基于道德的 WordPress 漏洞扫描器——实时 CVE 关联、OWASP 映射、AI 驱动分析，以及基于同意的测试。

快速开始 · 文档 · Docker · AI 功能 · 在 GitHub 上点赞

实战演示

_{实时扫描 · WordPress 6.0.3 · 检测到 49 个 CVE · 18 个发现 · 耗时 47s}

_{扫描概览 · 严重等级分布}

_{发现项 · CVE/OWASP 徽章 · 过滤栏}

🎯 Argus 是什么？

Argus 是一款可直接上线的 WordPress 安全扫描器，以道德为首。专为渗透测试人员、安全研究员和 WordPress 管理员设计，它将传统漏洞扫描与尖端 AI 分析相结合，提供可操作的洞见。

为什么选择 Argus？

🔒 道德设计：同意令牌系统防止未经授权扫描
🔍 真实 CVE 数据：与 WPVulnerability.net 实时关联 + NVD 的 CVSS 评分（均免费，无需密钥）
🗂️ OWASP 映射：每个发现项均映射至 OWASP Top 10 2021
📈 扫描差异对比：--diff last 比较前后扫描，追踪修复进度
🤖 AI 驱动：支持 GPT-4、Claude 或本地 Ollama——包含流式输出、代理模式和多 LLM 对比
📊 专业报告：富 HTML 报告（含 CVE/CWE/OWASP/CVSS 徽章）+ 机器可读 JSON
🚀 快速高效：并发扫描并带有智能速率限制
💾 持久追踪：SQLite 数据库存储扫描历史
🐳 Docker 就绪：容器化扫描 + 包含脆弱测试环境

扫描内容

✨ 功能特性

🛡️ 核心安全扫描```bash

One command, comprehensive analysis

python -m argus --target https://example.com --html

- **多方法指纹识别**：零误报检测 WordPress 4.x-6.x
- **实时 CVE 关联**：将每个检测到的插件、主题和核心版本与 WPVulnerability.net 进行比对（免费，无需 API 密钥）
- **CVSS 评分**：从 NVD 获取每个 CVE 的评分（严重 ≥9.0，高危 ≥7.0，中危 ≥4.0）
- **最新版本检测**：WordPress.org API 显示当前稳定版本，同时显示检测到的版本
- **OWASP Top 10 2021**：每个发现映射到对应的 OWASP 类别（A01–A10）
- **并发扫描**：线程池 + 速率限制，实现快速且礼貌的扫描
- **智能检测**：非 WordPress 站点提前中止（拒绝速度提升 99%）
- **证据收集**：保留 HTTP 响应、标头和文件内容

### 📈 扫描差异报告（v0.2.0）

跟踪扫描之间的修复进度：```bash
# Compare this scan against the previous one
python -m argus --target https://example.com --html --diff last

# Or reference a specific scan ID
python -m argus --target https://example.com --html --diff 42

d i f f 部分显示：

新增发现（自上次扫描出现） — 红色
已修复 发现（自上次扫描已修复） — 绿色带删除线
持续发现（两次扫描均存在） — 默认折叠
模式不匹配警告 当比较安全扫描与激进扫描时

🤖 人工智能分析

根据您的需求选择 AI 提供商：

分析模式：

技术型：提供包含 WP-CLI 命令和配置片段的分步修复指导
管理层：面向利益相关者和管理层的简明语言摘要
智能代理 (--ai-agent)：结合 NVD CVE 实时数据与 WPVulnerability.net 查询（免费 API）
对比 (--ai-compare)：来自多个提供商的并行并列分析
流式 (--ai-stream)：AI 生成时的实时令牌输出
预算控制 (--ai-budget)：带有可配置中止阈值的成本上限执行

