XPFarm

Una piattaforma offensiva di sicurezza open-source potenziata dall'IA che integra strumenti di sicurezza noti dietro un'interfaccia web unificata — con scansione distribuita, report generati dall'IA, un planner di scansione intelligente, un grafo degli attacchi interattivo e un SDK per plugin della community.

Dai un'occhiata anche ad ObsidianBox Modern su Google Play.

Indice

Perché

Strumenti come Assetnote sono ottimi — ben mantenuti, aggiornati e trasparenti nell'identificazione delle vulnerabilità. Ma non sono open-source. Inoltre non c'è bisogno di reinventare la ruota, dato che esistono già molti solidi strumenti open-source. XPFarm li integra insieme in modo da avere uno scanner di vulnerabilità open-source e meno corporate.

L'attenzione è stata posta sulla creazione di uno scanner di vulnerabilità dove puoi vedere cosa fallisce o viene rimosso in background, invece di chiederti quale sia il mistero. Ogni cosa che la pipeline di scansione fa viene mostrata all'utente.

Strumenti Integrati

• Subfinder — scoperta dei sottodomini
• Naabu — scansione delle porte
• Httpx — probing HTTP
• Nuclei — scansione delle vulnerabilità
• Nmap — scansione di rete
• Katana — crawling JavaScript
• URLFinder — scoperta di URL
• Gowitness — screenshot
• Wappalyzer — rilevamento tecnologia
• CVEMap — mappatura CVE

Crediti

Mappa dell'Architettura

flowchart TB
    subgraph ENTRY["Entrypoint — main.go"]
        M1["Parse Flags (-debug)"]
        M2["InitDB — SQLite + WAL + GORM"]
        M3["InitModules — 10 tool wrappers"]
        M4["Load Plugins — normalization/all + plugins/all"]
        M5["Health Check — auto-install missing tools"]
        M6["CheckAndIndexTemplates — Nuclei versioning"]
        M7["StartServer — Gin on :8888"]
        M1 --> M2 --> M3 --> M4 --> M5 --> M6 --> M7
    end

    subgraph UI_LAYER["Web UI — internal/ui/server.go"]
        direction TB
        GIN["Gin HTTP Server\nEmbedded templates + static\nCSRF origin-check middleware"]

        subgraph Pages["Pagine HTML"]
            P1["Dashboard — SSE live stage progress"]
            P2["Assets & Targets"]
            P3["Global Search — paginated + truncation"]
            P4["Scan Graph — Cytoscape.js"]
            P5["Bug Bounty Reports"]
            P6["AI Scan Planner"]
            P7["Workers & Jobs"]
            P8["Overlord Chat + Binary Upload"]
            P9["Modules"]
            P10["Settings — AES-256-GCM encrypted"]
        end

        GIN --> Pages
    end

    subgraph SCAN_ENGINE["Scan Engine — internal/core/"]
        direction TB
        SM["ScanManager\nSingleton, mutex-guarded\nPanic recovery + SSE broadcast"]

        subgraph PIPELINE["Pipeline di Scansione a 8 Stadi"]
            direction TB
            S1["1. Subfinder — Subdomain Discovery"]
            S2["2. Filter & Save — Cloudflare / Localhost / Alive"]
            S3["3. Naabu — Port Scanning (5-worker pool)"]
            S4["4. Nmap — Service + Version Detection"]
            S5["5. Httpx — HTTP Probing + Metadata"]
            S6["6. Parallel Web — Screenshots, Crawl, URLs, Tech"]
            S7["7. CVEMap — CVE lookup by product/tech"]
            S8["8. Nuclei — Vulnerability Scanning"]
            S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7 --> S8
        end

        SM --> PIPELINE
    end

    subgraph REPORTS["Bug Bounty Reports — internal/reports/"]
        RG["GenerateReport()\nCollects DB context + graph\nOverlord AI generation\nFallback built-in templates"]
        RF["Formats: Markdown · PDF · HackerOne · Bugcrowd"]
        RS["Storage: internal/storage/reports/"]
        RG --> RF --> RS
    end

    subgraph PLANNER["AI Scan Planner — internal/planner/"]
        PL["GenerateScanPlan()\nGathers asset/finding/graph context\nPolls Overlord for JSON plan\nFallback heuristic plan"]
        PC["Capability Registry — 26 capabilities\n10 built-in modules + 16 Overlord agents\nRisk levels: safe / active / destructive"]
        PS["ExecutePlanWithLogs()\nSSE log streaming per step\nRoutes builtin vs Overlord agent steps"]
        PL --> PC --> PS
    end

