ไทย

← กลับไปที่รายการ

วงการเจาะระบบเปลี่ยนโฉมข้ามคืน! Xalgorix แพลตฟอร์มโจมตี AI อัตโนมัติ 22 ขั้นตอน ปล่อยโอเพนซอร์ส ต่อโมเดลของจีนได้ตรง

itadol5j

ปก

อาชีพเจาะทดสอบความปลอดภัยเหนื่อยที่สุดตรงไหน? ไม่ใช่การเขียนรายงาน แต่คืองานซ้ำ ๆ——การลาดตระเวน การเดาไดเรกทอรี การทดสอบจุด injection การตรวจสอบ SSRF การเช็ก CORS…… การเจาะเว็บแบบมาตรฐานหนึ่งครั้งอย่างน้อยต้องรันเครื่องมือสิบกว่าตัว พิมพ์คำสั่งหลายร้อยคำ แล้วยังต้องเก็บผลลัพธ์มาต่อกันด้วยมืออีก

หลายปีที่ผ่านมาเครื่องมือความปลอดภัย AI แข่งกันหนักหน่วง แต่โปรเจกต์ส่วนใหญ่ ไม่ก็รันได้แค่ขั้นตอนเดียว ไม่ก็ต่อได้แค่โมเดลตัวตายตัวแทนไม่กี่ตัว หรือไม่ก็ UI แย่จนต้องต่อสู้ผ่านบรรทัดคำสั่งอย่างเดียว

จนกระทั่งผมได้เห็น Xalgorix——โปรเจกต์นี้แยกวิธีการเจาะทดสอบทั้งชุดออกเป็น 22 ขั้นตอน รันอัตโนมัติเต็มระบบ มีแดชบอร์ดเว็บ เทเลเมทรีเรียลไทม์ รายงาน PDF รองรับ MiniMax, GPT, Claude, Gemini และอินเทอร์เฟซที่เข้ากันได้กับ OpenAI ทุกตัว โอเพนซอร์ส เขียนด้วย Go ทำ self-host ได้ รัน make build ปุ๊บก็พร้อมบิน

ที่อยู่โปรเจกต์: github.com/xalgord/xalgorix

แล้ว Xalgorix มันคืออะไรกันแน่

นิยามในประโยคเดียว:แพลตฟอร์มเจาะทดสอบความปลอดภัยแบบ AI ที่ self-host ได้.

มันผสานสิ่งเหล่านี้เข้าด้วยกัน:

  • สมอง Agent ที่ขับเคลื่อนด้วย LLM หนึ่งตัว
  • การทำงานอัตโนมัติของเบราว์เซอร์ (ใช้กับ DAST และสถานการณ์ที่ต้องมีการ interact)
  • ชุดเครื่องมือเทอร์มินัล (ติดตั้งเครื่องมือความปลอดภัยทั่วไปให้อัตโนมัติตามต้องการ)
  • ชุดวิธีการเจาะทดสอบครบ 22 ขั้นตอนหนึ่งชุด
  • สตรีมเหตุการณ์เรียลไทม์ผ่าน WebSocket
  • ระบบจัดการข้อค้นพบ (ช่องโหว่ + CVSS + สถานะการตรวจยืนยัน)
  • การสร้างรายงาน PDF ติดแบรนด์
  • การเชื่อมรวม AgentMail และ Discord

เปิดเบราว์เซอร์เข้า http://127.0.0.1:9137 ก็คือ "ศูนย์บัญชาการเจาะระบบ AI" ของคุณแล้ว

วิธีการ 22 ขั้นตอน: จากการลาดตระเวนถึง zero day

จุดที่ทำให้ผมตาสว่างที่สุดของ Xalgorix——มันไม่ใช่โหมดหยาบ ๆ แบบ "โยน URL ให้ AI แล้วปล่อยให้มันหาทางเอง" แต่แยกการเจาะทดสอบออกเป็น 22 ขั้นตอนที่เรียงลำดับอย่างเป็นระบบ:

  • ขั้นตอน 1-2: การลาดตระเวน / การค้นช่องโหว่ด้วยมือ
  • ขั้นตอน 3-4: การค้นพบไฟล์และไดเรกทอรี / การวิเคราะห์ CORS และ Cookie
  • ขั้นตอน 5-6: การทดสอบเซสชันการยืนยันตัวตน / การทดสอบ injection (SQL/XSS/Cmd)
  • ขั้นตอน 7-8: การทดสอบ SSRF / การเข้าถึงเกินอำนาจแบบ IDOR
  • ขั้นตอน 9-10: การทดสอบ API และ GraphQL / การทดสอบการอัปโหลดไฟล์
  • ขั้นตอน 11-12: การ deserialization และ RCE / สภาวะแข่งขันและตรรกะธุรกิจ
  • ขั้นตอน 13-14: การยึดครองโดเมนย่อย / การทดสอบ Open Redirect
  • ขั้นตอน 15-16: การทดสอบความปลอดภัยอีเมล / คลาวด์และโครงสร้างพื้นฐาน
  • ขั้นตอน 17-18: การทดสอบ WebSocket / การทดสอบเจาะลึก CMS
  • ขั้นตอน 19-20: การยึดลิงก์ที่ตายแล้ว / การตรวจยืนยันช่องโหว่
  • ขั้นตอน 21-22: การค้นพบ zero day / รายงานฉบับสุดท้าย

