Argus

Framework de Inteligência de Segurança

O Argus é um framework de reconhecimento e análise de segurança em múltiplas fases, construído para testes de penetração profissionais e avaliação de superfície de ataque. Ele opera de forma totalmente autônoma — sem necessidade de chaves de API, sem serviços externos, sem contas. Um único comando produz um panorama completo da exposição externa de uma organização.

Arquitetura

argus/
├── sources/          Certificate Transparency, passive DNS, brute force
├── correlators/      DNS resolution, CDN bypass, port scanning
├── intelligence/     43 analysis modules
│   ├── Core          TLS, HTTP, email, content discovery, JS secrets
│   ├── Graph         Attack paths, compliance, CVE, anomaly detection
│   ├── Advanced      SSRF chains, OAuth/GraphQL/WebSocket, BGP, stealth
│   └── Intelligence  Deep CVE, API enumeration, cloud storage, threat intel
├── ontology/         Knowledge graph (NetworkX), entity model, pivot engine
├── output/           HTML report, executive report, CSV, JSON, terminal
└── web/              FastAPI real-time dashboard with WebSocket

O mecanismo constrói um Grafo de Conhecimento de todas as entidades descobertas — domínios, IPs, certificados, organizações, tecnologias, portas abertas — e as relações entre elas. Cada achado é uma anomalia associada a um nó do grafo, com pontuação CVSS 3.1, vínculo com caminhos de ataque e mapeamento de conformidade.

43 Fases

Instalação

Requisitos: Python 3.9+, Linux/macOS/Termux

git clone https://github.com/DozerMx/Argus
cd Argus
pip install -r requirements.txt

Interface Web (opcional):

pip install fastapi uvicorn websockets

Uso

python argus.py -d TARGET [OPTIONS]

Varreduras básicas

# CT log collection + DNS resolution + anomaly detection
python argus.py -d target.com

# Full 43-phase scan
python argus.py -d target.com --full

# Full scan with executive report
python argus.py -d target.com --full --output executive

# Full scan with authentication and fuzzing
python argus.py -d target.com --full --fuzz --auth

# Scan with known credentials
python argus.py -d target.com --full --auth --user admin --password admin123

Módulos direcionados

# Subdomain brute force + AXFR
python argus.py -d target.com --brute --axfr

# Deep infrastructure: ASN + CDN bypass + ports
python argus.py -d target.com --deep --cdn-bypass --ports

# Stealth scan (paranoid jitter profile)
python argus.py -d target.com --full --stealth-profile paranoid

# Through Tor
python argus.py -d target.com --full --proxy socks5://127.0.0.1:9050

Em lote e contínuo

# Bulk scan from file
python argus.py -f targets.txt --full --output json

# Continuous monitoring with Slack alerts
python argus.py -d target.com --daemon --webhook https://hooks.slack.com/...

# Web UI dashboard
python argus.py --serve --ui-port 8080

Opções

Target:
  -d DOMAIN             Single target domain
  -f FILE               File with one domain per line

Scan Modules:
  --full                Enable all modules
  --deep                ASN, cloud detection, Wayback, reverse IP
  --brute               Subdomain brute force + permutations
  --axfr                DNS zone transfer
  --cdn-bypass          CDN/WAF origin IP discovery
  --ports               TCP port scan + banner grab (178 ports)
  --jarm                JARM TLS fingerprinting
  --fuzz                Parameter fuzzing (SQLi, XSS, SSRF, IDOR, traversal)
  --auth                Authentication analysis
  --user USER           Username for authenticated scanning
  --password PASS       Password for authenticated scanning

Output:
  --output FORMAT       terminal | html | executive | json | csv
  --outfile PATH        Output file path
  -v                    Verbose logging
  -q                    Quiet mode

Performance:
  --threads N           Concurrent threads (default: 30)
  --timeout N           Request timeout in seconds (default: 10)
  --proxy URL           Proxy (socks5://host:port or http://host:port)
  --no-cache            Disable disk cache
  --stealth-profile     paranoid | careful | normal | aggressive

Web UI:
  --serve               Launch real-time web dashboard
  --ui-port N           Web UI port (default: 8080)

Daemon:
  --daemon              Continuous monitoring mode
  --webhook URL         Webhook URL for alerts (Slack/Telegram)
  --interval N          Scan interval in hours (default: 6)

Saída

Relatório HTML

Visualização interativa em grafo de toda a infraestrutura, com achados, pontuação de risco e mapeamento de relacionamentos. Arquivo único e autocontido.

Relatório Executivo

Resumo em linguagem de negócios com narrativa de caminhos de ataque, violações de conformidade por framework, roteiro priorizado de remediação e matriz de risco.

JSON

Saída completa legível por máquina, incluindo o grafo de conhecimento integral, todas as anomalias com pontuações CVSS, caminhos de ataque e metadados da varredura. Adequada para integração com SIEM, sistemas de tickets ou ferramentas personalizadas.