    subgraph DISTRIBUTED["Distributed Workers — internal/distributed/"]
        DW["Worker Binary — cmd/worker/main.go\n./xpfarm-worker -controller http://host:8888"]
        DC["Controller — token auth, heartbeat monitor\nAtomically claims jobs from queue"]
        DS["Scheduler — BestWorkerForTool()\nRoutes by capability + active job count"]
        DJ["Job Queue — internal/storage/jobs/\nClaim via DB transaction, 30min timeout"]
        DW --> DC --> DS --> DJ
    end

    subgraph OVERLORD["Overlord — AI Agent Subsystem"]
        OV_PROXY["Overlord Proxy — internal/overlord/"]

        subgraph OV_AGENTS["22 Agenti Specializzati"]
            OA1["Binary RE — re-explorer, re-debugger, re-decompiler, re-scanner"]
            OA2["APK — apk-recon, apk-dynamic, apk-decompiler"]
            OA3["Web + Exploit — web-tester, re-exploiter, secrets-hunter, recon"]
        end

        subgraph OV_TOOLS["70+ Strumenti TypeScript"]
            OT1["radare2, ghidra, binwalk, frida, angr, strings"]
            OT2["semgrep, gitleaks, gau, corscanner, whatweb"]
            OT3["git_dumper, js_scraper, crypto_solver, ropper"]
        end

        subgraph PROVIDERS["21 Provider AI"]
            PR1["Anthropic · OpenAI · Groq · DeepSeek"]
            PR2["Ollama (local) · xAI · OpenRouter · Cerebras"]
        end

        OV_PROXY --> OV_AGENTS
        OV_PROXY --> OV_TOOLS
        OV_PROXY --> PROVIDERS
    end

    subgraph SCAN_GRAPH["Scan Graph — internal/graph/"]
        GB["BuildGraph() — queries 5 tables\nDeduplicates nodes + edges"]
        subgraph GNODES["Tipi di Nodo"]
            GN1["asset #8b5cf6"]
            GN2["target #0ea5e9"]
            GN3["service #10b981"]
            GN4["tech #f59e0b"]
            GN5["vuln #ef4444"]
            GN6["exploit #dc2626"]
        end
        GB --> GNODES
    end

    subgraph DATABASE["Database — internal/database/ + internal/storage/"]
        DB["SQLite + WAL Mode\nGORM ORM\n10 open / 5 idle conns, 64MB WAL cap"]
        subgraph MODELS["Modelli Dati"]
            DM1["Asset · Target · Port · WebAsset"]
            DM2["Vulnerability · CVE · ScanResult"]
            DM3["ScanProfile · NucleiTemplate · SavedSearch"]
            DM4["Setting (AES-256-GCM encrypted)"]
            DM5["Report · Plan · WorkerRecord · JobRecord"]
        end
        DB --> MODELS
    end

    subgraph DOCKER["Docker — docker-compose.yml"]
        DC1["xpfarm — Go app :8888"]
        DC2["overlord — OpenCode :3000"]
        DC3["mobsf — Mobile scan :8000 (optional)"]
        DC1 <-->|xpfarm-network| DC2
        DC1 <-->|xpfarm-network| DC3
    end

    M7 --> GIN
    GIN --> SCAN_ENGINE
    GIN --> REPORTS
    GIN --> PLANNER
    GIN --> DISTRIBUTED
    GIN --> OVERLORD
    GIN --> SCAN_GRAPH
    GIN --> DATABASE

Overlord — Analisi AI

Overlord è un agente AI integrato basato su OpenCode in grado di analizzare binari, archivi, APK e target web. Carica un file e chatta con esso — l'agente utilizza radare2, strings, triage dei file, Frida e altro per investigare il tuo target.

• Output in streaming live — vedi ragionamenti, chiamate agli strumenti e risultati in tempo reale
• Cronologia delle sessioni — passa da una sessione all'altra, ripristinate automaticamente al refresh della pagina
• Multi-provider — Anthropic, OpenAI, Groq, Ollama (locale), DeepSeek, xAI e oltre 15 altri
• Pulsante di stop — interrompi analisi lunghe in qualsiasi momento
• 70+ strumenti TypeScript — radare2, Ghidra, Frida, binwalk, angr, Semgrep, Gitleaks e altri
• 22 agenti specializzati — reverse engineering di binari, analisi APK, test web, generazione di exploit, caccia ai segreti
• Limite di upload 500 MB con validazione del tipo MIME

Bug Bounty Reports

Genera report professionali di divulgazione a partire dai risultati della scansione con un solo clic. L'IA di Overlord sintetizza il tuo inventario di asset, i risultati delle vulnerabilità, il contesto del grafo e i dati CVE in un report rifinito.

