folder sementara: %s Secara resmi, jelas bahwa tidak ada bagian dari bukti yang harus diisi dengan variabel lingkungan.

Ada cara untuk mengupgrade.

Secara resmi, sebuah skrip upgrade tersedia, tetapi untuk pertama kalinya penegakan diberikan:

--yes

Apa yang dilakukannya: konfigurasi cadangan. → Update config. Angka versi → start ulang servis.'%s' lokal tols/, roll/, keterampilan/ direktori akan selalu disimpan- Itu kuncinya. Formula alat definisi diri Anda tidak akan tertutup.

Pape Tiga: Reliance pada skrip peningkatanAku tidak tahu. Ia memerlukan curling atau wget untuk mengunduh paket Release, rsync untuk sinkronisasi kode aman (secara resmi disarankan/diperlukan). Jika API GitHub dibatasi, pertama export GITHUB_TOKEN="..." Lari lagi.

Masalah .upgrade-backup/ atau data manual dan config.yaml untuk dijalankan secara bolak-balik.sh.

Prinsip - prinsip pentingSelalu baca versi target sebelum upgrade, terutama ketika menyangkut konfigurasi, basis data, perubahan API. Pernyataan resminya adalah benar — \"back-up diperlukan, bahkan jika itu hanya peningkatan patch; nomor versi itu sendiri bukan jaminan keserasian\".

Snap Struktur Direktori

Untuk apa direktorinya?

  • Cokelat/ - Layanan, MCP stdio portal, alat
  • Internal/ - Agensi, inti MCP, prosesor, C2, petugas keamanan.
  • Web/ Statik SPA dan template
  • Maafkan aku, Toos/ Imbangan alat YamL (contohnya 100+)
  • Maafkan aku, Rolls. Konfigurasi Peranan (12+ Peranan Tes Keamanan Preset)
  • Maafkan aku. Direktori Keterampilan Agen (SKILL.md+opsional)
  • Asgents/ Agent Markdown (orchestral.md + sub-Agent)
  • Maafkan aku, konfig. Kekhalifahan
  • Aku tidak tahu, lari. Woar — Mula / Penataran Skrip

Hal keamanan, alat tidak dapat menggantikan Anda.

Platform ini menyatukan kemampuan berisiko tinggi seperti manajemen WebShell, built-in C2 (perangkat pendengar, mercusuar enkripsi, sesi, antrian tugas). Sikap resminya sangat jelas:Ini hanya dapat digunakan dalam sistem Anda sendiri atau secara eksplisit berwenang untuk menguji.Aku tidak tahu.

Model-model keselamatan dan panduan penguatan harus dibaca sebelum alat-alat berisiko tinggi digunakan dalam lingkungan bersama atau produktif. Ia juga menggabungkan alat-alat untuk memanggil intersepsi - pemeriksaan biasa, dikonfigurasi sebelum implementasi MCP, dan peluncuran default perlindungan nama domain pemerintah.

127.0.0.1 Jika layanan eksposur eksternal terdeteksi, mereka harus diperkuat. Ini bukan sandiwara. Ini adalah pengingat bahwa seseorang yang menginjak lubang darah sedang menulis dalam sebuah dokumen.

Konfigurasi platform uji filtrasi

Pada akhirnya.

Saat melihat ke belakang, tidak ada yang salah dengan penyebaran ini, dan skrip telah melakukan 90% dari pekerjaan. Rincian yang benar-benar membuat saya berhenti melihat dokumen - tidak diperhatikan - rincian: Jalur versi go, vev tidak dapat dibangun secara manual, akses default HTTPS mengarah ke ketidakcocokan perjanjian, upgrade di backup, kunci tidak ditulis ke dalam konfigurasi.

Tidak sulit untuk melihat rincian ini sendirian, tapi yang hilang bisa terjebak untuk Anda selama setengah jam. Semakin matang alat itu, semakin tinggi manfaat dari "membaca dokumen" - itu merangkum kompleksitas ke dalam skrip, dan kompleksitas yang tersisa adalah dalam rincian konfigurasi.

Proyek ini telah bergabung dengan sumber terbuka dari Knowec 404Starink, protokol Apache 2.0. Teman-teman yang melakukan tes keamanan yang berwenang dapat mencoba.

Sebuah penyebaran tunggal-key tidak sama dengan pemahaman tunggal kunci bahwa rincian adalah kunci nyata untuk menghemat waktu.

Alamat projek: Github.com/Ed1s0nZ/CyberSpatheAI (dipindahkan ke github.com/AIPentest/CyberStrikeAI)
Persyaratan Lingkungan: Pergi 1.25+ / Python 3.10+
Lisensi Lisensi: Lisensi Apache 2.0
⚠️ Hanya berwenang untuk pengujian