Argus

Framework de renseignement en sécurité

Argus est un framework de reconnaissance et d'analyse de sécurité multi-phases conçu pour les tests d'intrusion professionnels et l'évaluation de la surface d'attaque. Il fonctionne de manière entièrement autonome — aucune clé API requise, aucun service externe, aucun compte. Une seule commande produit une image complète de l'exposition externe d'une organisation.

Architecture

argus/
├── sources/          Certificate Transparency, passive DNS, brute force
├── correlators/      DNS resolution, CDN bypass, port scanning
├── intelligence/     43 analysis modules
│   ├── Core          TLS, HTTP, email, content discovery, JS secrets
│   ├── Graph         Attack paths, compliance, CVE, anomaly detection
│   ├── Advanced      SSRF chains, OAuth/GraphQL/WebSocket, BGP, stealth
│   └── Intelligence  Deep CVE, API enumeration, cloud storage, threat intel
├── ontology/         Knowledge graph (NetworkX), entity model, pivot engine
├── output/           HTML report, executive report, CSV, JSON, terminal
└── web/              FastAPI real-time dashboard with WebSocket

Le moteur construit un graphe de connaissances de toutes les entités découvertes — domaines, IP, certificats, organisations, technologies, ports ouverts — et des relations entre elles. Chaque constat est une anomalie rattachée à un nœud du graphe avec un score CVSS 3.1, un lien avec les chemins d'attaque et un mappage de conformité.

43 Phases

Installation

Prérequis : Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Interface web (optionnel) :

pip install fastapi uvicorn websockets

Utilisation

python argus.py -d TARGET [OPTIONS]

Analyses de base

# CT log collection + DNS resolution + anomaly detection
python argus.py -d target.com

# Full 43-phase scan
python argus.py -d target.com --full

# Full scan with executive report
python argus.py -d target.com --full --output executive

# Full scan with authentication and fuzzing
python argus.py -d target.com --full --fuzz --auth

# Scan with known credentials
python argus.py -d target.com --full --auth --user admin --password admin123

Modules ciblés

# Subdomain brute force + AXFR
python argus.py -d target.com --brute --axfr

# Deep infrastructure: ASN + CDN bypass + ports
python argus.py -d target.com --deep --cdn-bypass --ports

# Stealth scan (paranoid jitter profile)
python argus.py -d target.com --full --stealth-profile paranoid

# Through Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Analyses groupées et continues

# Bulk scan from file
python argus.py -f targets.txt --full --output json

# Continuous monitoring with Slack alerts
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Web UI dashboard
python argus.py --serve --ui-port 8080

Options

Target:
  -d DOMAIN             Single target domain
  -f FILE               File with one domain per line

Scan Modules:
  --full                Enable all modules
  --deep                ASN, cloud detection, Wayback, reverse IP
  --brute               Subdomain brute force + permutations
  --axfr                DNS zone transfer
  --cdn-bypass          CDN/WAF origin IP discovery
  --ports               TCP port scan + banner grab (178 ports)
  --jarm                JARM TLS fingerprinting
  --fuzz                Parameter fuzzing (SQLi, XSS, SSRF, IDOR, traversal)
  --auth                Authentication analysis
  --user USER           Username for authenticated scanning
  --password PASS       Password for authenticated scanning

Output:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Output file path
  -v                    Verbose logging
  -q                    Quiet mode

Performance:
  --threads N           Concurrent threads (default: 30)
  --timeout N           Request timeout in seconds (default: 10)
  --proxy URL           Proxy (socks5://host:port or http://host:port)
  --no-cache            Disable disk cache
  --stealth-profile     paranoid | careful | normal | aggressive

Web UI:
  --serve               Launch real-time web dashboard
  --ui-port N           Web UI port (default: 8080)

Daemon:
  --daemon              Continuous monitoring mode
  --webhook URL         Webhook URL for alerts (Slack/Telegram)
  --interval N          Scan interval in hours (default: 6)

Sortie

Rapport HTML

Visualisation interactive du graphe de l'infrastructure complète avec constats, notation des risques et cartographie des relations. Fichier unique autonome.

Rapport exécutif

Résumé en langage métier avec récit des chemins d'attaque, violations de conformité par cadre, feuille de route de remédiation priorisée et matrice des risques.

JSON

Sortie complète lisible par machine incluant le graphe de connaissances complet, toutes les anomalies avec scores CVSS, chemins d'attaque et métadonnées d'analyse. Adaptée à l'intégration avec SIEM, ticketing ou outils personnalisés.