Formati:

Come funziona:

1. Seleziona uno o più asset da includere
2. Scegli il formato e un titolo opzionale
3. L'IA di Overlord genera un report strutturato a partire dai tuoi risultati live + grafo dell'attacco
4. Scarica come .md, .html o .pdf — o copia il Markdown grezzo
5. I report vengono salvati e possono essere scaricati di nuovo in qualsiasi momento

AI Scan Planner

Overlord seleziona i passaggi ottimali di ricognizione e sfruttamento per i tuoi target in base a quanto già scoperto — inventario degli asset, risultati esistenti, struttura del grafo e capacità degli strumenti disponibili.

Modalità:

Come funziona:

1. Seleziona asset target, modalità e limiti di passaggi
2. L'IA di Overlord analizza i tuoi dati esistenti e genera un piano JSON prioritario
3. Ogni passaggio mostra: strumento/agente, target, motivazione e output atteso
4. Clicca Esegui per avviare il piano — i passaggi mostrano progresso live via SSE
5. I piani vengono salvati e possono essere rieseguiti in qualsiasi momento

Registro delle capacità: 10 moduli integrati + 16 agenti Overlord, ciascuno con livello di rischio (safe / active / distructive) e categoria per il filtraggio delle modalità.

Worker Distribuiti

Esegui scansioni su più macchine in parallelo. Distribuisci nodi worker su host remoti che si registrano automaticamente con il controller, richiedono lavori, eseguono strumenti localmente e inviano i risultati.

Distribuisci un worker:

./xpfarm-worker -controller http://xpfarm-host:8888 -id worker-1 -labels high-bandwidth,internal

Come funziona:

• I worker si registrano con un token crittografico (32 byte casuali, uno per worker)
• Heartbeat ogni 10 secondi — i worker vengono segnati offline dopo 45 secondi di silenzio
• I lavori vengono presi in carico atomicamente tramite transazione DB — niente doppia esecuzione
• Lo scheduler instrada i lavori al miglior worker disponibile in base a capacità e carico
• Timeout di 30 minuti per lavoro; i lavori falliti vengono riaccodati alla disconnessione del worker

Coda dei lavori: Crea lavori dall'interfaccia Workers o tramite POST /api/jobs/create. La coda mostra stato in tempo reale, worker assegnato e output del risultato.

Grafo di Scansione

XPFarm costruisce un grafo diretto unificato di ogni entità scoperta durante la scansione, rendendo banale rispondere a domande come "quali servizi eseguono tecnologie con un CVE sfruttabile?" o "mostrami tutto ciò che è raggiungibile da questo asset".

Tipi di nodo:

Esempio di percorso:

example.com (asset)
  └─possiede──► www.example.com (target)
              ├─espone──► 443/tcp https (servizio)
              │              └─esegue──► nginx 1.24 (tecnologia)
              ├─affetto-da──► CVE-2023-44487 (vuln)
              │                   └─sfrutta──► Exploit: CVE-2023-44487
              └─affetto-da──► http-missing-security-headers (vuln)

• Canvas interattivo Cytoscape.js a pagina intera — zoom, pan, trascinamento nodi
• Pannello sinistro: filtra per tipo di nodo, severità vulnerabilità, tipo di arco
• Clicca su qualsiasi nodo → pannello laterale mostra tutte le proprietà + link diretto alla pagina di dettaglio
• "Ricostruisci Grafo" esegue una nuova interrogazione del database live

Plugin SDK

XPFarm è estensibile tramite un Plugin SDK della community. Chiunque può aggiungere nuovi strumenti, agenti e pipeline senza toccare il codice core.

plugins/
├── all/all.go                    ← aggiungi qui l'import del tuo plugin
├── example-echo/                 ← template iniziale minimale
├── example-repo-scanner/         ← esempio di scanner per repository fittizio
├── repo-semgrep/                 ← plugin Semgrep SAST (pronto per produzione)
└── repo-secrets/                 ← plugin Gitleaks + SecretFinder (pronto per produzione)

Scrivere un plugin — tre passaggi:

1. Crea plugins/mio-plugin/plugin.go — implementa Tool e/o Agent, chiama plugin.RegisterTool() / plugin.RegisterAgent() in init()
2. Crea plugins/mio-plugin/plugin.yaml — metadati
3. Aggiungi _ "xpfarm/plugins/mio-plugin" a plugins/all/all.go

GET /api/plugins elenca tutti gli strumenti, agenti, pipeline e manifest registrati.