คุณจะรันทั้งหมดก็ได้ หรือใน Web UI ติ๊กเลือกให้รันเฉพาะขั้นตอนที่ต้องการก็ได้——เช่น อยากทดสอบแค่ SSRF กับ IDOR ติ๊กสองอันนี้ก็จบ ประหยัดทั้งเวลาและ Token

สามโหมดการสแกน

ภาพประกอบ
  • Single target: ทดสอบ URL หรือโฮสต์ที่รู้จักตัวเดียว
  • Wildcard / multi: หลายเป้าหมายด้วย wildcard ใช้กับการค้นพบพื้นที่โจมตีและการสแกนเป็นชุด
  • DAST: การทดสอบโดยเบราว์เซอร์ช่วย เน้นแอปเว็บ สตรีมการยืนยันตัวตน ฟอร์ม และพฤติกรรมขณะรัน

โหมด DAST คือไฮไลต์——เครื่องมือเจาะทดสอบ AI จำนวนมากไม่รองรับการทำงานอัตโนมัติของเบราว์เซอร์ เจอเว็บยุคใหม่ที่ต้องล็อกอิน ต้องมีการ interact แบบ SPA ก็มืดมนไปเลย Xalgorix ฝังชั้นเบราว์เซอร์มาในตัว รันผ่านทั้งกระบวนการล็อกอิน การส่งฟอร์ม และการ interact กับ JavaScript ได้ครบถ้วน

สามขั้นตอนพร้อมบิน 60 วินาทีจบ

ความต้องการสภาพแวดล้อม: Linux + Go 1.24.2 ขึ้นไป

ขั้นที่ 1: โคลนและคอมไพล์

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build จะคอมไพล์ React Web UI ลง internal/web/static ก่อน จากนั้นคอมไพล์ไบนารี Go

ขั้นที่ 2: ตั้งค่า LLM

สร้างไฟล์ ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

สำหรับผู้ใช้ในจีนแนะนำ MiniMax-M2.7 คุ้มราคาและเป็นมิตรกับรายงานการเจาะทดสอบภาษาจีน ยังรองรับ OpenAI อินเทอร์เฟซที่เข้ากันได้กับ OpenAI แบบกำหนดเอง และ Gemini ด้วย

คอนฟิก OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

แบบที่เข้ากันได้กับ OpenAI แบบกำหนดเอง (เช่น อาลีถงอี้, Zhipu ฯลฯ):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

ขั้นที่ 3: เปิดแดชบอร์ดเว็บ

xalgorix --web

เปิดเบราว์เซอร์เข้า http://127.0.0.1:9137 แล้วลุยได้เลย

บรรทัดคำสั่งก็รันได้

ผู้ใช้สายฮาร์ดคอร์ที่ไม่อยากใช้ Web UI:

xalgorix --target https://example.com

แบบแนบคำสั่งเฉพาะของคุณ:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

คำสั่งภาษาธรรมชาติแบบนี้จะถูกส่งตรงเข้า Agent มันจะรันตามกลยุทธ์ที่คุณบอก

Service Mode: รันเป็นบริการของระบบ

ภาพประกอบ

ใครต้องรันสแกนเป็นชุดแบบ 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

อยากให้เบราว์เซอร์เข้าถึงได้จากระยะไกล? ต้องเปิดการยืนยันตัวตนของ dashboard ก่อนเป็นอย่างแรก:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

ข้อควรระวัง: หากยังไม่ตั้งค่าการยืนยันตัวตน เซิร์ฟเวอร์จะปฏิเสธการ bind จากภายนอกโดยตรง ค่า default ด้านความปลอดภัยแบบนี้ถึงควรได้รับคำชมจากผู้เขียน

ระบบนิเวศการเชื่อมรวม

Xalgorix ไม่ใช่เกาะลอย:

  • AgentMail: อีเมลชั่วคราวสำหรับทดสอบ การรับอีเมลยืนยัน ขั้นตอน OTP เหตุการณ์ที่ทริกเกอร์ด้วยอีเมล
  • Discord Webhook: ผลักดันช่องโหว่ร้ายแรงแบบเรียลไทม์ ตั้งค่าเกณฑ์ระดับความรุนแรงขั้นต่ำได้