Détail des modules d'analyse

Découverte de contenu Teste 100+ chemins sur chaque domaine vivant. Détecte les fichiers .env, les dépôts Git, les panneaux d'administration, les archives de sauvegarde, les dumps de bases de données, les points de terminaison Spring Actuator, les interfaces GraphQL, etc. Inclut la détection catch-all SPA/CDN — les hôtes qui répondent 200 à toute URL sont traités correctement avec une validation par motifs pour éliminer les faux positifs.

Fuzzer Fuzzing contextuel de paramètres. Déduit le type de paramètre (numérique, chaîne, chemin, URL) avant de sélectionner les payloads. Teste les SQLi (50 payloads, basés sur erreurs et sur temps), XSS (39 payloads), SSRF (45 payloads incluant les métadonnées AWS/GCP/Azure), path traversal (33 payloads), open redirect et IDOR. Détection de WAF avec 3 niveaux d'évasion.

Authentification Découvre les formulaires de connexion, extrait automatiquement les jetons CSRF, détecte les CAPTCHA et les ignore. Teste 132 combinaisons d'identifiants incluant les valeurs par défaut des éditeurs, les mots de passe issus de fuites et les variantes spécifiques au domaine. Analyse JWT avec force brute HMAC pour les secrets faibles. Détection des points de terminaison OAuth/SSO.

Chaînes SSRF Va au-delà de la détection sur un seul point de terminaison. Utilise un SSRF confirmé pour pivoter : énumère les identifiants AWS IAM, les jetons de comptes de service GCP, les jetons d'identité managée Azure et sonde les services internes (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Teste le protocole Gopher pour l'accès en écriture à Redis.

Renseignement BGP Analyse du chemin AS par IP via RIPEstat et BGPView. Cartographie ASN, préfixes, pairs directs, présence IXP. Détecte les anomalies de routage (ASN d'origine multiples) comme indicateurs de détournement BGP. Corrèle automatiquement les fournisseurs cloud par ASN.

Fuzzing de protocoles OAuth 2.0 : détection du flux implicite, absence de PKCE, redirect_uri ouvert, paramètre state manquant, points de terminaison de jetons non authentifiés. GraphQL : introspection complète, test des limites de profondeur, abus de requêtes par lot, extraction de suggestions de champs, énumération de mutations. WebSocket : contournement d'origine (CSWSH), mise à niveau non authentifiée.

Stockage cloud 35 permutations du nom de la cible testées contre S3, Azure Blob Storage, Google Cloud Storage et DigitalOcean Spaces. Les buckets publics renvoient la liste des fichiers. Les buckets privés sont confirmés comme existants.

CVE approfondi Identifie par empreinte 22 technologies (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL, etc.) à partir des en-têtes de réponse, des bannières et du contenu des pages. Compare avec une base de données CVE versionnée incluant les vulnérabilités critiques de 2019 à 2024.

Renseignement sur les menaces Vérification des listes noires DNS (Spamhaus, SpamCop, SORBS, Barracuda) via des requêtes DNS publiques. Détection des nœuds de sortie Tor. Réputation ASN vis-à-vis des fournisseurs d'hébergement insouciants connus. Toutes les sources sont publiques — aucune clé API requise.

Catégories d'anomalies détectées

Mappage de conformité

Chaque constat est mappé aux contrôles des cadres applicables :

• OWASP Top 10 2021
• GDPR (Articles 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Graphe de connaissances

Argus construit un graphe relationnel reliant :

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

Les analyses de graphe produisent :

• Score de centralité (quels nœuds sont les plus critiques)
• Détection des nœuds ponts (points uniques de défaillance)
• Identification de clusters (groupes d'infrastructures liés)
• Synthèse de chemins d'attaque (chaînes du point d'entrée vers les cibles)

Diff d'analyse

Chaque analyse enregistre un instantané. Les analyses suivantes comparent l'état précédent et rapportent :

• Nouveaux domaines découverts
• Nouveaux ports ouverts
• Nouveaux types d'anomalies
• Changements d'infrastructure

Prérequis

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Optionnel pour l'interface web :

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Licence

Pour les tests de sécurité autorisés uniquement. Les utilisateurs sont responsables de s'assurer qu'ils ont obtenu une autorisation écrite explicite avant d'analyser toute cible.

github.com/DozerMx/Argus