Motore di Normalizzazione dei Risultati

Gli output grezzi degli scanner di Nuclei, Nmap, Semgrep e Gitleaks vengono normalizzati in un modello Finding unificato, arricchito con intelligence sulle minacce live, deduplicato e raggruppato.

POST /api/normalize  {"source": "nuclei", "raw": {...}}
         │
         ▼  Adattatore (nuclei / nmap / semgrep / gitleaks)
         │  → Finding canonico (CVE, CWE, severità, evidenza, tag)
         │
         ▼  Arricchitori (applicati in ordine)
         │  1. CWE   — trie di 40 regole + mappa di 35 tag (locale, istantaneo)
         │  2. CVSS  — API REST NVD v2, CVSS 3.1→3.0→2.0, cache in-process
         │  3. EPSS  — API di probabilità di sfruttamento FIRST.org, cache in-process
         │  4. KEV   — catalogo CISA Known Exploited Vulnerabilities (sync.Once)
         │
         ▼  Impronta SHA-256 → deduplica → raggruppa per CWE/CVE/Severità/Target
         │
         ▼  Archiviazione SQLite (FindingRecord + GroupRecord)

Novità

• Bug Bounty Reports — Report Markdown, PDF, HackerOne e Bugcrowd generati dall'IA a partire da risultati live e contesto del grafo
• AI Scan Planner — Overlord seleziona i passaggi ottimali di ricognizione/sfruttamento; registro di 26 capacità con livelli di rischio; log di esecuzione live tramite SSE
• Worker Distribuiti — Distribuisci nodi worker su macchine remote; autenticazione tramite token; presa in carico atomica dei lavori; monitoraggio heartbeat; binario ./xpfarm-worker
• Grafo di Scansione — Visualizzazione interattiva Cytoscape.js di asset→target→servizi→tecnologie→vulnerabilità→exploit; filtra per tipo/severità/tipo d'arco; clicca per ispezionare
• Segreti crittografati a riposo — Le chiavi API in SQLite sono crittografate con AES-256-GCM; chiave generata automaticamente in data/.xpfarm.key
• Progresso scansione in tempo reale — La dashboard mostra aggiornamenti live delle fasi tramite SSE
• Paginazione della ricerca — 100 righe/pagina con avviso di troncamento
• Recupero da panic delle goroutine — I panic nelle goroutine di scansione vengono catturati, loggati e puliti
• Protezione CSRF — Le richieste POST cross-origin vengono rifiutate; solo localhost è accettato
• Rafforzamento upload file — Upload binari limitati a 500 MB con validazione MIME
• Superfici di fallimento silenziose — Errori di import CSV, fallimenti di parsing Nuclei e troncamento della ricerca vengono segnalati all'utente
• Pin delle versioni degli strumenti — Tutti i 10 strumenti fissati nel Dockerfile; ./xpfarm.sh update per aggiornamenti opzionali
• Ottimizzazione connessioni DB — Pool di 10 connessioni aperte / 5 inattive; tetto WAL di 64 MB
• Scanner Repository — Repos Git come target di prima classe; pipeline a 7 stadi (SAST, segreti, SBOM)
• Plugin SDK — Sistema di strumenti/agenti/pipeline estensibile dalla community

Configurazione

# Raccomandato
./xpfarm.sh build     # Costruisci tutti i container
./xpfarm.sh up        # Avvia tutto (xpfarm :8888 + overlord :3000)
./xpfarm.sh update    # Ricostruisci con le ultime versioni degli strumenti (aggiornamento opzionale)

# Windows
.\xpfarm.ps1 build
.\xpfarm.ps1 up

# Docker standard
docker compose up --build

# Compila dal sorgente (senza Overlord)
go build -o xpfarm
./xpfarm
./xpfarm -debug

Screenshot

TODO

• Configurazione modello personalizzata
• Integrazione scansione mobile
• Interfaccia utente Scanner Repository — pagina web per aggiungere repos, avviare scansioni, visualizzare risultati e SBOM
• Corrispondenza vulnerabilità SBOM — incrocia dipendenze SBOM con database CVE/GHSA
• Supporto moduli personalizzati