📊 专业报告

JSON 报告（机器可读）```json { "tool": "argus", "version": "0.2.0", "target": "https://example.com", "summary": {"critical": 3, "high": 5, "medium": 8, "low": 6, "info": 5}, "findings": [ { "id": "ARGUS-WP-012", "title": "Vulnerable plugin: elementor v3.5.0 (31 CVEs)", "severity": "critical", "owasp": {"id": "A06", "name": "Vulnerable and Outdated Components"}, "latest_version": "3.28.1", "cve": ["CVE-2022-1329", "CVE-2022-29455"], "vulnerabilities": [ {"title": "Elementor < 3.4.8 — Authenticated RCE", "cvss": 8.8, "cve_id": "CVE-2022-1329"} ] } ], "diff": {"ref_scan_id": 41, "new": [...], "fixed": [...], "persisting": [...]} }

**HTML 报告**（用户友好版，v0.2.0）

- 🎨 响应式设计，内联 CSS（无外部依赖）
- 🏷️ 颜色编码的严重性徽章 + 交互式筛选条
- 🔴 链接到 NVD 的 CVE 徽章，紫色 CWE 徽章（去重）
- 🟣 每项发现附 OWASP Top 10 2021 徽章
- 🟢 易受攻击组件的最新稳定版本徽章
- 📊 每个 CVE 的颜色编码 CVSS 评分徽章（红/橙/黄/绿）
- 📝 可展开的 CVE 详情面板，可展开的建议
- 🔧 安全标头配置片段（Apache / Nginx / WordPress）
- 📈 差异部分（新增/修复/持续存在），带模式不匹配警告
- 🤖 AI 分析，包含标签页（高管 / 技术 / 代理）
- 📱 移动端友好

### 🔐 同意令牌系统

Argus 通过技术强制执行道德黑客行为。主动扫描和 AI 分析需要**所有权证明**：```bash
# 1. Generate token
python -m argus --gen-consent example.com

# 2. Place token on your server
echo "verify-abc123..." > .well-known/verify-abc123.txt

# 3. Verify ownership
python -m argus --verify-consent http --domain example.com --token verify-abc123

# 4. Now you can use aggressive mode
python -m argus --target https://example.com --aggressive --use-ai

💾 数据库持久化

SQLite 数据库跟踪所有内容：

扫描历史: 日期、耗时、发现数量、严重程度分布
发现仓库: 可搜索的漏洞数据库，带有 finding_code 索引
已验证域名: 含过期时间的同意令牌跟踪
AI 成本记录: 按分析的成本跟踪，使用 ai_costs 表 (v0.2.0+)
差异基础: 每次扫描持久化的发现结果支持 --diff 比较```bash

Query recent scans

sqlite3 ~/.argos/argos.db "SELECT * FROM v_recent_scans LIMIT 10"

Find critical issues

sqlite3 ~/.argos/argos.db "SELECT * FROM v_critical_findings"

---

## 🚀 快速开始

### 前提条件

- **Python 3.11+** (推荐 3.12)
- **pip** (Python 包管理器)
- **Docker** (可选，用于容器化扫描)

### 安装

**1. 克隆仓库**```bash
git clone https://github.com/rodhnin/argus-wp-watcher.git
cd argus-wp-watcher

2. (可选) 安装 venv（如果尚未安装）```bash

Debian/Ubuntu

sudo apt update && sudo apt install -y python3-venv

Fedora/RHEL

sudo dnf install python3-virtualenv

macOS (via Homebrew)

brew install [email protected]

**3. 创建并激活虚拟环境**```bash
python3 -m venv .venv
source .venv/bin/activate
# You should see (.venv) in your terminal prompt

4. 升级 pip```bash python -m pip install --upgrade pip

**5. 安装依赖项**```bash
python -m pip install -r requirements.txt

6. 配置API密钥（如果使用云AI）```bash

OpenAI

export OPENAI_API_KEY="sk-..."

Anthropic

export ANTHROPIC_API_KEY="sk-ant-..."

