Argus

Framework de Inteligencia de Seguridad

Argus es un framework de reconocimiento y análisis de seguridad multifase, diseñado para pruebas de penetración profesionales y evaluación de la superficie de ataque. Funciona de forma totalmente autónoma: no requiere claves de API, ni servicios externos, ni cuentas. Un solo comando produce una imagen completa de la exposición externa de una organización.

Arquitectura

argus/
├── sources/          Certificate Transparency, passive DNS, brute force
├── correlators/      DNS resolution, CDN bypass, port scanning
├── intelligence/     43 analysis modules
│   ├── Core          TLS, HTTP, email, content discovery, JS secrets
│   ├── Graph         Attack paths, compliance, CVE, anomaly detection
│   ├── Advanced      SSRF chains, OAuth/GraphQL/WebSocket, BGP, stealth
│   └── Intelligence  Deep CVE, API enumeration, cloud storage, threat intel
├── ontology/         Knowledge graph (NetworkX), entity model, pivot engine
├── output/           HTML report, executive report, CSV, JSON, terminal
└── web/              FastAPI real-time dashboard with WebSocket

El motor construye un grafo de conocimiento de todas las entidades descubiertas (dominios, IPs, certificados, organizaciones, tecnologías, puertos abiertos) y las relaciones entre ellas. Cada hallazgo es una anomalía asociada a un nodo del grafo con una puntuación CVSS 3.1, vinculación a rutas de ataque y mapeo de cumplimiento normativo.

43 Fases

Instalación

Requisitos: Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Interfaz web (opcional):

pip install fastapi uvicorn websockets

Uso

python argus.py -d TARGET [OPTIONS]

Escaneos básicos

# CT log collection + DNS resolution + anomaly detection
python argus.py -d target.com

# Full 43-phase scan
python argus.py -d target.com --full

# Full scan with executive report
python argus.py -d target.com --full --output executive

# Full scan with authentication and fuzzing
python argus.py -d target.com --full --fuzz --auth

# Scan with known credentials
python argus.py -d target.com --full --auth --user admin --password admin123

Módulos específicos

# Subdomain brute force + AXFR
python argus.py -d target.com --brute --axfr

# Deep infrastructure: ASN + CDN bypass + ports
python argus.py -d target.com --deep --cdn-bypass --ports

# Stealth scan (paranoid jitter profile)
python argus.py -d target.com --full --stealth-profile paranoid

# Through Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Escaneos masivos y continuos

# Bulk scan from file
python argus.py -f targets.txt --full --output json

# Continuous monitoring with Slack alerts
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Web UI dashboard
python argus.py --serve --ui-port 8080

Opciones

Target:
  -d DOMAIN             Single target domain
  -f FILE               File with one domain per line

Scan Modules:
  --full                Enable all modules
  --deep                ASN, cloud detection, Wayback, reverse IP
  --brute               Subdomain brute force + permutations
  --axfr                DNS zone transfer
  --cdn-bypass          CDN/WAF origin IP discovery
  --ports               TCP port scan + banner grab (178 ports)
  --jarm                JARM TLS fingerprinting
  --fuzz                Parameter fuzzing (SQLi, XSS, SSRF, IDOR, traversal)
  --auth                Authentication analysis
  --user USER           Username for authenticated scanning
  --password PASS       Password for authenticated scanning

Output:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Output file path
  -v                    Verbose logging
  -q                    Quiet mode

Performance:
  --threads N           Concurrent threads (default: 30)
  --timeout N           Request timeout in seconds (default: 10)
  --proxy URL           Proxy (socks5://host:port or http://host:port)
  --no-cache            Disable disk cache
  --stealth-profile     paranoid | careful | normal | aggressive

Web UI:
  --serve               Launch real-time web dashboard
  --ui-port N           Web UI port (default: 8080)

Daemon:
  --daemon              Continuous monitoring mode
  --webhook URL         Webhook URL for alerts (Slack/Telegram)
  --interval N          Scan interval in hours (default: 6)

Salida

Informe HTML

Visualización interactiva del grafo de toda la infraestructura con hallazgos, puntuación de riesgo y mapeo de relaciones. Archivo único autocontenido.

Informe ejecutivo

Resumen en lenguaje empresarial con narrativa de rutas de ataque, incumplimientos normativos por framework, hoja de ruta de remediación priorizada y matriz de riesgo.

