PhantomRecon

PhantomRecon 是一个基于 CLI 的模块化、代理驱动的红队自动化工具，旨在演示由 AI（通过 Agent Development Kit - ADK 使用 Google Gemini）驱动的自主进攻性安全工作流。

快速开始（CLI）

• 运行交互式控制台（metasploit 风格）：
  root@kitploit:~

  python -m phantomrecon
  

• 一次性非交互式运行：
  root@kitploit:~

  python -m phantomrecon --target example.com --auto \
    --nmap-timeout 30 --nmap-top-ports 100 --nmap-args "-sV -Pn"
  

CLI 选项

• --target <domain|ip>：要评估的目标
• --auto：运行侦察 → 规划 → 路由 → 报告
• --nmap-timeout <seconds>：覆盖 NMAP_TIMEOUT
• --nmap-top-ports <N>：覆盖 NMAP_TOP_PORTS
• --nmap-args "..."：追加到 Nmap 参数（NMAP_ARGS）
• --nmap-disable：禁用 Nmap（设置 NMAP_DISABLE=1）

环境变量也直接受支持：NMAP_TIMEOUT、NMAP_TOP_PORTS、NMAP_ARGS、NMAP_DISABLE。

操作规范

• 报告不进行版本控制。.gitignore 排除了 reports/*，但 reports/sample_report.md 除外。
• 生成的 HTML/MD 报告仅保存在本地的 reports/ 下。
• 根据需要删除或轮换报告；它们永远不会被提交。

作为概念验证构建，它模拟了识别目标、执行广泛侦察（Nmap、DNS、网络搜索）、使用 LLM 规划攻击策略、按条件执行模拟漏洞利用以及生成报告的过程。

项目结构

phantomrecon/
├── phantomrecon/             # 主包（导出的编排代理）
│   ├── __init__.py
│   ├── __main__.py           # CLI 入口点（交互式和非交互式）
│   └── agent/                # 代理图谱和工具
├── agents/                   # 包含代理/工具逻辑的 Python 模块
│   ├── recon_logic.py        # Nmap、DNS (dig)、种子化 Web 分析；启用 ADK 搜索
│   ├── routing_logic.py      # 漏洞利用路由代理的逻辑
│   ├── exploit_web_logic.py  # Web 漏洞利用函数（当前为模拟）
│   ├── exploit_sql_logic.py  # SQL 漏洞利用函数（当前为模拟）
│   └── report_logic.py       # 使用会话状态生成报告的函数
├── configs/
│   └── targets.json          # （可选）目标配置
├── data/
│   └── dummy_scan_output.json # 未指定目标时的示例 Nmap 数据
├── demos/
│   └── walkthrough.md        # 演示步骤
├── prompts/                  # 用于 LLM 代理的提示模板
├── reports/
│   └── sample_report.md      # 示例输出报告
├── requirements.txt          # Python 依赖（包含 google-adk）
├── .gitignore                # 从版本控制中排除的文件
└── LICENSE                   # MIT 许可证

当前工作流

1. 并行侦察（recon_workflow - 并行代理）：
   • 运行 Nmap 扫描（nmap_tool）
   • 运行 DNS/WHOIS 查询（dns_tool）
   • 模拟网络搜索（web_search_tool）
   • 状态： 每个工具将其结果写入会话状态。
2. 聚合（aggregation_tool）：
   • 合并并行工作流的结果。
   • 状态： 将 aggregated_recon_data 写入会话状态。
3. LLM 规划（planning_agent - LlmAgent）：
   • 接收聚合数据。
   • 使用 Gemini 和 attack_planner_prompt.txt 生成 JSON 攻击计划。
   • 状态： 将 attack_plan 写入会话状态。
4. 漏洞利用路由（exploit_router - RouterAgent）：
   • 从状态中读取 attack_plan。
   • 根据计划有条件地执行特定的漏洞利用工具（web_exploit_tool、）。

安装配置

1. 克隆仓库。
2. 确保已安装先决条件：python3、pip、nmap、dig、whois、sqlmap、wapiti、wpscan、searchsploit。
3. 创建虚拟环境：
   root@kitploit:~

   python3 -m venv venv
   source venv/bin/activate  # On Windows use `venv\Scripts\activate`
   