ตัวอย่างคอนฟิก Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

แบบนี้เฉพาะข้อค้นพบระดับ high ขึ้นไปจะแจ้งเข้าคุณ ป้องกันการโดนข้อมูลระดับต่ำกลบทับ

ฟีเจอร์รายงาน: PDF ที่ส่งให้ลูกค้าได้ทันที

ฟีเจอร์รายงานของเครื่องมือโอเพนซอร์สจำนวนมากเป็นมุกตลก——ไม่ก็ JSON เปล่า ๆ ไม่ก็ Markdown ใช้แก้ตัว ส่งให้ลูกค้าตรง ๆ ไม่ได้เลย

โมดูลรายงานของ Xalgorix ตั้งใจทำจริง:

  • Summary: บทสรุปผู้บริหาร metadata ของเป้าหมาย metadata ของการสแกน ภาพรวมระดับความรุนแรง
  • Findings: ข้อค้นพบที่ผ่านการตรวจยืนยัน รายละเอียด CVSS การวิเคราะห์เชิงเทคนิค หลักฐานการเอาไปใช้
  • Evidence: คำสั่ง PoC สคริปต์ payload การสังเกตที่ใช้ประกอบหลักฐาน
  • Remediation: คำแนะนำการแก้ไข การจัดลำดับความสำคัญ
  • Branding: ชื่อบริษัท โลโก้ (อัปโหลดโลโก้ของคุณเองได้)

สแกนเสร็จหนึ่งรอบ ได้รายงาน PDF ติดโลโก้บริษัทคุณออกมาเลย ส่งมอบได้ทันที นี่คือฟีเจอร์ที่เตรียมไว้ให้บริษัทที่ปรึกษาด้านความปลอดภัย ทีม SRC และผู้ให้บริการเจาะทดสอบโดยเฉพาะ

การออกแบบ runtime ด้านความปลอดภัย

ภาพประกอบ

Xalgorix ให้ความสำคัญกับเรื่อง "อย่าให้ตัวเองโดนเล่น" อย่างจริงจัง:

  • ค่า default bind เฉพาะ loopback (127.0.0.1) ต้องเปิดการยืนยันตัวตนอย่างชัดเจนจึงจะเปิดเผยออกไปยังภายนอกได้
  • นโยบายเส้นทางไฟล์: การเขียนไฟล์ระบบอนุญาตเฉพาะ data_dir, ~/.xalgorix/, /tmp นอกนั้นปฏิเสธทั้งหมด
  • การจำกัดจำนวนอินสแตนซ์ตามทรัพยากร: ป้องกันเครื่องหนึ่งรันสแกนเยอะเกินจนหน่วยความจำระเบิด
  • watchdog หมดเวลาแบบดุดันรายเครื่องมือ: subprocess ที่ค้างจะถูก kill แบบบังคับ
  • การควบคุมการเข้าถึงแบบขนาน: การสแกนที่เกินขีดจะถูกปฏิเสธ ไม่กองงานเป็นกองโดยไม่คิด

GET /api/status ยังเปิดเผยสถิติ runtime เช่น panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap การทำ observability ใส่ไว้ใน API มาตรฐานแบบนี้ เห็นชัดว่าผู้เขียนเป็นสายวิศวกรรม ไม่ใช่สาย PoC

การเปลี่ยนแปลงแบบ breaking ใน v4.4.18 ครั้งนี้

สิ่งที่ต้องรู้ตอนอัปเกรด:ผลลัพธ์การสแกน โน้ต ตารางเวลา และข้อมูลที่สร้างอื่น ๆ ตอนนี้ถูกเก็บรวมที่ ~/.xalgorix/data/ ไม่เก็บที่ไดเรกทอรีที่ไบนารีสตาร์ตอีกต่อไป

ผู้ใช้เก่าที่อยากรักษาพฤติกรรมเดิม:

export XALGORIX_DATA_DIR=$(pwd)

ตอนสตาร์ต หากตรวจพบไฟล์ป้ายเส้นทางเก่าอย่าง notes.json, _schedules/, vulnerabilities.json ใน $CWD จะพิมพ์คำเตือน [MIGRATION] ออกมา——แต่ Xalgorix จะไม่อ่าน ไม่คัดลอก ไม่ลบ ไฟล์เก่าเหล่านี้โดยอัตโนมัติ เพียงแค่เตือนให้คุณย้ายเอง ไม่ยุ่งกับข้อมูลของคุณเกินหน้าที่ ความอดกลั้นระดับนี้ทำให้อุ่นใจได้จริง

เหมาะกับใคร

ทีมเรด / วิศวกร penetration testing: วิธีการ 22 ขั้นตอน + ระบบอัตโนมัติ + คำสั่งภาษาธรรมชาติ ช่วยปลดปล่อยคุณจากงานซ้ำ ๆ ไปมุ่งขุดช่องโหว่ด้วยมือและวิเคราะห์เชิงลึกได้เต็มที่