**7. 验证安装**```bash
python -m argus --version
# Output: Argus v0.2.0

你的第一次扫描```bash

python -m argus --target https://example.com

With HTML report

python -m argus --target https://example.com --html

python -m argus --target https://example.com --use-ai --html

**🎉 成功！** 查看 `~/.argos/reports/` 中的报告。

---

## 📘 使用指南

### 基本扫描```bash
# Safe mode (default) - Non-intrusive checks
python -m argus --target https://example.com

# Generate HTML report
python -m argus --target https://example.com --html

# Increase verbosity for debugging
python -m argus --target https://example.com -vv

高级扫描```bash

Control scan speed (1-20 req/s)

python -m argus --target https://example.com --rate 10

Control concurrency (1-20 threads)

python -m argus --target https://example.com --threads 8

Custom timeout

python -m argus --target https://example.com --timeout 60

Custom output directory

python -m argus --target https://example.com --report-dir ./my-reports

### AI驱动分析

**步骤1：设置您的API密钥**```bash
export OPENAI_API_KEY="sk-..."

步骤 2：测试你的设置```bash

Verify AI works with default model (gpt-4o-mini-2024-07-18)

python -m argus.core.ai openai

**步骤 3：运行 AI 驱动的扫描**```bash
# Both analyses in one scan (~$0.006 with default model)
python -m argus --target https://example.com --use-ai --html

# Technical only (for security teams)
python -m argus --target https://example.com --use-ai --ai-tone technical --html

# Executive only (for management)
python -m argus --target https://example.com --use-ai --ai-tone non_technical --html

# Override model or provider at runtime
python -m argus --target https://example.com --use-ai --ai-model gpt-4o --html
python -m argus --target https://example.com --use-ai --ai-provider anthropic --html

# Stream output in real time
python -m argus --target https://example.com --use-ai --ai-stream

# Agent mode with NVD CVE lookup (free)
python -m argus --target https://example.com --use-ai --ai-agent --html

# Compare two providers side by side
python -m argus --target https://example.com \
  --use-ai --ai-compare openai,anthropic --html

# Budget cap ($0.05 max)
python -m argus --target https://example.com --use-ai --ai-budget 0.05

激进模式 (需要同意)```bash

python -m argus --gen-consent example.com

Output: Token: verify-a3f9b2c1d8e4...

Step 2: Place token on your server

Create: https://example.com/.well-known/verify-a3f9b2c1d8e4.txt

Content: verify-a3f9b2c1d8e4

python -m argus --verify-consent http
--domain example.com
--token verify-a3f9b2c1d8e4

Step 4: Run aggressive scan

python -m argus --target https://example.com --aggressive

---

## 🤖 人工智能驱动的分析

Argus 使用 **LangChain 1.0.0**，支持多种 AI 提供商，让您可以根据安全性、隐私性和预算需求灵活选择。

### 支持的提供商

#### OpenAI GPT-4 Turbo

**最佳适用场景：生产环境**

- ⭐ 质量：优秀 (5/5)
- ⚡ 速度：约35秒
- 💰 成本：每次扫描约$0.25
- 🔒 隐私：标准（传输中数据加密）```bash
export OPENAI_API_KEY="sk-..."
python -m pip install langchain-openai==1.0.0

Anthropic Claude

最适合：增强隐私

⭐ 质量：优秀 (5/5)
⚡ 速度：约45秒
💰 成本：约0.30美元/次扫描
🔒 隐私：增强（Anthropic的隐私优先方法）```bash export ANTHROPIC_API_KEY="sk-ant-..." python -m pip install langchain-anthropic==1.0.0

#### Ollama（本地模型）

**最适合：完全隐私**

- ⭐ 质量：良好（3/5）
- 🐢 速度：约28分钟（CPU）或75秒（GPU）
- 💰 成本：免费
- 🔐 隐私：100%离线（数据永不离开你的机器）```bash
# Install Ollama: https://ollama.ai
ollama pull llama3.2
python -m pip install "langchain-ollama>=0.3.0,<0.4.0"

