Norsk

← Tilbake til listen

Infiltrasjonsløyfer endres over natten! Xalgorix, fase 22, helt automatisk.

itadol5j

Deksel

Hva er den vanskeligste delen av infiltrasjonstesten? Det er ikke en rapport, det er en dobbel jobb - rekognosering, katapulter, injeksjonspunkt tester, SSRF verifisering, CORES inspeksjon En standard Web penetrasjon tar minst et dusin verktøy, slår hundrevis av kommandoer, deretter setter sammen resultatene manuelt.

I løpet av årene har AI-sikkerhetsverktøy blitt rullet opp, men de fleste prosjekter kjører enten på enkelttrinn, med bare noen få faste modeller, eller UI roter til det punktet der kommandoen er vanskelig.

Inntil jeg så Xalgorix - dette prosjektet brøt ned hele permeabilitetsmetoden i 22 etapper, full auto-kjøring, med web dashboards, sanntids telemetri, PDF rapporter.Støtter Mini Max, GPT, Claude, Gemini og alle OpenAI-kompatible grensesnittJeg vet ikke. Åpne kilden, Gå skrive, vert, lage bygg start.

Prosjektadresse: Github.com/xalgord/xalgorix

Hva i helvete er Xalgorix?

Definisjon av en setning:Selvstyrt AI-gjennomtrengning testing plattformJeg vet ikke.

Den kombinerer:

  • En LLM-drevet agent hjerne
  • Nettleser automatisering (for DAST og interaktive scener)
  • Terminalverktøykjede (vanlige sikkerhetsverktøy automatisk installert etter behov)
  • Et sett med 22 stadier av penetrasjonstestmetodikk
  • Sanntid WebSocket event stream
  • Oppdag styringssystemet (funksjon + CVSS + autentiseringsstatus)
  • Branding PDF-rapportgenerasjon
  • AgentMail og Discord integrasjon

Åpne nettleseren for http://127.0.0.1:9137 er ditt "AI Infiltration Command Centre."

22 Fasemetodikk: fra rekognosering til null dager

Dette er Xalgorixs mest lyssterke sted i øynene... Det er ikke et voldelig mønster på " miste en URL og la AI finne det ut, men det er en 22-trinns sekvens:

  • Fase 1-2: Reconnaissance / Manuell Hole Digging
  • Fase 3-4: Directory fil funnet / CORS og Cookie analyse
  • Fase 5-6Authentication sesjon test / injeksjon test (SQL/XSS/Cmd)
  • Fase 7-8:SSRF Test/IDOR-tilgang overskredet
  • Faser 9-10: API og GraphQL test/ fil opplastingstest
  • Faser 11-12Invers sekvensisering og RCE / konkurransevilkår og forretningslogikk
  • Fase 13-14: underdomeneovertakelse / Åpne direkte test
  • Fase 15-16E-postsikkerhetstester / Skyer og infrastruktur
  • Fase 17-18: WebSocket Test / CMS spesifikk test
  • Fase 19-20Andre arrangører
  • Fase 21-22: Nul-dagers oppdagelse / sluttrapport

Du kan kjøre alt, eller du kan velge ut en bestemt fase i Web UI. - For eksempel er det bare å måle SSR og IDOR, bare ta begge, spare tid, Token.

Tre skannermoduser

Figur
  • EnkeltmålTest en enkelt kjent URL eller vert
  • Wildcard / multi: jokertegn flere mål, angrep ansikt deteksjon og batch feie Sketch
  • DASTNettleserstøttetesting, spesialisert på webapplikasjoner, autentiseringsstrømmer, skjemaer og driftstidsadferd

DAST-modellen er et lyst sted - mange AI-gjennomtrengingsverktøy støtter ikke nettleserautomatisering og blir blindet av moderne webapplikasjoner som krever innlogging og SPA-interaksjon. Xalgorix har et nettleserlag som kjører gjennom innloggingsprosessen, skjemainnsendelse, JavaScript-interaksjon.

Tre trinn, 60 sekunder.

Miljøkrav: Linux + Go 1.24,2+.

Trinn 1: Kloning og samling

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Gjør bygget kompilerer React Web UI til internasjonal/web/statisk og deretter Go binær.

Trinn 2: Konfigurer LLM

Opprett ~/.xalgorix.sv:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Det anbefales at MiniMax-M2.7 er av høy verdi og vennlig til kinesiske penetrasjonsrapporter. Den støtter også OpenAI, tilpasset OpenAI kompatibelt grensesnitt, Gemini.

OpenAI-konfigurasjon:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Egendefinert OpenAI-kompatibilitet (f.eks. Alitsu, Intelligence):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Trinn 3: Start webmåler Board

xalgorix --web

Åpne nettleser for http://127.0.0.1:9137, tørr.

Bestillinger kan løpe.

Andre arrangører

xalgorix --target https://example.com

med egendefinert kommando:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Denne naturlige språkinstruksjonen mates direkte til agenten, og det kjører som du sa.

Servicemodus: Kjører inn i systemtjenester

Figur

7x24 løpende batchskanning kreves:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vil du ha tilgang til ekstern nettleser? Andre arrangører

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Hør etter.I mangel av autentisering avviser serveren direkte ekstern binding. Denne sikkerhetsstandarden er et kompliment til forfatteren.