นักล่า Bug Bounty: สแกนเป้าหมาย wildc
ard หลายเป้าหมายเป็นชุด ค้นพบพื้นที่โจมตีอัตโนมัติ ช่องโหว่ร้ายแรงถูกผลักเข้า Discord แบบเรียลไทม์ หลับไหลไปเถอะ ปล่อยให้ AI ช่วยหารางวัลให้คุณ

ทีม SRC / บลูทีม: รันตรวจตนเองเป็นรอบ ๆ กวาดพื้นที่โจมตีของสินทรัพย์องค์กรให้ชัดเจน รายงาน PDF ติดแบรนด์เอาไปรายงานเจ้านายได้ตรง

บริษัทที่ปรึกษาด้านความปลอดภัย: เปิด service mode แยกการสแกนของหลายลูกค้าออกจากกัน ออกรายงานติดแบรนด์ของลูกค้า

นักเรียน / นักวิจัย: วิธีการ 22 ขั้นตอนตัวมันเองก็คือตำราเจาะทดสอบที่มีชีวิต เปิดซอร์ส อ่านได้ แก้ได้

ทำไมโปรเจกต์นี้ถึงคุ้มค่าที่จะติดตาม

ภาพประกอบ

ปี 2026 เครื่องมือเจาะทดสอบ AI มีไม่น้อย แต่ทำ "วงจรปิดครบ" ระดับ Xalgorix ได้มีน้อยมาก:

  • ไม่ใช่มีแค่ Agent แต่ไม่มี UI (เครื่องมือเจาะทดสอบ AI จำนวนมากมีแค่บรรทัดคำสั่ง)
  • ไม่ใช่มีแค่ UI แต่ไม่มีวิธีการ (หลายตัวแค่กองปุ่มไว้เท่านั้น)
  • ไม่ใช่ผูกตายกับโมเดลเดียว (รองรับอินเทอร์เฟซที่เข้ากันได้กับ OpenAI ทุกตัว รวมถึง MiniMax ของจีน)
  • ไม่ใช่ปล่อยของครึ่ง ๆ กลาง ๆ (รายงาน PDF ติดแบรนด์ ส่งมอบได้ทันที)
  • ไม่ใช่รันเปล่า ๆ ไม่มีการออกแบบความปลอดภัย (default loopback นโยบายเส้นทาง watchdog การควบคุมความขนาน ครบทุกอย่าง)

การทำ "สมอง AI Agent + การทำงานอัตโนมัติของเบราว์เซอร์ + ชุดเครื่องมือ + วิธีการ 22 ขั้นตอน + Web UI + ระบบรายงาน" ให้จบทั้งชุด ภาระงานวิศวกรรมระดับนี้หาได้ยากมากในวงการโอเพนซอร์ส

คำเตือนเรื่องการใช้งานอย่างปลอดภัย

ปิดท้ายต้องเน้นข้อความทางการซ้ำอีกครั้ง:

Use Xalgorix only on systems you own or have explicit permission to test.

ใช้ Xalgorix เฉพาะบนระบบที่คุณเป็นเจ้าของหรือได้รับอนุญาตอย่างชัดเจนให้ทดสอบเท่านั้น

ความทรงพลังของเครื่องมือเจาะทดสอบ AI ก็เป็นดาบสองคม——มันช่วยคุณค้นช่องโหว่ได้อย่างมีประสิทธิภาพ แต่ถ้าใช้ผิดที่ก็คือความเสี่ยงทางกฎหมายอย่างแท้จริง เรื่องการขออนุญาต ขอบเขต และกระบวนการรายงาน ล้วนต้องเคร่งครัด ยุคนี้เคสที่โดนเครื่องมือ AI พาเข้าโรงพักไม่ใช่ของหายาก อย่าได้กลายเป็นข่าวด้วยตัวเองเถอะ

สรุป

Xalgorix ไม่ใช่ PoC การเจาะทดสอบ AI อีกหนึ่งตัว แต่คือตัวอย่างโอเพนซอร์สที่ยกระดับ "การทดสอบความปลอดภัยด้วย AI" ให้กลายเป็นงานวิศวกรรมและผลิตภัณฑ์

ถ้าคุณอยู่ในวงการความปลอดภัย ไม่ว่าจะสายบุกหรือสายป้องกัน ก็คุ้มค่าที่จะ clone ลงมาลองดู ถ้าคุณชอบทำผลงานโอเพนซอร์ส สถาปัตยกรรม Go + React + LLM Agent ของโปรเจกต์นี้ก็เป็นตัวอย่างเพื่อการเรียนรู้ที่ดีไม่น้อย

แนบที่อยู่โปรเจกต์อีกครั้ง:

github.com/xalgord/xalgorix