隐私与安全

自动清理 在向 AI 提供商发送数据前，Argus 会自动移除：

✅ 授权令牌
✅ API 密钥与凭证
✅ 个人可识别信息（PII）
✅ 内部 IP 地址
✅ 数据库凭证

仅限主动选择

AI 分析需要使用 --use-ai 显式标志
激进扫描需要验证过的授权令牌
您控制哪些提供商可以查看您的数据

最大隐私保护方案 在本地使用 Ollama。虽然速度较慢且准确度较低，但您的扫描数据绝不会离开您的设备。

切换提供商

选项 A — CLI 标志（运行时覆盖，无需修改文件）```bash

Switch to Anthropic for this scan only

python -m argus --target https://example.com --use-ai --ai-provider anthropic --ai-model claude-3-5-haiku-20241022

Switch to local Ollama

python -m argus --target https://example.com --use-ai --ai-provider ollama --ai-model llama3.2

**选项B — `config/defaults.yaml`（更改持久默认值）**```yaml
ai:
    langchain:
        provider: "ollama" # Changed from "openai"
        model: "llama3.2" # Ollama model
        ollama_base_url: "http://localhost:11434"

即将在 v0.3.0 中推出： 交互式配置菜单（Metasploit 风格）```bash

Future feature

argus --show-options argus --set ai.provider=anthropic argus --save-profile privacy-mode

---

## 🧪 安全测试实验室

**⚠️ 未经书面许可，切勿扫描生产站点！**

使用我们的Docker实验室安全练习：

### 设置测试环境```bash
# Navigate to docker directory
cd docker

# Option 1: Use interactive script
./deploy.sh
# Select option 2 (Testing Lab)

# Option 2: Manual deployment
docker compose -f compose.testing.yml up -d

# Wait for services to start (~60-90 seconds)
docker compose -f compose.testing.yml logs -f wordpress

# Setup WordPress
# Open http://localhost:8080 in your browser
# Complete WordPress installation
# Username: admin
# Password: (choose a strong password)

# Create vulnerable conditions for testing
docker compose -f compose.testing.yml exec wordpress bash -c \
  "cp /var/www/html/wp-config.php /var/www/html/wp-config.php.bak"

扫描实验室```bash

Return to project root

cd ..

Run scan against lab

python -m argus --target http://localhost:8080 --html

Try AI analysis (requires API key)

python -m argus --target http://localhost:8080 --use-ai --html

### 清理```bash
cd docker
docker compose -f compose.testing.yml down -v  # -v removes all data

For detailed testing scenarios, see docs/TESTING_GUIDE.md

🔒 伦理与法律

黄金法则

仅扫描您拥有或获得明确书面许可进行测试的系统。

同意强制执行

Argus 实施了技术控制以防止滥用：

法律框架

未经授权访问计算机系统在大多数司法管辖区是非法的：

🇺🇸 美国：计算机欺诈与滥用法案 (CFAA)
🇬🇧 英国：计算机滥用法案 1990 年
🇪🇺 欧盟：指令 2013/40/EU
🌍 国际：各项网络犯罪法律

最佳实践

✅ 获得书面授权再进行扫描
✅ 明确界定范围（哪些域名/IP）
✅ 记录所有内容（同意书、发现、修复）
✅ 先使用安全模式建立基线
✅ 负责任地报告发现（协调披露）
❌ 切勿利用漏洞，除非获得明确许可
❌ 切勿扫描第三方网站（例如 wordpress.org、google.com）

如需完整的伦理指南，请参阅 docs/ETHICS.md

🐳 Docker 部署

Argus 通过交互式脚本提供三种部署模式：

生产环境：仅扫描器（用于扫描外部站点）
测试实验室：仅易受攻击的 WordPress（用于安全测试）
同时部署：生产扫描器 + 测试实验室一起

快速开始（推荐）

使用交互式部署脚本：```bash cd docker ./deploy.sh

**菜单选项：**

- `1` → 仅生产扫描器
- `2` → 仅测试实验室（WordPress + MariaDB）
- `3` → 两个环境都启动
- `4` → 停止所有服务
- `5` → 移除所有容器和数据（重置）

---

### 选项 1：生产扫描器

仅部署 Argus 扫描器用于扫描外部 WordPress 网站：```bash
cd docker
./deploy.sh
# Select option 1

或者手动：```bash docker compose up -d

**扫描目标:**```bash
docker compose exec argus python -m argus --target https://example.com

使用AI分析：```bash docker compose exec argus python -m argus --target https://example.com --use-ai

