PhantomRecon

PhantomRecon é uma ferramenta de automação de red team modular, baseada em CLI e orientada a agentes, projetada para demonstrar fluxos de trabalho ofensivos de segurança autônomos alimentados por IA (Gemini do Google via Agent Development Kit - ADK).

Início Rápido (CLI)

• Execute o console interativo (estilo metasploit):
  root@kitploit:~

  python -m phantomrecon
  

• Execução única não interativa:
  root@kitploit:~

  python -m phantomrecon --target example.com --auto \
    --nmap-timeout 30 --nmap-top-ports 100 --nmap-args "-sV -Pn"
  

Opções de CLI

• --target <domínio|ip>: Alvo a ser avaliado
• --auto: Executa reconhecimento → planejamento → roteamento → relatório
• --nmap-timeout <segundos>: Substitui NMAP_TIMEOUT
• --nmap-top-ports <N>: Substitui NMAP_TOP_PORTS
• --nmap-args "...": Acrescenta argumentos ao Nmap (NMAP_ARGS)
• --nmap-disable: Desabilita o Nmap (define NMAP_DISABLE=1)

Variáveis de ambiente também são suportadas diretamente: NMAP_TIMEOUT, NMAP_TOP_PORTS, NMAP_ARGS, NMAP_DISABLE.

Higiene operacional

• Os relatórios não são versionados. O .gitignore exclui reports/* exceto reports/sample_report.md.
• Os relatórios HTML/MD gerados ficam em reports/ apenas localmente.
• Remova ou rotacione os relatórios conforme necessário; eles nunca são enviados em commits.

Construída como uma prova de conceito, ela simula a identificação de um alvo, a realização de reconhecimento amplo (Nmap, DNS, Pesquisa Web), o planejamento de uma estratégia de ataque usando um LLM, a execução condicional de exploits simulados e a geração de um relatório.

Estrutura do Projeto

phantomrecon/
├── phantomrecon/             # Main package (exported orchestrator agent)
│   ├── __init__.py
│   ├── __main__.py           # CLI entrypoint (interactive and non-interactive)
│   └── agent/                # Agent graph and tools
├── agents/                   # Python modules containing agent/tool logic
│   ├── recon_logic.py        # Nmap, DNS (dig), seeded web analysis; ADK search enabled
│   ├── routing_logic.py      # Logic for the Exploit Router agent
│   ├── exploit_web_logic.py  # Functions for web exploits (currently simulated)
│   ├── exploit_sql_logic.py  # Functions for SQL exploits (currently simulated)
│   └── report_logic.py       # Functions for report generation using session state
├── configs/
│   └── targets.json          # (Optional) Target configuration
├── data/
│   └── dummy_scan_output.json # Example Nmap data if no target specified
├── demos/
│   └── walkthrough.md        # Demo steps
├── prompts/                  # Prompt templates for LLM agents
├── reports/
│   └── sample_report.md      # Example output report
├── requirements.txt          # Python dependencies (includes google-adk)
├── .gitignore                # Files excluded from version control
└── LICENSE                   # MIT License

Fluxo de Trabalho Atual

1. Reconhecimento em Paralelo (recon_workflow - Agente Paralelo):
   • Executa varredura Nmap (nmap_tool)
   • Executa consultas DNS/WHOIS (dns_tool)
   • Simula pesquisa web (web_search_tool)
   • Estado: Cada ferramenta grava seus resultados no estado da sessão.
2. Agregação (aggregation_tool):
   • Combina os resultados do fluxo de trabalho paralelo.
   • Estado: Grava aggregated_recon_data no estado da sessão.
3. Planejamento com LLM (planning_agent - LlmAgent):
   • Recebe os dados agregados.
   • Usa o Gemini e attack_planner_prompt.txt para gerar um plano de ataque em JSON.
   • Estado: Grava attack_plan no estado da sessão.
4. Roteamento de Exploits (exploit_router - RouterAgent):

Configuração

1. Clone o repositório.
2. Garanta que os pré-requisitos estejam instalados: python3, pip, nmap, dig, whois, sqlmap, wapiti, wpscan, searchsploit.
3. Crie um ambiente virtual:
   root@kitploit:~

   python3 -m venv venv
   source venv/bin/activate  # On Windows use `venv\Scripts\activate`
   

4. Instale as dependências:
   root@kitploit:~

   pip install -r requirements.txt
   

5. Configure as Chaves de API (env):
   • Copie .env.example para .env (se o exemplo existir) ou edite .

Aviso de Segurança

Esta ferramenta é apenas para testes de segurança autorizados e fins educacionais. Não use contra sistemas sem permissão explícita.

