FenrirLVX

用于 WordPress 攻击面测绘、插件指纹识别和离线 CVE 关联的高速 Go CLI。

FenrirLVX 是一款专注、低占用足迹的 Go 安全工具，专为经授权的攻击性安全行动、漏洞赏金分类和外围审计而构建。它对 WordPress 目标进行指纹识别，枚举插件和主题，将检测到的版本与本地漏洞数据库（vuln_db.json）进行关联，并在不依赖外部 API 的情况下输出确定性的分类发现结果。

[!IMPORTANT] 仅在您拥有或已获得明确书面授权进行评估的资产上使用 FenrirLVX。

---

功能

• 直接指纹识别： 单目标 WordPress 及组件检测，零外部 API 依赖。
• 组件枚举： 通过静态资源检查和响应头遥测发现插件和主题版本。
• 离线漏洞关联： 针对 CVE 和 Wordfence 漏洞数据（vuln_db.json）进行本地映射。
• 数据库覆盖范围报告： 每个结果都会说明数据库实际能够覆盖目标的多少部分，从而可以将干净的判定与过时的判定区分开来。
• 逐项匹配证据： 每个发现都附带检测到的版本、其落入的公告范围，以及该范围是否为无界范围。
• 置信度评分： 版本信号验证，综合考虑变更日志、缓存签名和响应头。
• Shodan 查询支持： 可选的被动主机发现，适用于限定范围的企业网络。
• 并发批量分类： 多目标工作池，具备蜜罐和金丝雀边缘过滤能力。
• 跨平台： 为 Linux、macOS 和 Windows（amd64、arm64、386）提供原生单二进制构建。

---

安装

通过 Homebrew（macOS 和 Linux）

brew install leviathan-offsec/tap/fenrir
fenrir --help

从发布版本获取

从 releases 下载适用于你平台的压缩包。每个压缩包 包含二进制文件、vuln_db.json 以及一个 SHA256SUMS 文件。请验证它：

sha256sum -c SHA256SUMS --ignore-missing
./fenrir-v0.1.0-linux-amd64 --help

请从包含 vuln_db.json 的目录中运行它。 数据库是通过相对路径查找的，因此二进制文件和 JSON 文件需要放在一起。

从源码构建

git clone https://github.com/leviathan-offsec/FenrirLVX.git
cd FenrirLVX
go build -o fenrir .
./fenrir --help

vuln_db.json 已提交，因此源码构建完全可离线进行，无需额外设置。需要 Go 1.27 或更高版本。

重新生成数据库

vuln_db.json 由 Wordfence 导出文件生成，该导出文件因体积过大而未提交。要从你自己的数据源重建它：

# needs the Wordfence API key and an export
cp wordfence_production.json .
go run ./tools/convertor.go

转换器会解析该 feed 并就地重写 vuln_db.json。它是一个维护工具，不属于常规构建流程的一部分。

---

用法

单目标扫描

直接扫描已获授权的目标 URL，无需借助第三方服务：

fenrir scan -t https://staging.example.com

扫描输出检测到的 CMS 技术、活跃插件、检测到的主题，以及与本地漏洞定义的关联及置信度评分。

使用 Shodan 增强的目标侦察

export SHODAN_API_KEY="your-api-key"
fenrir wordpress -t staging.example.com -k $SHODAN_API_KEY

Shodan 密钥为可选项；直接扫描功能完全离线运行。

通过 Shodan 查询进行批量分类

fenrir mass -k $SHODAN_API_KEY -q 'http.component:"WordPress" org:"TargetOrg"' -p 1 -d 5

关键 CLI 标志

标志	支持的命令	描述
-t	scan、wordpress	目标 URL 或域名
-k	wordpress、mass	Shodan API 密钥（可选）
-q	mass	Shodan 搜索查询过滤器
-p	mass	要获取的结果总页数（默认：1）
-d	mass	查询之间的轮询延迟秒数（默认：5）
-P	mass	启用严格/精确版本匹配

---

分类控制台分类法

FenrirLVX 在其终端输出中使用确定性的严重性信号：

[+] Clean       No matching vulnerability signature in local database
[!]             Low or medium-severity signal / unverified version match
[!!]            High-severity vulnerability signature detected
[!!!]           Critical CVSS / exploit-confirmed vulnerability signature
[SKIP]          Honeypot, WAF canary, or synthetic response filtered

一个干净的判定结果还会报告数据库覆盖情况：

[+] staging.example.com Clean
    database coverage  3/7 plugins matched  4 with no advisory data

[!IMPORTANT] Clean 表示没有匹配到本地签名，并不表示目标不存在已知问题。本数据库中有四个插件没有公告数据，这一缺口是明确说明的，而不是被隐藏。离线扫描器无法证明不存在问题，它只能报告其数据覆盖范围内的内容。

[!NOTE] 带有无界公告（任一版本边界上为 *）的插件将匹配任何检测到的版本。这些匹配会被标记出来，以便你对其加以甄别。

---

项目结构

cmd/          Cobra command wiring and CLI interface
pkg/banner/   Console branding and output telemetry
pkg/engine/   Fingerprinting, asset enumeration, and CVE correlation
pkg/shodan/   Shodan host discovery client
tools/        Database convertor and release build script
build.ps1     Cross-platform release build (Windows)
vuln_db.json  Local vulnerability definitions and signatures

开发

go build ./...
go test ./...
go vet ./...

pkg/engine 测试覆盖了范围边界处理、版本解析、覆盖率统计以及干净路径披露。它们是针对此处两个关键故障模式的回归防护网：插件从数据库中静默缺失，以及在没有上界的公告上触发匹配。

---

许可证

MIT 许可证。由 @cyeezy08 为 Leviathan OffSec 开发。