Argus

Framework di intelligence per la sicurezza

Argus è un framework multi-fase di ricognizione e analisi della sicurezza, progettato per penetration test professionali e valutazione della superficie d'attacco. È completamente autonomo — nessuna chiave API richiesta, nessun servizio esterno, nessun account. Un singolo comando produce un quadro completo dell'esposizione esterna di un'organizzazione.

Architettura

argus/
├── sources/          Certificate Transparency, passive DNS, brute force
├── correlators/      DNS resolution, CDN bypass, port scanning
├── intelligence/     43 analysis modules
│   ├── Core          TLS, HTTP, email, content discovery, JS secrets
│   ├── Graph         Attack paths, compliance, CVE, anomaly detection
│   ├── Advanced      SSRF chains, OAuth/GraphQL/WebSocket, BGP, stealth
│   └── Intelligence  Deep CVE, API enumeration, cloud storage, threat intel
├── ontology/         Knowledge graph (NetworkX), entity model, pivot engine
├── output/           HTML report, executive report, CSV, JSON, terminal
└── web/              FastAPI real-time dashboard with WebSocket

Il motore costruisce un Knowledge Graph di tutte le entità scoperte — domini, IP, certificati, organizzazioni, tecnologie, porte aperte — e delle relazioni tra di esse. Ogni riscontro è un'anomalia associata a un nodo del grafo con un punteggio CVSS 3.1, collegamento ai percorsi di attacco e mappatura della conformità.

43 Fasi

Installazione

Requisiti: Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Web UI (opzionale):

pip install fastapi uvicorn websockets

Utilizzo

python argus.py -d TARGET [OPTIONS]

Scansioni di base

# CT log collection + DNS resolution + anomaly detection
python argus.py -d target.com

# Full 43-phase scan
python argus.py -d target.com --full

# Full scan with executive report
python argus.py -d target.com --full --output executive

# Full scan with authentication and fuzzing
python argus.py -d target.com --full --fuzz --auth

# Scan with known credentials
python argus.py -d target.com --full --auth --user admin --password admin123

Moduli mirati

# Subdomain brute force + AXFR
python argus.py -d target.com --brute --axfr

# Deep infrastructure: ASN + CDN bypass + ports
python argus.py -d target.com --deep --cdn-bypass --ports

# Stealth scan (paranoid jitter profile)
python argus.py -d target.com --full --stealth-profile paranoid

# Through Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Scansioni bulk e continue

# Bulk scan from file
python argus.py -f targets.txt --full --output json

# Continuous monitoring with Slack alerts
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Web UI dashboard
python argus.py --serve --ui-port 8080

Opzioni

Target:
  -d DOMAIN             Single target domain
  -f FILE               File with one domain per line

Scan Modules:
  --full                Enable all modules
  --deep                ASN, cloud detection, Wayback, reverse IP
  --brute               Subdomain brute force + permutations
  --axfr                DNS zone transfer
  --cdn-bypass          CDN/WAF origin IP discovery
  --ports               TCP port scan + banner grab (178 ports)
  --jarm                JARM TLS fingerprinting
  --fuzz                Parameter fuzzing (SQLi, XSS, SSRF, IDOR, traversal)
  --auth                Authentication analysis
  --user USER           Username for authenticated scanning
  --password PASS       Password for authenticated scanning

Output:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Output file path
  -v                    Verbose logging
  -q                    Quiet mode

Performance:
  --threads N           Concurrent threads (default: 30)
  --timeout N           Request timeout in seconds (default: 10)
  --proxy URL           Proxy (socks5://host:port or http://host:port)
  --no-cache            Disable disk cache
  --stealth-profile     paranoid | careful | normal | aggressive

Web UI:
  --serve               Launch real-time web dashboard
  --ui-port N           Web UI port (default: 8080)

Daemon:
  --daemon              Continuous monitoring mode
  --webhook URL         Webhook URL for alerts (Slack/Telegram)
  --interval N          Scan interval in hours (default: 6)

Output

Report HTML

Visualizzazione grafica interattiva dell'intera infrastruttura con riscontri, punteggio del rischio e mappatura delle relazioni. File singolo autonomo.

Report esecutivo

Riepilogo in linguaggio aziendale con narrazione dei percorsi di attacco, violazioni della conformità per framework, roadmap di remediation prioritaria e matrice del rischio.

