自动化侦察，把时间留给真正需要黑客技能的部分

想想一次安全评估真正是如何开始的。你收集目标公开信息，发现其主机，枚举端口并识别背后的服务。然后针对每个服务运行更具体的工具，扫描已知漏洞并查找公开的利用程序。几乎每次都是同样的流程，需要花费数小时盯着终端，等待执行完成，并将结果从一个工具复制到下一个工具，而这些都不是你的技能真正发挥作用的部分。

Rekono 替你完成这些工作。你定义目标，它会自行串联黑客工具，一个工具发现的内容会成为下一个工具的输入。因此，发现的端口由合适的工具扫描，检测到的技术会检查已知漏洞，漏洞会与公开的漏洞利用数据库进行匹配。所有内容汇聚在一处，去重后关联到其所在的主机和端口，并补充你原本需要手动查阅的信息。

它是一个平台，而非脚本。为你的项目提供项目管理，为团队提供角色权限，记录你的思考笔记，支持协作式分类，自动解决发现项，提供指标，为交付物生成报告，并支持定时或重复扫描以持续监控攻击面。

最重要的是，你无需守在它面前等待。一旦有值得关注的内容出现，Rekono 会通过电子邮件或 Telegram 通知你，因此当你坐下来时，攻击面已经完成映射、排序并充满线索。

快速开始

docker compose up -d --scale executions-worker=5

访问 https://127.0.0.1 并使用 rekono:rekono 登录。首次登录后请立即更改该密码

从 Rekono 1.x 升级？请先阅读升级指南。数据库迁移会自动运行，但有一些事项你需要了解

功能特性

• 渗透测试流程：Rekono 自行运行完整的评估流程，串联各类工具，使一个工具发现的内容立即被下一个工具攻击。构建一次你的方法论，即可一键针对任何目标启动。
• 统一的攻击面，而非原始输出堆砌：三个不同工具报告的同一发现项在 Rekono 中仅显示为一条，并关联到其被发现的主机、端口或技术。你获得的是目标暴露面的清晰清单，而非每次执行的原始输出。
• 漏洞管理：确认真实漏洞并一劳永逸地排除误报。不要浪费时间处理已消失的发现项，Rekono 会在执行停止检测到它们时自动标记为已修复，若其再次出现则会保留你的判定结果恢复，并记录其暴露时长。
• 带上下文的漏洞：每个发现的 CVE 都会补充安全社区已知的相关信息，让你无需打开任何浏览器标签页即可判断其严重程度、被利用的可能性以及修复方法。优先级排序自然完成。
• 触达你的警报：告诉 Rekono 你在寻找什么，它会在目标出现的第一时间通知你，无论你身在何处，无需守在平台前等待。
• 讲述故事的指标：查看项目的暴露程度、风险集中位置以及随时间的变化趋势。
• 可直接交付的报告：使用你自己的模板，在数秒内将整个评估转化为交付物，跳过这项无人喜欢的环节。
• 面向整个团队的笔记：记录你的发现和后续计划，并与团队成员共享，避免重复已完成的工作，确保所有人基于相同的信息协作。
• 自定义扫描：决定每次扫描的激进程度，通过你自己的代理发送请求，并为工具提供目标期望的请求头和凭据。
• 随时随地开展测试：Telegram 机器人可启动扫描并将发现结果直接发送到你的手机；如果你需要自动化之上的自动化，Rekono 的所有功能均可通过一次 API 调用实现。

黑客工具

Rekono 支持执行 19 种黑客工具：

• OSINT： theHarvester、EmailHarvester
• 主机、端口和服务枚举：Nmap
• 枚举：Dirsearch、Gobuster
• SSL 和 TLS：Sslscan、SSLyze
• 暴露的机密信息：GitLeaks
• SSH：SSH Audit
• SMB：SMBMap
• Web：Log4j Scan、Spring4Shell Scan、CMSeeK、OWASP JoomScan、OWASP ZAP、Nikto
• 漏洞扫描器：Nuclei
• 漏洞利用：SearchSploit、Metasploit

集成

如果 黑客工具 检测到的发现项无法从外部来源补充信息，或无法在正确的时间分享给正确的人，那么它们就毫无价值。因此，Rekono 支持多种集成：

参与贡献

加入我们的社区 Discord，并在 上关注我们。

Rekono 是一个开源项目，仅由一位维护者在业余时间维护，且没有外部资金支持。你可以通过 Ko-fi 或 Buy me a Coffee 支持该项目或感谢我们的工作。

Rekono 欢迎建议和改进，请随时创建 issue 或为项目贡献精彩内容。请查看我们的 CONTRIBUTING 指南

想了解更多？Rekono 这个名字源自世界语，意为 侦察

许可证

Rekono 根据 GNU 通用公共许可证第 3 版 授权

免责声明

Rekono 仅用于授权的安全测试、教育和研究，因此你必须获得明确许可才能测试添加到其中的每个目标。你需对项目的使用负全部责任，其作者、维护者和贡献者按现状提供该项目，不提供任何形式的担保，且不对因滥用而产生的任何损害或法律后果承担责任。