**停止：**```bash
docker compose down

选项 2：测试实验室（仅限 WordPress）

⚠️ 警告：此环境故意存在漏洞，仅用于测试目的。 请勿暴露到公共互联网！

部署测试实验室：```bash cd docker ./deploy.sh

Select option 2

**或者手动：**```bash
docker compose -f compose.testing.yml up -d

部署内容：

✅ MariaDB 数据库（用于 WordPress）
✅ WordPress 6.0（故意设置为易受攻击版本）
❌ Argus 扫描器（此模式下不包含）

访问方式：

WordPress：http://localhost:8080（仅绑定 127.0.0.1）
初始设置大约需要 60–90 秒

扫描测试环境：```bash

Scan from HOST (recommended)

python -m argus --target http://localhost:8080

Note: Scanner container is NOT deployed in option 2

To scan from container, use option 3 (Both)

**停止并移除：**```bash
docker compose -f compose.testing.yml down -v

选项3：两个环境

同时部署生产扫描器与测试实验室：```bash cd docker ./deploy.sh

Select option 3

**部署的内容：**

- ✅ 生产环境 Argus 扫描器
- ✅ MariaDB 数据库
- ✅ WordPress 6.0（存在漏洞）
- ✅ 生产环境扫描器与测试网络之间的连接

**从生产环境扫描器扫描外部站点：**```bash
docker compose exec argus python -m argus --target https://example.com

从生产扫描器扫描测试实验室：```bash docker compose exec argus python -m argus --target http://wordpress

**全部停止:**```bash
cd docker
./deploy.sh
# Select option 4

📊 理解报告

报告结构```

~/.argos/ ├── reports/ │ ├── argus_report_example_20251020_143022.json # Machine-readable │ └── argus_report_example_20251020_143022.html # Human-friendly ├── argos.db # SQLite database └── logs/ └── argus.log # Scan logs

### JSON 报告模式```json
{
    "tool": "argus",
    "version": "0.2.0",
    "target": "https://example-wp-site.com",
    "date": "2026-04-15T18:45:30Z",
    "mode": "safe",
    "summary": {
        "critical": 1,
        "high": 2,
        "medium": 4,
        "low": 3,
        "info": 5
    },
    "findings": [
        {
            "id": "ARGUS-WP-012",
            "title": "Vulnerable plugin: contact-form-7 v5.3.1 (6 CVEs)",
            "severity": "critical",
            "confidence": "high",
            "owasp": { "id": "A06", "name": "Vulnerable and Outdated Components" },
            "latest_version": "5.9.8",
            "cve": ["CVE-2021-39346", "CVE-2020-35489"],
            "vulnerabilities": [
                {
                    "title": "Contact Form 7 < 5.3.2 — Unrestricted File Upload",
                    "cvss": 9.8,
                    "cve_id": "CVE-2020-35489",
                    "cwe": ["CWE-434"]
                }
            ],
            "description": "Plugin 'contact-form-7' v5.3.1 has 6 known CVEs. Highest CVSS: 9.8 (Critical).",
            "evidence": {
                "type": "path",
                "value": "https://example-wp-site.com/wp-content/plugins/contact-form-7/readme.txt",
                "context": "Version detected via readme.txt"
            },
            "recommendation": "Update contact-form-7 to 5.9.8 (latest stable). Immediate action required.",
            "affected_component": "contact-form-7 5.3.1"
        },
        {
            "id": "ARGUS-WP-030",
            "title": "wp-config.php backup exposed",
            "severity": "critical",
            "confidence": "high",
            "owasp": { "id": "A05", "name": "Security Misconfiguration" },
            "description": "WordPress configuration file backup is publicly accessible.",
            "evidence": {
                "type": "url",
                "value": "https://example-wp-site.com/wp-config.php.bak",
                "context": "HTTP 200, Size: 2847 bytes"
            },
            "recommendation": "Remove immediately and rotate all credentials.",
            "affected_component": "wp-config.php.bak"
        },
        {
            "id": "ARGUS-WP-050",
            "title": "Missing security header: HSTS",
            "severity": "medium",
            "confidence": "high",
            "owasp": { "id": "A02", "name": "Cryptographic Failures" },
            "description": "HSTS header is not set.",
            "evidence": {
                "type": "header",
                "value": "Strict-Transport-Security: [not set]",
                "context": "Header missing in HTTP response"
            },
            "recommendation": "Add: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload"
        }
    ],
    "diff": {
        "ref_scan_id": 41,
        "ref_date": "2026-04-10T10:00:00Z",
        "ref_mode": "safe",
        "current_mode": "safe",
        "mode_mismatch": false,
        "new": [{ "id": "ARGUS-WP-012", "title": "Vulnerable plugin: contact-form-7...", "severity": "critical" }],
        "fixed": [],
        "persisting": [{ "id": "ARGUS-WP-050", "title": "Missing security header: HSTS", "severity": "medium" }]
    },
    "notes": {
        "scan_duration_seconds": 26.4,
        "requests_sent": 312,
        "rate_limit_applied": true,
        "scope_limitations": "Scan limited to publicly accessible pages.",
        "false_positive_disclaimer": "Manual verification recommended before remediation."
    }
}

