sif

instalar · uso · módulos · docs · contribuir

recon rápido e concorrente até exploração em um binário. cada scanner compartilha um cliente http com pool de conexões.

o que é sif?

sif é um scanner de recon e exploração que executa toda a cadeia em um binário: enumeração de subdomínios, varredura de portas, crawler, nuclei, detecção de frameworks/cve, extração de segredos em js, sondas de vulnerabilidades web (cors/xss/redirect), verificação de cloud e takeover. mais de 25 tipos de varredura, um comando.

sif -u https://example.com -dnslist -ports -crawl -js -framework -nuclei

nuclei e colly são compilados como bibliotecas em vez de executados por shell (não há exec.Command na árvore), então é um único binário estático sem dependências de runtime e sem nada para conectar.

cada scanner é executado através de um único cliente http compartilhado e um pool de workers com roubo de trabalho. -proxy, -H, -cookie e -rate-limit se aplicam a toda a execução de uma vez, as conexões são agrupadas e reutilizadas durante a varredura (uma execução de host único reutiliza uma conexão para ~50 requisições em vez de fazer 50 conexões), e um host lento não segura o resto. esse cliente compartilhado é a razão prática para usá-lo em vez de encadear uma pilha de ferramentas separadas. a varredura de portas é baseada em connect(), então rustscan e nmap ainda são mais rápidos em varreduras de portas brutas.

ele lê alvos do stdin e imprime achados um por linha com -silent, então compõe:

subfinder -d example.com | sif -silent -crawl -js -nuclei | notify

-diff transforma uma re-varredura em um monitor que só reporta o que mudou, -notify envia para slack/discord/telegram/webhook, e exporta para sarif e markdown.

instalar

homebrew (macos)

brew tap vmfunc/sif
brew install sif

arch linux (aur)

instale usando seu helper aur preferido:

yay -S sif
# ou
paru -S sif

nix

# nixpkgs (declarativo: adicione à configuration.nix ou home-manager)
environment.systemPackages = [ pkgs.sif ];

# ou imperativamente
nix profile install nixpkgs#sif

# ou apenas execute sem instalar
nix run nixpkgs#sif -- -u https://example.com -headers -sh -framework

o repositório também fornece um flake se você quiser compilar da fonte:

nix run github:vmfunc/sif

debian/ubuntu (apt)

curl -1sLf 'https://dl.cloudsmith.io/public/sif/deb/setup.deb.sh' | sudo -E bash
sudo apt-get install sif

a partir de releases

baixe o binário mais recente em releases.

a partir da fonte

git clone https://github.com/vmfunc/sif.git
cd sif
make

requer go 1.25+

aur (instalação manual)

git clone https://aur.archlinux.org/sif.git
cd sif
makepkg -si

uso

# varredura básica
./sif -u https://example.com

# fuzzing de diretórios
./sif -u https://example.com -dirlist medium

# enumeração de subdomínios
./sif -u https://example.com -dnslist medium

# varredura de portas
./sif -u https://example.com -ports common

# detecção de framework javascript + configuração incorreta de cloud
./sif -u https://example.com -js -c3

# inteligência de host do shodan (requer variável de ambiente SHODAN_API_KEY)
./sif -u https://example.com -shodan

# descoberta de domínio do securitytrails (requer variável de ambiente SECURITYTRAILS_API_KEY)
# descobre subdomínios + domínios associados e depois varre todos
./sif -u https://example.com -securitytrails -headers

# recon sql + varredura de lfi
./sif -u https://example.com -sql -lfi

# sondas de vulnerabilidades web (cors, redirecionamento aberto, xss refletido)
./sif -u https://example.com -cors -redirect -xss

# detecção de framework (com consulta a cve)
./sif -u https://example.com -framework

# uma varredura ampla
./sif -u https://example.com -dirlist small -dnslist small -ports common -headers -sh -cms -framework -git -whois

execute ./sif -h para todas as opções.

comandos

alguns subcomandos são executados sem varredura:

# exibe a versão (releases oficiais são carimbadas; versões locais usam git describe)
./sif version

# mostra as notas da versão mais recente (também -pn)
./sif patchnote

Na primeira vez que você executa uma nova versão, o sif exibe as notas daquela versão uma vez. Defina SIF_NO_PATCHNOTES=1 para desativar.

módulos

sif tem uma arquitetura modular. Os módulos são definidos em yaml e podem ser estendidos pelos usuários.

