Türkçe

← Listeye dön

Sızma testi dünyası bir gecede değişti! Xalgorix: 22 aşamalı, tam otomatik AI saldırı platformu açık kaynak oldu — Çin yapımı modelleri doğrudan bağlayın

itadol5j

Kapak

Sızma testi mesleğini en çok yoran şey nedir? Rapor yazmak değil; tekrar eden iş — keşif, dizin kırma, enjeksiyon noktası testi, SSRF doğrulama, CORS kontrolü... Standart bir Web sızma testi için en az bir düzine araç çalıştırır, yüzlerce komut yazar, ardından sonuçları elle birleştirirsiniz.

Son yıllarda AI güvenlik araçları adeta birbiriyle yarıştı; ama çoğu proje ya tek bir aşamayı çalıştırabiliyordu, ya yalnızca birkaç sabit modele bağlanıyordu, ya da arayüzü o kadar kötüydü ki komut satırından zorla idare ediyordunuz.

Ta ki Xalgorix'i görene kadar — bu proje sızma testi metodolojisinin tamamını 22 aşamaya bölüyor, tam otomatik çalıştırıyor; Web panosu, gerçek zamanlı telemetri ve PDF raporla geliyor,MiniMax, GPT, Claude, Gemini ve her türlü OpenAI uyumlu arayüzü destekliyor. Açık kaynak, Go ile yazılmış, kendi sunucunuzda barındırıyor; make build ile tek komutta havaya kalkıyor.

Proje adresi: github.com/xalgord/xalgorix

Xalgorix tam olarak nedir?

Tek cümlelik tanım:kendi sunucunuzda barındırılan bir AI sızma testi platformu.

Şunları bir araya getiriyor:

  • Bir LLM tarafından sürülen Agent beyni
  • Tarayıcı otomasyonu (DAST ve etkileşim gerektiren senaryolar için)
  • Terminal araç zinciri (yaygın güvenlik araçlarını talep hâlinde otomatik kurar)
  • 22 aşamalı bir sızma testi metodolojisi
  • Gerçek zamanlı WebSocket olay akışı
  • Bulgular yönetim sistemi (açık + CVSS + doğrulama durumu)
  • Markalı PDF rapor üretimi
  • AgentMail ve Discord entegrasyonu

Tarayıcıdan http://127.0.0.1:9137 adresine girin; karşınızdaki "AI sızma komuta merkezi".

22 aşamalı metodoloji: keşiften sıfır güne

Xalgorix'te gözlerimin parladığı taraf buydu — bir URL atıp "AI kendisi bir yol bulsun" yaklaşımı değil; sızma testini 22 sıralı aşamaya bölüyor:

  • Aşama 1-2: Keşif / manuel açık avcılığı
  • Aşama 3-4: Dizin-dosya keşfi / CORS ve Cookie analizi
  • Aşama 5-6: Kimlik doğrulama ve oturum testi / enjeksiyon testi (SQL/XSS/Cmd)
  • Aşama 7-8: SSRF testi / IDOR yetki aşımı
  • Aşama 9-10: API ve GraphQL testi / dosya yükleme testi
  • Aşama 11-12: Deserializasyon ve RCE / yarış koşulları ve iş mantığı
  • Aşama 13-14: Alt alan adı ele geçirme / Open Redirect testi
  • Aşama 15-16: E-posta güvenlik testi / bulut ve altyapı
  • Aşama 17-18: WebSocket testi / CMS özel testleri
  • Aşama 19-20: Kırık bağlantı ele geçirme / açık doğrulama
  • Aşama 21-22: Sıfır gün keşfi / nihai rapor

Hepsini çalıştırabileceğiniz gibi Web arayüzünden yalnızca belirli aşamaları seçebilirsiniz — örneğin yalnızca SSRF ve IDOR testi istiyorsanız bu ikisini işaretlemeniz yeter; zaman da Token da tasarruf.

Üç tarama modu

Görsel
  • Single target: bilinen tek bir URL ya da sunucuyu test etmek için
  • Wildcard / multi: joker karakterli çoklu hedef; saldırı yüzeyi keşfi ve toplu tarama için
  • DAST: tarayıcı destekli test; Web uygulamaları, kimlik doğrulama akışları, formlar ve çalışma zamanı davranışı için

DAST modu öne çıkıyor — birçok AI sızma aracı tarayıcı otomasyonunu desteklemez; oturum açılması ya da SPA etkileşimi gereken modern Web uygulamaları karşısında çaresiz kalır. Xalgorix tarayıcı katmanını doğrudan içinde taşıyor; oturum açma akışını, form gönderimini, JavaScript etkileşimini uçtan uca çalıştırabiliyor.