Detalhes dos Módulos de Varredura

Descoberta de Conteúdo Testa mais de 100 caminhos em cada domínio ativo. Detecta arquivos .env, repositórios Git, painéis administrativos, arquivos de backup, dumps de banco de dados, endpoints do Spring Actuator, interfaces GraphQL e muito mais. Inclui detecção de catch-all de SPA/CDN — hosts que respondem 200 para qualquer URL são tratados corretamente com validação de padrões para eliminar falsos positivos.

Fuzzer Fuzzing de parâmetros com consciência de contexto. Infere o tipo do parâmetro (numérico, string, caminho, URL) antes de selecionar payloads. Testa SQLi (50 payloads, baseados em erro e em tempo), XSS (39 payloads), SSRF (45 payloads, incluindo metadados AWS/GCP/Azure), path traversal (33 payloads), open redirect e IDOR. Detecção de WAF com 3 níveis de evasão.

Autenticação Descobre formulários de login, extrai tokens CSRF automaticamente, detecta CAPTCHA e o ignora. Testa 132 combinações de credenciais, incluindo padrões do fornecedor, senhas derivadas de vazamentos e variantes específicas do domínio. Análise de JWT com brute force de HMAC para segredos fracos. Detecção de endpoints OAuth/SSO.

Cadeias de SSRF Vai além da detecção de endpoint único. Usa SSRF confirmada para fazer pivô: enumera credenciais AWS IAM, tokens de service account do GCP, tokens de identidade gerenciada do Azure e testa serviços internos (Redis, Elasticsearch, Consul, Prometheus, Tomcat). Testa o protocolo Gopher para acesso de escrita no Redis.

Inteligência de BGP Análise de caminho AS por IP via RIPEstat e BGPView. Mapeia ASN, prefixos, peers diretos e presença em IXP. Detecta anomalias de rota (múltiplos ASNs de origem) como indicadores de sequestro de BGP. Correlaciona provedores de nuvem por ASN automaticamente.

Fuzzer de Protocolos OAuth 2.0: detecção de fluxo implícito, PKCE ausente, redirect_uri aberto, parâmetro state ausente, endpoints de token sem autenticação. GraphQL: introspecção completa, teste de limite de profundidade, abuso de consultas em lote, extração de sugestões de campos, enumeração de mutações. WebSocket: bypass de origem (CSWSH), upgrade sem autenticação.

Armazenamento em Nuvem 35 permutações do nome do alvo testadas contra S3, Azure Blob Storage, Google Cloud Storage e DigitalOcean Spaces. Buckets públicos exibem listagens de arquivos. Buckets privados são confirmados como existentes.

CVE Profundo Gera fingerprints de 22 tecnologias (Apache, Nginx, PHP, OpenSSL, Tomcat, Spring, WordPress, jQuery, OpenSSH, Redis, MySQL, etc.) a partir de cabeçalhos de resposta, banners e conteúdo de páginas. Compara com um banco de dados de CVEs versionado, incluindo vulnerabilidades críticas de 2019–2024.

Inteligência de Ameaças Verificação de listas negras de DNS (Spamhaus, SpamCop, SORBS, Barracuda) por meio de consultas DNS públicas. Detecção de nós de saída Tor. Reputação de ASN contra provedores de hospedagem bulletproof conhecidos. Todas as fontes são públicas — nenhuma chave de API é necessária.

Categorias de Anomalias Detectadas

Mapeamento de Conformidade

Cada achado é mapeado para os controles aplicáveis dos frameworks:

• OWASP Top 10 2021
• GDPR (Artigos 25, 32)
• ISO 27001:2022
• NIST CSF 2.0
• PCI-DSS v4.0
• CIS Controls v8

Grafo de Conhecimento

O Argus constrói um grafo relacional conectando:

Domain ── resolves_to ──> IP ── belongs_to ──> ASN
  |                              |
  +── has_cert ──> Certificate   +── hosts ──> Domain
  |
  +── runs ──> Technology ── has_cve ──> CVE

As análises de grafo produzem:

• Pontuação de centralidade (quais nós são mais críticos)
• Detecção de nós ponte (pontos únicos de falha)
• Identificação de clusters (grupos de infraestrutura relacionados)
• Síntese de caminhos de ataque (ponto de entrada para cadeias até o alvo)

Diff de Varredura

Cada varredura salva um snapshot. As varreduras subsequentes são comparadas com o estado anterior e relatam:

• Novos domínios descobertos
• Novas portas abertas
• Novos tipos de anomalias
• Mudanças na infraestrutura

Requisitos

aiohttp>=3.9.0
dnspython>=2.4.0
networkx>=3.2.0
rich>=13.7.0
python-dateutil>=2.8.2

Opcional para a interface web:

fastapi>=0.110.0
uvicorn[standard]>=0.29.0
websockets>=12.0

Licença

Apenas para testes de segurança autorizados. Os usuários são responsáveis por garantir que tenham permissão explícita por escrito antes de varrer qualquer alvo.

github.com/DozerMx/Argus