有关完整的模式引用，请参阅 docs/REPORT_FORMAT.md 和 schema/report.schema.json。

HTML 报告特性 (v0.2.0)

📊 管理仪表板：摘要卡片，包含严重性计数 + 交互式筛选栏
🟣 每个发现的 OWASP Top 10 2021 徽章（链接到 owasp.org）
🔴 CVE 徽章，链接到 NVD，带可展开的详细信息面板
🟠 CVSS 得分徽章，按 CVE 颜色编码（严重 ≥9.0，高 ≥7.0，中 ≥4.0）
🟤 CWE 徽章（去重）每个发现
🟢 过时组件的最新稳定版本徽章
📈 差异部分：新增/修复/持续存在的发现表格，带模式不匹配警告
🤖 AI 分析：执行、技术和代理分析的标签页
🔧 配置片段：Apache / Nginx / WordPress 加固代码块
📝 可展开的建议和证据部分
📱 移动友好：内联 CSS（无外部依赖）

📁 项目结构```

argus-wp-watcher/ │ ├── argus/ # Main application package │ ├── checks/ # Security check modules │ │ ├── config.py # Configuration auditing (XML-RPC, debug, editor) │ │ ├── crawl.py # Web crawl checks (robots, sitemap, comments) [v0.2.0] │ │ ├── files.py # Sensitive file detection (74 safe / 437 aggressive paths) │ │ ├── fingerprint.py # WordPress detection + CVE check for core │ │ ├── headers.py # Security headers analysis │ │ ├── login.py # Login security checks (2FA, CAPTCHA, brute-force) [v0.2.0] │ │ ├── plugins.py # Plugin/theme enumeration + CVE correlation [v0.2.0] │ │ └── users.py # User enumeration │ │ │ ├── core/ # Core infrastructure │ │ ├── ai.py # AI integration (LangChain, streaming, agent, compare) │ │ ├── config.py # Configuration management │ │ ├── consent.py # Consent token system │ │ ├── db.py # SQLite database interface │ │ ├── diff.py # Scan diff computation (new/fixed/persisting) [v0.2.0] │ │ ├── http_client.py # Rate-limited HTTP client │ │ ├── logging.py # Structured logging │ │ ├── owasp.py # OWASP Top 10 2021 mapping for all finding IDs [v0.2.0] │ │ ├── report.py # Report generation (JSON + HTML) │ │ └── vuln_db.py # CVE lookup (WPVulnerability.net + NVD) [v0.2.0] │ │ │ ├── main.py # Entry point │ ├── cli.py # CLI argument parser │ └── scanner.py # Main scan orchestrator │ ├── config/ # Configuration files │ ├── defaults.yaml # Default settings │ └── prompts/ # AI prompt templates │ ├── technical.txt # Technical analysis prompt │ └── non_technical.txt # Executive summary prompt │ ├── db/ │ └── migrate.sql # Database schema │ ├── assets/ │ └── ascii.txt # ASCII art branding │ ├── docker/ # Docker deployment │ ├── compose.yml # Production scanner compose │ ├── compose.testing.yml # Vulnerable WordPress lab │ ├── deploy.sh # Interactive deployment script │ ├── setup-lab.sh # Automated vulnerable lab setup [v0.2.0] │ └── Dockerfile # Production image │ ├── docs/ # Documentation │ ├── AI_INTEGRATION.md # AI setup guide │ ├── CONSENT.md # Consent system details │ ├── DATABASE_GUIDE.md # Database reference │ ├── ETHICS.md # Ethical guidelines │ ├── REPORT_FORMAT.md # Report specification │ ├── ROADMAP.md # Development roadmap │ └── TESTING_GUIDE.md # Safe testing practices │ ├── schema/ │ └── report.schema.json # JSON report schema │ ├── scripts/ │ └── cli-examples.md # CLI usage examples │ ├── templates/ │ └── report.html.j2 # HTML report template │ ├── CHANGELOG.md # Version history ├── LICENSE # MIT License ├── README.md # This file ├── requirements.txt # Python dependencies └── setup.py # Package installer

