FenrirLVX

CLI de Go de alta velocidad para el mapeo de la superficie de ataque de WordPress, la identificación de plugins y la correlación de CVE sin conexión.

FenrirLVX es una utilidad de seguridad en Go enfocada y de baja huella, creada para operaciones de seguridad ofensiva autorizadas, la clasificación de bug bounty y la auditoría de perímetro. Identifica objetivos de WordPress, enumera plugins y temas, correlaciona las versiones detectadas con una base de datos local de vulnerabilidades (vuln_db.json) y genera hallazgos de clasificación deterministas sin dependencias de API externas.

[!IMPORTANT] Utilice FenrirLVX únicamente contra activos que posea o para los que tenga autorización escrita explícita de evaluación.

---

Capacidades

• Identificación directa: Detección de WordPress y sus componentes en un único objetivo sin dependencias de API externas.
• Enumeración de componentes: Descubrimiento de versiones de plugins y temas mediante la inspección de recursos estáticos y la telemetría de encabezados.
• Correlación de vulnerabilidades sin conexión: Mapeo local contra datos de vulnerabilidades de CVE y Wordfence (vuln_db.json).
• Informe de cobertura de la base de datos: Cada resultado indica hasta qué punto la base de datos pudo realmente cubrir el objetivo, de modo que un veredicto limpio se distingue de uno desactualizado.
• Evidencia por coincidencia: Cada hallazgo incluye la versión detectada, el rango de avisos en el que se encuadró y si ese rango era ilimitado.
• Puntuación de confianza: Validación de la señal de versión que tiene en cuenta los registros de cambios, las firmas de caché y los encabezados de respuesta.
• Compatibilidad con consultas de Shodan: Descubrimiento pasivo opcional de hosts para rangos empresariales delimitados.
• Clasificación masiva concurrente: Grupo de trabajadores multiobjetivo con filtrado de bordes de honeypots y canarios.
• Multiplataforma: Compilaciones nativas de binario único para Linux, macOS y Windows (amd64, arm64, 386).

---

Instalación

Mediante Homebrew (macOS y Linux)

brew install leviathan-offsec/tap/fenrir
fenrir --help

Desde la versión publicada

Descarga el archivo para tu plataforma desde releases. Cada archivo contiene el binario, vuln_db.json y un archivo SHA256SUMS. Verifícalo:

sha256sum -c SHA256SUMS --ignore-missing
./fenrir-v0.1.0-linux-amd64 --help

Ejecútalo desde el directorio que contiene vuln_db.json. La base de datos se busca por ruta relativa, por lo que el binario y el archivo JSON deben estar juntos.

Desde el código fuente

git clone https://github.com/leviathan-offsec/FenrirLVX.git
cd FenrirLVX
go build -o fenrir .
./fenrir --help

vuln_db.json está incluido en el repositorio, por lo que una compilación desde el código fuente es totalmente capaz de funcionar sin conexión sin configuración adicional. Requiere Go 1.27 o superior.

Regenerar la base de datos

vuln_db.json se genera a partir de una exportación de Wordfence, que no está incluida en el repositorio debido a su tamaño. Para reconstruirla desde tu propio feed:

# needs the Wordfence API key and an export
cp wordfence_production.json .
go run ./tools/convertor.go

El convertidor analiza el feed y reescribe vuln_db.json en el mismo lugar. Es una herramienta de mantenimiento, no forma parte de una compilación normal.

---

Uso

Escaneo de un único objetivo

Escanea directamente una URL de objetivo autorizada sin servicios de terceros:

fenrir scan -t https://staging.example.com

La exploración genera tecnologías CMS detectadas, plugins activos, temas detectados y correlaciones con definiciones locales de vulnerabilidades con puntuación de confianza.

Reconocimiento de objetivos con enriquecimiento de Shodan

export SHODAN_API_KEY="your-api-key"
fenrir wordpress -t staging.example.com -k $SHODAN_API_KEY

La clave de Shodan es opcional; el escaneo directo funciona completamente sin conexión.

Triaje masivo mediante consulta de Shodan

fenrir mass -k $SHODAN_API_KEY -q 'http.component:"WordPress" org:"TargetOrg"' -p 1 -d 5

Flags CLI clave

Flag	Comandos compatibles	Descripción
-t	scan, wordpress	URL o dominio objetivo
-k	wordpress, mass	Clave de API de Shodan (opcional)
-q	mass	Filtro de consulta de búsqueda de Shodan
-p	mass	Total de páginas de resultados a obtener (predeterminado: 1)
-d	mass	Retardo de sondeo en segundos entre consultas (predeterminado: 5)
-P	mass	Habilitar coincidencia estricta/de precisión de versiones

---

Taxonomía de la consola de triaje

FenrirLVX utiliza señalización de severidad determinista en su salida de terminal:

[+] Clean       No matching vulnerability signature in local database
[!]             Low or medium-severity signal / unverified version match
[!!]            High-severity vulnerability signature detected
[!!!]           Critical CVSS / exploit-confirmed vulnerability signature
[SKIP]          Honeypot, WAF canary, or synthetic response filtered

Un veredicto limpio también informa la cobertura de la base de datos:

[+] staging.example.com Clean
    database coverage  3/7 plugins matched  4 with no advisory data

[!IMPORTANT] Clean significa que ninguna firma local coincidió, no que el objetivo esté libre de problemas conocidos. Cuatro plugins no tenían datos de avisos en esta base de datos, y esa laguna se declara en lugar de ocultarse. Un escáner offline no puede demostrar la ausencia. Solo puede informar de lo que cubren sus datos.

[!NOTE] Los plugins con un aviso sin límites (un * en cualquiera de los límites de versión) coincidirán con cualquier versión detectada. Esas coincidencias se marcan para que puedas descartarlas.

---

Estructura del proyecto

cmd/          Cobra command wiring and CLI interface
pkg/banner/   Console branding and output telemetry
pkg/engine/   Fingerprinting, asset enumeration, and CVE correlation
pkg/shodan/   Shodan host discovery client
tools/        Database convertor and release build script
build.ps1     Cross-platform release build (Windows)
vuln_db.json  Local vulnerability definitions and signatures

Desarrollo

go build ./...
go test ./...
go vet ./...

Las pruebas de pkg/engine cubren el manejo de límites de rango, el análisis de versiones, la contabilidad de cobertura y la divulgación de la ruta limpia. Constituyen la red de regresión para los dos modos de fallo que importan aquí: un plugin que falta silenciosamente en la base de datos, y una coincidencia que se dispara en un aviso sin límite superior.

---

Licencia

Licencia MIT. Desarrollado por @cyeezy08 para Leviathan OffSec.