flags de varredura nativas

opções http

estas se aplicam a toda requisição de saída em todos os scanners:

# varredura através de um proxy socks5 com um cabeçalho personalizado, cookie e limite de 20 req/s
./sif -u https://example.com -headers -proxy socks5://127.0.0.1:1080 -H "Authorization: Bearer tok" -cookie "session=abc" -rate-limit 20

um scanner que define um cabeçalho explicitamente (ex.: uma chave de api) sempre tem prioridade sobre o padrão global.

exportação de relatório

escreve os achados da execução em um arquivo para ci/cd ou triagem:

# varredura e emite tanto um relatório sarif quanto markdown
./sif -u https://example.com -headers -cors -sarif out.sarif -md out.md

a saída sarif é ingerível pelo github code scanning; markdown é um resumo legível por alvo.

modo diff

-diff transforma uma re-varredura em um monitor: sif captura os achados normalizados de cada alvo em um arquivo json, e na próxima execução reporta apenas o delta (+ novo / - removido) em relação àquele snapshot, depois o sobrescreve. a primeira execução para um alvo não tem linha de base, então tudo é + novo. os snapshots vão para -store (um arquivo sanitizado por alvo); quando não definido, reutiliza o diretório de log, caindo para <user-config>/sif/state.

# execução de linha de base, depois re-varredura e vê apenas o que mudou
./sif -u https://example.com -sh -cors -diff
./sif -u https://example.com -sh -cors -diff

o snapshot é sempre reescrito, então cada execução difere da anterior. o delta é chrome (vai para a saída normal / stderr com -silent), não o fluxo de achados.

notificar

envia achados para um sink de chat/webhook para que uma execução contínua de recon alerte sobre o que encontrar. cada provedor é um único POST através do cliente http compartilhado, então a configuração global de proxy/limite de taxa/cabeçalho se aplica.

os provedores são configurados primeiro por env; um arquivo yaml (-notify-config) sobrescreve por campo. as chaves yaml correspondem ao projectdiscovery/notify então uma configuração existente é portada:

# alertar o slack sobre achados de severidade média+ descobertos durante uma varredura
export SLACK_WEBHOOK_URL=https://hooks.slack.com/services/...
./sif -u https://example.com -cors -xss -notify -notify-severity medium

um provedor sem destino é ignorado; com nada configurado, -notify é um no-op silencioso. slack/discord/telegram recebem um bloco de achado de largura fixa; o webhook genérico recebe json estruturado ({count, findings[]}).

modo pipe

sif lê alvos do stdin e aceita hosts nus, então se encaixa em um pipeline unix. -silent roteia todo o banner/spinner/log chrome para stderr e imprime um achado normalizado por linha ([severidade] alvo módulo título) para stdout:

# subfinder alimenta hosts, sif os sonda, notify envia os achados
subfinder -d example.com | sif -silent -probe | notify

hosts sem esquema padrão para https://; um http:///https:// explícito é mantido; qualquer outro esquema (ftp://, ...) é rejeitado.

módulos yaml

lista módulos disponíveis:

./sif -lm

executa módulos específicos:

# executar por id
./sif -u https://example.com -m sqli-error-based,xss-reflected

# executar por tag
./sif -u https://example.com -mt owasp-top10

# executar todos os módulos
./sif -u https://example.com -am

módulos personalizados

crie seus próprios módulos em ~/.config/sif/modules/. os módulos usam um formato yaml semelhante aos templates nuclei:

id: my-custom-check
info:
  name: minha verificação de segurança personalizada
  author: você
  severity: medium
  description: verifica algo específico
  tags: [custom, recon]

type: http

http:
  method: GET
  paths:
    - "{{BaseURL}}/admin"
    - "{{BaseURL}}/login"

  matchers:
    - type: status
      status:
        - 200

    - type: word
      part: body
      words:
        - "painel admin"
        - "login"
      condition: or

veja docs/modules.md para o formato completo do módulo.

contribuir

contribuições bem-vindas. veja contributing.md para diretrizes.

# formatar
gofmt -w .

# lint
go run github.com/golangci/golangci-lint/v2/cmd/[email protected] run

# testar
go test ./...

comunidade

entre no nosso discord para suporte, discussões de funcionalidades e dicas de pentest:

contribuidores

agradecimentos

• projectdiscovery pelo nuclei e outras ferramentas de segurança
• shodan pela inteligência de infraestrutura