Üç adımda havaya kalkış, 60 saniyede tamam

Ortam gereksinimi: Linux + Go 1.24.2+.

Adım 1: Klonlama ve derleme

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build önce React Web arayüzünü internal/web/static altına derler, ardından Go ikili dosyasını derler.

Adım 2: LLM yapılandırması

~/.xalgorix.env dosyasını oluşturun:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Çin içindeki kullanıcılar için MiniMax-M2.7 önerilir; fiyat/performansı yüksek ve Çince sızma raporlarına uyumludur. OpenAI, özel OpenAI uyumlu arayüzler ve Gemini de destekleniyor.

OpenAI yapılandırması:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Özel OpenAI uyumlu (örneğin Alibaba Tongyi, Zhipu vb.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Adım 3: Web panosunu başlatma

xalgorix --web

Tarayıcıdan http://127.0.0.1:9137 adresine girin ve işe koyulun.

Komut satırından da çalıştırılabilir

Web arayüzü istemeyen hardcore kullanıcılar için:

xalgorix --target https://example.com

Özel talimatla birlikte:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Bu tür doğal dil talimatlarını doğrudan Agent'a veriyorsunuz; belirttiğiniz stratejiye göre çalışıyor.

Service Mode: sistem servisi olarak çalıştırma

Görsel

7/24 toplu tarama çalıştıracak olanlar için:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Tarayıcıdan uzaktan erişim mi istiyorsunuz? Önce dashboard kimlik doğrulamasını açmanız zorunlu:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Dikkat: kimlik doğrulama yapılandırılmamışken sunucu dış bağlantıları doğrudan reddediyor. Bu güvenli varsayılan için yazara teşekkür etmek gerek.

Entegrasyon ekosistemi

Xalgorix yalnız bir ada değil:

  • AgentMail: test amaçlı tek kullanımlık e-postalar, doğrulama e-postası alma, OTP akışları, e-posta tetikli olaylar
  • Discord Webhook: yüksek riskli açıkların gerçek zamanlı bildirimi; en düşük önem eşiği ayarlanabilir

Discord yapılandırma örneği:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Böylece yalnızca high ve üzeri önemdeki bulgular sizi bilgilendirir; düşük riskli gürültüde boğulmazsınız.

Rapor özelliği: doğrudan müşteriye verilebilecek PDF

Birçok açık kaynak aracında rapor özelliği bir şaka gibidir — ya salt JSON'dur ya da Markdown ile idare eder; müşteriye doğrudan teslim etmek mümkün değildir.

Xalgorix'in rapor modülünde gerçek emek var:

  • Summary: yönetici özeti, hedef meta verileri, tarama meta verileri, önem düzeyi genel görünümü
  • Findings: doğrulanmış bulgular, CVSS ayrıntıları, teknik analiz, istismar kanıtı
  • Evidence: PoC komutları, betikler, payload'lar, destekleyici gözlemler
  • Remediation: düzeltme rehberi, öncelik sıralaması
  • Branding: şirket adı, logo (kendi logonuzu yükleyebilirsiniz)

Tarama bitince şirketinizin logosunu taşıyan bir PDF rapor çıkar; doğrudan teslim edilebilir. Bu özellik güvenlik danışmanlık şirketleri, SRC ekipleri ve sızma testi hizmet sağlayıcıları için tasarlanmış.

Güvenli çalışma zamanı tasarımı

Görsel

Xalgorix, "kendi başına zarar gelmesin" konusuna özen göstermiş:

  • Varsayılan olarak yalnızca loopback'e bağlanır(127.0.0.1); dışarıya açılmak için kimlik doğrulamanın açıkça etkinleştirilmesi gerekir
  • Yol politikası: dosya sistemi yazma işlemleri yalnızca data_dir, ~/.xalgorix/ ve /tmp için serbest; diğer her şey reddedilir
  • Kaynak farkındalıklı örnek sınırı: tek bir makinede çok fazla tarama çalışıp belleğin patlamasının önüne geçer
  • Araç başına sert zaman aşımı bekçisi: takılı kalan alt süreçler zorla sonlandırılır
  • Eşzamanlılık giriş kontrolü: üst sınıra ulaşan taramalar reddedilir; görevler körü körüne yığılmaz

GET /api/status uç noktası ayrıca çalışma zamanı istatistiklerini de sunuyor: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Gözlemlenebilirliği standart bir API'ye yerleştirmiş olması, yazarın PoC tipi değil mühendislik tipi biri olduğunu gösteriyor.

v4.4.18'in bu sürümdeki kırıcı değişiklikleri

Yükseltme notu:Tarama çıktıları, notlar, zamanlamalar ve diğer üretilen veriler artık ~/.xalgorix/data/ altında saklanıyor, artık ikili dosyanın başlatıldığı dizine konmuyor.