Integrert økologi

Xalgorix er ikke en øy:

  • AgentMailTester e-postbokser, autentisering av e-postmottak, OTP-prosess, e-postutløser hendelse
  • Discord Webhook.: høy-risiko loophole sendt i sanntid, med minimal alvorlig terskel sett Verdi

Eksempel på diskordkonfigurasjon:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Det er bare når du finner noe som er høyt og over, så du ikke blir oversvømmet med lavnivåinformasjon.

Rapporteringsfunksjon: PDF å sende klienter direkte

Mange åpen kildekode verktøy er en vits - enten ren JSON eller Markdown, og kan ikke levere kunder direkte.

Xalgorix rapportmodul fungerer virkelig:

  • Sommeren.: administrerende sammendrag, målmetadata, skannet metadata, kritisk nivåoversikt
  • Vinduer: sertifiserte funn, CVSS detaljer, teknisk analyse, bevis på bruk
  • Bevis: PoC kommando, skript, nyttelast, støtte observasjon
  • RemedialRestaureringsveiledning, prioritering
  • Branding.: selskapets navn, logo.

Kjør en skanne og få ut en PDF-rapport for firmaets logo, som kan leveres direkte. Dette er funksjonen til å forberede sikkerhetsrådgivere, SRC-team, penetrasjonstjenesteleverandører.

Trygg kjøretid design

Figur

Xalgorix brukte litt tid på å tenke på " Ikke bli knullet":

  • Standard bundet kun løkkeback(127.0.0.1) Synlig autentisering kreves for ekstern eksponering
  • Banepolitikk: filsystemer skriver bare datakatalog, ~/.xalgorix/, /tmp, alle andre avviste
  • Eksempler på ressursoppfattelsesbegrensningUnngå en maskin som kjører for mye skannet minne
  • Hvert verktøy har vanskelig å se hund.Kalkulen vil bli drept kraftig
  • Kombinert tilgangskontrollSkanna over øvre grense vil bli avvist uten hjerneløse oppgaver

GET / api / status grensesnittet avslører også løpende tidsstatistikk: panikkene gjenopprettes, baneavvisninger, vakthund dreper, opptaksavslag, llm infolight cap. Ideen om å skrive observerbarhet i standard API viser at forfatteren er en ingeniør, ikke en PoC.

V4.4.18 Denne ødeleggende endringen

Fremme oppmerksomhet:Scan utdata, notater, tidsplan, andre genererte data lagres nå sentralt på ~/.xalgorix/data/, ikke i binær oppstartsmappe.

Gamle brukere ønsker å holde sin oppførsel:

export XALGORIX_DATA_DIR=$(pwd)

[MIGRATION] Advarsel -- men Xalgorix Ikke automatisk lese, kopiere, sletteDisse gamle filene. Bare for å minne deg om å flytte, ikke å rote med dataene, som er beroligende.

For hvem?

Red team / Infiltration Test Engineer:22 Fase Methodologi + Automation + Natural Language Command, som kan frigjøre deg fra gjentatt arbeid og konsentrere seg om manuell graving og dyp analyse.

Bug Bounty, Hunter.: Batch scan gjennom
Beacon mål, auto-deteksjon ansikt, diskord presse høy risiko i sanntid. Få en AI for å hjelpe deg å tjene en belønning mens du sover.

SRC Team / Blue TeamRegelmessig selvsensur for å avklare angrepet på virksomhetens eiendeler. Branded PDF rapporterer direkte til sjefen.

Sikkerhetskonsulentfirma: Service oppstartsmodell, multi-klient skannet, utgang av klient merkevare rapporter.

Studenter/ Forskere22 Fase metode er i seg selv en levende infiltrasjonslærebok som er åpen, lesbar og tilpasningsbar.

Hvorfor er dette prosjektet en bekymring?

Figur

I 2026 har AI en rekke penetrationstester, men få av dem kan oppnå Xalgorix, en fullstendig lukket ring:

  • Ikke bare agent, ingen UI.
  • Det er ikke bare UI. Ingen metodikk.
  • Ikke én enkelt modell.
  • Ikke et halvt produkt.
  • Ikke naken uten sikkerhetsdesign.

Fullfør "AI Agent Brain + Browser Automation + Verktøykjede + 22 Fase Methodology + Web UI + Rapportering System", som er lite i åpen kildekode sirkler.

Bruk alarm trygt

Endelig er det viktig å understreke den offisielle uttalelsen:

Når Xalgorix bare er på systemer du eier eller har eksklusiv status til å teste.

Xalgorix brukes bare på systemer du eier eller har en bestemt autorisasjon til å teste.

AIs penetrasjonsverktøy er også et dobbeltegget sverd - det kan effektivt oppdage hull, men å bruke feil steder er en reell juridisk risiko. Delegasjonen av myndighets-, omfangs- og rapporteringsprosessen må behandles. Det er ikke sjeldent i disse dager for en AI-verktøy å komme inn i spillet, ikke for deg selv.

Sammendrag

Xalgorix er ikke en annen AI-infiltrasjon av PoC, men en åpen kildeprøve av ingeniør- og produktisering av "AI-sikkerhetstesten".

Hvis du gjør sikkerhetsbransjen, enten du angriper eller kjemper, er det verdt et forsøk. Hvis du gir et åpen kildekodebidrag, Go + React + LLM Agent struktur av dette prosjektet er en god læring prøve.

Prosjektadressen er lagt ut igjen:

Gythub.com/xalgord/xalgorix