JSON

Salida completa legible por máquina que incluye el grafo de conocimiento completo, todas las anomalías con puntuaciones CVSS, rutas de ataque y metadatos del escaneo. Adecuada para integración con SIEM, sistemas de tickets o herramientas personalizadas.

Detalle de los módulos de escaneo

Descubrimiento de contenido Prueba más de 100 rutas en cada dominio activo. Detecta archivos .env, repositorios Git, paneles de administración, archivos de respaldo, volcados de bases de datos, endpoints de Spring Actuator, interfaces GraphQL y más. Incluye detección de catch-all SPA/CDN: los hosts que responden 200 a cualquier URL se gestionan correctamente mediante validación de patrones para eliminar falsos positivos.

Fuzzer Fuzzing de parámetros sensible al contexto. Infiere el tipo de parámetro (numérico, cadena, ruta, URL) antes de seleccionar payloads. Prueba SQLi (50 payloads, basados en errores y en tiempo), XSS (39 payloads), SSRF (45 payloads, incluidos los metadatos de AWS/GCP/Azure), path traversal (33 payloads), open redirect e IDOR. Detección de WAF con 3 niveles de evasión.

Autenticación Descubre formularios de inicio de sesión, extrae tokens CSRF automáticamente, detecta CAPTCHA y lo omite. Prueba 132 combinaciones de credenciales, incluyendo valores por defecto del proveedor, contraseñas derivadas de brechas y variantes específicas del dominio. Análisis de JWT con fuerza bruta HMAC para secretos débiles. Detección de endpoints OAuth/SSO.

Cadenas SSRF Va más allá de la detección en un único endpoint. Utiliza SSRF confirmado para hacer pivoting: enumera credenciales IAM de AWS, tokens de cuentas de servicio de GCP, tokens de identidad administrada de Azure y sondea servicios internos (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Prueba el protocolo Gopher para acceso de escritura a Redis.

Inteligencia BGP Análisis de ruta AS por IP mediante RIPEstat y BGPView. Mapea ASN, prefijos, peers directos y presencia en IXP. Detecta anomalías de ruta (múltiples ASN de origen) como indicadores de secuestro BGP. Correlaciona automáticamente los proveedores cloud por ASN.

Fuzzer de protocolos OAuth 2.0: detección de flujo implícito, PKCE ausente, redirect_uri abierto, parámetro state ausente, endpoints de token sin autenticación. GraphQL: introspección completa, prueba de límite de profundidad, abuso de consultas por lotes, extracción de sugerencias de campos, enumeración de mutaciones. WebSocket: bypass de origen (CSWSH), upgrade sin autenticación.

Almacenamiento cloud 35 permutaciones del nombre del objetivo probadas contra S3, Azure Blob Storage, Google Cloud Storage y DigitalOcean Spaces. Los buckets públicos permiten listar archivos. Los buckets privados se confirman como existentes.

CVE profundo Toma la huella de 22 tecnologías (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL, etc.) a partir de cabeceras de respuesta, banners y contenido de las páginas. Realiza coincidencias contra una base de datos de CVEs versionada que incluye vulnerabilidades críticas de 2019–2024.

Inteligencia de amenazas Verificación de listas negras DNS (Spamhaus, SpamCop, SORBS, Barracuda) mediante consultas DNS públicas. Detección de nodos de salida Tor. Reputación de ASN frente a proveedores de hosting bulletproof conocidos. Todas las fuentes son públicas: no se requieren claves de API.

Categorías de anomalías detectadas

Mapeo de cumplimiento normativo

Cada hallazgo se mapea a los controles de framework aplicables:

• OWASP Top 10 2021
• GDPR (Artículos 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Grafo de conocimiento

Argus construye un grafo relacional que conecta:

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

La analítica de grafos produce:

• Puntuación de centralidad (qué nodos son más críticos)
• Detección de nodos puente (puntos únicos de fallo)
• Identificación de clústeres (grupos de infraestructura relacionados)
• Síntesis de rutas de ataque (punto de entrada a cadenas hacia el objetivo)

Diff de escaneo

Cada escaneo guarda una instantánea. Los escaneos posteriores se comparan con el estado anterior e informan de:

• Nuevos dominios descubiertos
• Nuevos puertos abiertos
• Nuevos tipos de anomalías
• Cambios en la infraestructura

Requisitos

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Opcional para la interfaz web:

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Licencia

Solo para pruebas de seguridad autorizadas. Los usuarios son responsables de asegurarse de que disponen de permiso explícito por escrito antes de escanear cualquier objetivo.

github.com/DozerMx/Argus