JSON

Output completo leggibile da macchina che include l'intero knowledge graph, tutte le anomalie con punteggi CVSS, i percorsi di attacco e i metadati della scansione. Adatto all'integrazione con SIEM, sistemi di ticketing o strumenti personalizzati.

Dettaglio dei moduli di scansione

Content Discovery Testa oltre 100 percorsi su ogni dominio attivo. Rileva file .env, repository Git, pannelli di amministrazione, archivi di backup, dump di database, endpoint Spring Actuator, interfacce GraphQL e altro. Include il rilevamento catch-all SPA/CDN — gli host che rispondono 200 a qualsiasi URL vengono gestiti correttamente con la validazione dei pattern per eliminare i falsi positivi.

Fuzzer Fuzzing dei parametri sensibile al contesto. Deduce il tipo di parametro (numerico, stringa, percorso, URL) prima di selezionare i payload. Testa SQLi (50 payload, basati su errori e su tempo), XSS (39 payload), SSRF (45 payload inclusi i metadata AWS/GCP/Azure), path traversal (33 payload), open redirect e IDOR. Rilevamento WAF con 3 livelli di evasione.

Authentication Individua i form di login, estrae automaticamente i token CSRF, rileva i CAPTCHA e li salta. Testa 132 combinazioni di credenziali, incluse le password predefinite dei vendor, quelle derivate da breach e le varianti specifiche del dominio. Analisi JWT con brute force HMAC per segreti deboli. Rilevamento degli endpoint OAuth/SSO.

SSRF Chains Va oltre il rilevamento su singolo endpoint. Utilizza l'SSRF confermato per il pivoting: enumera le credenziali AWS IAM, i token degli account di servizio GCP, i token delle managed identity di Azure e sonda i servizi interni (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Testa il protocollo Gopher per l'accesso in scrittura a Redis.

BGP Intelligence Analisi del percorso AS per singolo IP tramite RIPEstat e BGPView. Mappa ASN, prefissi, peer diretti e presenza IXP. Rileva anomalie di routing (ASN di origine multipli) come indicatori di BGP hijack. Correla automaticamente i provider cloud tramite ASN.

Protocol Fuzzer OAuth 2.0: rilevamento del flusso implicito, PKCE mancante, redirect_uri aperto, parametro state mancante, token endpoint non autenticati. GraphQL: introspezione completa, test del limite di profondità, abuso delle query batch, estrazione dei suggerimenti sui campi, enumerazione delle mutation. WebSocket: bypass dell'origine (CSWSH), upgrade non autenticato.

Cloud Storage 35 permutazioni del nome del target testate contro S3, Azure Blob Storage, Google Cloud Storage e DigitalOcean Spaces. I bucket pubblici restituiscono elenchi di file. I bucket privati vengono confermati come esistenti.

Deep CVE Esegue il fingerprinting di 22 tecnologie (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL, ecc.) a partire dagli header di risposta, dai banner e dal contenuto delle pagine. Esegue il confronto con un database CVE versionato che include vulnerabilità critiche dal 2019 al 2024.

Threat Intelligence Verifica delle blacklist DNS (Spamhaus, SpamCop, SORBS, Barracuda) tramite query DNS pubbliche. Rilevamento dei nodi di uscita Tor. Reputazione ASN rispetto ai noti provider di bulletproof hosting. Tutte le fonti sono pubbliche — nessuna chiave API richiesta.

Categorie di anomalie rilevate

Mappatura della conformità

Ogni riscontro viene mappato sui controlli applicabili dei framework:

• OWASP Top 10 2021
• GDPR (Articoli 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Knowledge Graph

Argus costruisce un grafo relazionale che collega:

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

L'analisi dei grafi produce:

• Punteggio di centralità (quali nodi sono più critici)
• Rilevamento dei nodi ponte (punti singoli di guasto)
• Identificazione dei cluster (gruppi di infrastruttura correlati)
• Sintesi dei percorsi di attacco (catene dal punto di ingresso al target)

Diff delle scansioni

Ogni scansione salva uno snapshot. Le scansioni successive si confrontano con lo stato precedente e riportano:

• Nuovi domini scoperti
• Nuove porte aperte
• Nuovi tipi di anomalie
• Modifiche all'infrastruttura

Requisiti

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Opzionali per la web UI:

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Licenza

Solo per test di sicurezza autorizzati. Gli utenti sono responsabili di assicurarsi di avere un'autorizzazione scritta esplicita prima di scansionare qualsiasi target.

github.com/DozerMx/Argus