Eski davranışı korumak isteyen kullanıcılar:

export XALGORIX_DATA_DIR=$(pwd)

Başlangıçta $CWD içinde notes.json, _schedules/, vulnerabilities.json gibi eski yol işaretleri algılanırsa bir [MIGRATION] uyarısı basılır — ama Xalgorix bu eski dosyaları otomatik olarak okumaz, kopyalamaz, silmez. Yalnızca taşıma konusunda hatırlatıyor; verilerinizi kurcalamıyor. Bu temkinlilik insanı rahatlatıyor.

Kimler kullanmalı?

Kırmızı takım / sızma testi mühendisleri: 22 aşamalı metodoloji + otomasyon + doğal dil talimatları, sizi tekrar eden işten kurtarıp manuel açık avcılığına ve derinlemesine analize odaklatır.

Bug Bounty avcıları: toplu tarama joker
karakterli hedefler, saldırı yüzeyinin otomatik keşfi, yüksek risklilerin Discord'dan gerçek zamanlı bildirimi. Uyurken AI sizin için ödül kazanır.

SRC ekipleri / mavi takım: periyodik öz denetimle kurumsal varlıkların saldırı yüzeyini net biçimde çıkarın. Markalı PDF raporla yöneticinize doğrudan sunum yapın.

Güvenlik danışmanlık şirketleri: servis modunu açın, müşteri başına izole tarama yapın, müşteri markalı raporlar üretin.

Öğrenciler / araştırmacılar: 22 aşamalı metodoloji tek başına yaşayan bir sızma testi ders kitabı; açık kaynak, okunabilir, değiştirilebilir.

Bu proje neden takip edilmeye değer?

Görsel

2026'da AI sızma testi araçları az değil; ama Xalgorix gibi "uçtan uca kapalı döngü" kurabilen çok az:

  • Yalnızca Agent var, arayüz yok (pek çok AI sızma aracı yalnızca komut satırı)
  • Yalnızca arayüz var, metodoloji yok (çoğu sadece düğme yığını)
  • Tek bir modele kilitli değil (her türlü OpenAI uyumlu arayüzü destekler, Çin yapımı MiniMax dahil)
  • Yarım ürün çıktısı vermiyor (markalı PDF raporu doğrudan teslim edilebilir)
  • Güvenlik tasarımsız çıplak çalışmıyor (varsayılan loopback, yol politikası, bekçi, eşzamanlılık kontrolünün hepsi var)

"AI Agent beyni + tarayıcı otomasyonu + araç zinciri + 22 aşamalı metodoloji + Web arayüzü + rapor sistemi"nin tamamını bitirmek — bu ölçüde mühendislik emeği açık kaynak dünyasında epey nadir.

Güvenli kullanım uyarısı

Son olarak resmî ifadeyi aynen aktaralım:

Use Xalgorix only on systems you own or have explicit permission to test.

Xalgorix'i yalnızca sahibi olduğunuz ya da test için açık izninizin olduğu sistemlerde kullanın.

AI sızma araçlarının gücü iki yüzlü bir kılıç — açıkları verimli biçimde bulmanıza yardım eder; ama yanlış yerde kullanılırsa gerçek hukuki risk doğar. Yetki, kapsam ve raporlama süreci titizlikle yürütülmeli. Bu dönemde AI araçları yüzünden başı derde giren vakalar az değil; siz haber olmayın.

Özet

Xalgorix bir AI sızma testi PoC'si daha değil; "AI güvenlik testi" işini mühendislikleştirip ürünleştiren bir açık kaynak örneği.

Güvenlik sektöründeyken, ister saldırı ister savunma tarafında olun, clone alıp denemeye değer. Açık kaynağa katkı veriyorsanız, projenin Go + React + LLM Agent mimarisi de iyi bir öğrenme örneği.

Proje adresi bir kez daha:

github.com/xalgord/xalgorix