Licença

Este projeto é licenciado sob a Licença MIT - consulte o arquivo LICENSE para obter detalhes.

Pré-requisitos

• Python 3.9+
• pip (instalador de pacotes Python)
• Nmap (sudo apt install nmap ou brew install nmap)
• dig (sudo apt install dnsutils ou brew install bind)
• whois (sudo apt install whois ou brew install whois)
• sqlmap (sudo apt install sqlmap ou brew install sqlmap)
• wapiti (sudo apt install wapiti ou brew install wapiti)
• wpscan (sudo apt install ruby-full e em seguida gem install wpscan ou brew install wpscan)

Principais Recursos

• Fluxo de Trabalho Baseado em Agentes: Utiliza o Agent Development Kit (ADK) do Google para uma estrutura modular.
• Entrada Interativa de Alvo: Usa a interface adk web para perguntar ao usuário o IP/domínio alvo.
• Avaliação em Múltiplos Estágios:
  • Reconhecimento:
    • Varredura de portas Nmap (Real)
    • Consultas avançadas de DNS/WHOIS (Real: dig, nslookup, dig +trace, tentativa de AXFR, whois)
    • Pesquisa Web (Real, usando o Google Search)
    • Análise avançada de conteúdo web (Real: links, formulários, comentários, scripts, cabeçalhos, e-mails, detecção básica de tecnologia)
    • Agregação de Dados
  • Planejamento: O LLM (Gemini) analisa os dados de reconhecimento para gerar um plano de ataque priorizado (com validação).
  • Exploração (Roteamento Condicional): Executa testes com base no plano:
    • Web: Arquivos padrão, Configurações incorretas (Listagem de Diretórios), Injeção de SQL (via sqlmap com opções refinadas), varredura Wapiti (resultados analisados), WPScan (resultados analisados, condicional), XSS Refletido Básico, Injeção Básica de Comandos - (Verificações Reais)
    • SQL: Credenciais Padrão (MySQL/PostgreSQL), Vulnerabilidades de Versão (via searchsploit com consulta refinada), Enumeração Pós-Autenticação (via conexão direta do sqlmap) - (Verificações Reais)

Arquitetura (Sistema Multiagente Autônomo)

O PhantomRecon usa uma arquitetura totalmente autônoma de múltiplos agentes alimentada pelo Agent Development Kit (ADK) do Google.

Componentes Principais

Agente Orquestrador Sênior (gemini-1.5-pro-latest)

• Tomada de decisão autônoma e planejamento estratégico
• Seleciona dinamicamente quais agentes especialistas invocar
• Itera com base nas descobertas (sem sequência fixa)
• Conduz auditorias de segurança abrangentes com total autonomia

Agentes Especializados de Segurança

• Agente de Reconhecimento: Varredura de portas, enumeração de DNS, detecção de serviços
• Especialista em Segurança Web: XSS, CSRF, SSRF, Path Traversal, Open Redirect
• Especialista em Injeção de SQL: Todas as técnicas de injeção de SQL nos principais bancos de dados
• Especialista em SSH/Rede: Auditoria de segurança SSH, teste de serviços de rede
• Especialista em Autenticação: Bypass de autenticação, segurança de sessão, escalonamento de privilégios
• Agente de Planejamento: Planejamento estratégico de ataques com base nas descobertas
• Agente de Relatório: Geração de relatórios abrangentes de segurança

Operação Autônoma

O orquestrador opera como um testador de penetração sênior:

1. Aceita um domínio/IP alvo
2. Planeja a estratégia de reconhecimento
3. Analisa as descobertas e identifica superfícies de ataque
4. Invoca dinamicamente agentes especialistas com base nas descobertas
5. Itera e adapta a abordagem à medida que novas informações surgem
6. Gera um relatório abrangente de auditoria de segurança

Principais Recursos:

• Nenhum fluxo de trabalho fixo - o orquestrador decide a estratégia
• Execução paralela de agentes para eficiência
• Aprofundamento iterativo em vulnerabilidades descobertas
• Abordagem adaptativa baseada nas características do alvo
• Autonomia completa desde a entrada do alvo até o relatório final

Detalhes Técnicos

• Gerenciamento de estado via context.session.state (sessões ADK)
• Reconhecimento paralelo com visualização de progresso em tempo real (biblioteca Rich)
• Execução assíncrona de comandos com timeouts (executor_fix.py)
• Parâmetros de varredura configuráveis (variáveis de ambiente para Nmap, etc.)

Uso

Execute via CLI (recomendado):

python -m phantomrecon --target <domain|ip> --auto

Console interativo:

python -m phantomrecon

Runner ADK opcional:

adk run phantomrecon -- --target <domain|ip> --auto