4. 安装依赖：
   root@kitploit:~

   pip install -r requirements.txt
   

5. 配置 API 密钥（环境变量）：
   • 将 .env.example 复制为 .env（如果示例存在）或编辑 .env。

安全声明

此工具仅用于授权的安全测试和教育目的。未经明确许可，请勿对任何系统使用。

许可证

本项目采用 MIT 许可证授权 - 有关详细信息，请参阅 LICENSE 文件。

先决条件

• Python 3.9+
• pip（Python 包安装器）
• Nmap（sudo apt install nmap 或 brew install nmap）
• dig（sudo apt install dnsutils 或 brew install bind）
• whois（sudo apt install whois 或 brew install whois）
• sqlmap（sudo apt install sqlmap 或 brew install sqlmap）
• wapiti（sudo apt install wapiti 或 brew install wapiti）
• wpscan（sudo apt install ruby-full 然后 gem install wpscan 或 brew install wpscan）

主要特性

• 基于代理的工作流： 利用 Google 的 Agent Development Kit (ADK) 实现模块化结构。
• 交互式目标输入： 使用 adk web 界面向用户询问目标 IP/域名。
• 多阶段评估：
  • 侦察：
    • Nmap 端口扫描（真实）
    • 增强 DNS/WHOIS 查询（真实：dig、nslookup、dig +trace、AXFR 尝试、whois）
    • 网络搜索（真实，使用 Google 搜索）
    • 增强型 Web 内容分析（真实：链接、表单、评论、脚本、标头、电子邮件、基础技术检测）
    • 数据聚合
  • 规划： LLM（Gemini）分析侦察数据以生成优先攻击计划（带验证）。
  • 漏洞利用（条件路由）： 根据计划执行测试：
    • Web： 默认文件、错误配置（目录列表）、SQL 注入（通过 sqlmap 并使用精细选项）、Wapiti 扫描（解析结果）、WPScan（解析结果，条件执行）、基础反射型 XSS、基础命令注入 -（真实检测）
    • SQL： 默认凭据（MySQL/PostgreSQL）、版本漏洞（通过 searchsploit 并使用精细查询）、认证后枚举（通过 sqlmap 直连）-（真实检测）
    • SSH： 弱凭据、版本漏洞（通过 searchsploit 并使用精细查询）、配置审计（通过 ssh-audit，解析结果）-（真实检测）
  • 报告： 生成 Markdown 摘要报告。

架构（自主多代理系统）

PhantomRecon 使用由 Google 的 Agent Development Kit (ADK) 驱动的完全自主多代理架构。

核心组件

高级编排代理（gemini-1.5-pro-latest）

• 自主决策与战略规划
• 动态选择要调用的专业代理
• 根据发现进行迭代（无固定顺序）
• 以完全自主的方式执行全面安全审计

专业化安全代理

• 侦察代理：端口扫描、DNS 枚举、服务检测
• Web 安全专家：XSS、CSRF、SSRF、路径遍历、开放重定向
• SQL 注入专家：覆盖主要数据库的所有 SQL 注入技术
• SSH/网络专家：SSH 安全审计、网络服务测试
• 认证专家：认证绕过、会话安全、权限提升
• 规划代理：根据发现进行战略攻击规划
• 报告代理：全面安全报告生成

自主运行

编排代理的运作方式类似于高级渗透测试人员：

1. 接受目标域名/IP
2. 规划侦察策略
3. 分析发现并识别攻击面
4. 根据发现动态调用专业代理
5. 随着新信息的出现进行迭代并调整方法
6. 生成全面的安全审计报告

主要特性：

• 无固定工作流 - 编排代理决定策略
• 并行代理执行以提高效率
• 对已发现漏洞进行迭代式深入分析
• 基于目标特征的适应性方法
• 从目标输入到最终报告完全自主

技术细节

• 通过 context.session.state（ADK 会话）进行状态管理
• 并行侦察并实时可视化进度（Rich 库）
• 带超时的异步命令执行（executor_fix.py）
• 可配置的扫描参数（用于 Nmap 等的环境变量）

使用方法

通过 CLI 运行（推荐）：

python -m phantomrecon --target <domain|ip> --auto

交互式控制台：

python -m phantomrecon

可选的 ADK 运行器：

adk run phantomrecon -- --target <domain|ip> --auto