---

## 🗺️ 路线图

### v0.1.0 — 初始发布 ✅ (2025年11月)

**状态:** 🎉 **已发布**

- ✅ 完整的WordPress安全扫描器（130+项检查）
- ✅ AI驱动分析（OpenAI, Anthropic, Ollama）
- ✅ 同意令牌系统（HTTP + DNS验证）
- ✅ 专业报告生成（JSON + HTML）
- ✅ SQLite持久化存储和扫描历史
- ✅ Docker支持，含易受攻击的实验室环境
- ✅ 全面的错误处理与弹性

### v0.2.0 — 增强检测与AI ✅ (2026年5月)

**状态:** 🎉 **已发布**

- ✅ **插件版本检测**：4种方法级联（HTML ?ver=, readme.txt, changelog, PHP header）
- ✅ **实时CVE关联**：WPVulnerability.net（免费，无需密钥），用于插件、主题、WordPress核心
- ✅ **CVSS评分**：NVD API — 每个CVE的颜色编码严重/高/中/低标签
- ✅ **最新版本**：WordPress.org API显示当前稳定版本与检测到的版本
- ✅ **OWASP Top 10 2021映射**：每项发现映射到A01–A10，并在HTML报告中显示标签
- ✅ **增强的HTML报告**：CVE/CWE/OWASP/CVSS标签、筛选栏、配置片段、可展开面板
- ✅ **扫描差异报告**：`--diff last` / `--diff ID`，包含新增/已修复/持续存在的项目，以及模式不匹配警告
- ✅ **激进模式**：447个插件、437个路径、登录安全（2FA/CAPTCHA/暴力破解）、网页爬取
- ✅ **AI成本追踪**：预算执行、`~/.argos/costs.json`、数据库成本记录（`ai_costs`表）
- ✅ **AI流式输出**：`--ai-stream` 用于实时令牌输出
- ✅ **多LLM对比**：`--ai-compare openai,anthropic` — 并排并行分析
- ✅ **AI代理**：`--ai-agent` 实时调用NVD + WPVulnerability.net工具

### v0.3.0 — 企业级功能 (2026年第三季度)

**重点:** 易用性、扩展性、交互式AI

- 🔜 **交互式配置管理**：Metasploit风格界面（`--show-options`, `--set`）
- 🔜 **数据库CLI**：无需SQL（`argus db scans list`, `argus db findings search`）
- 🔜 **多站点扫描**：从文件批量处理
- 🔜 **AI聊天界面**：对话式漏洞分析
- 🔜 **CI/CD集成**：GitHub Actions, Jenkins, GitLab模板
- 🔜 **REST API服务器**：基于FastAPI的自动化API

**计划中的改进：**

- 交互式配置（`--set`, `--show-options`）用于动态切换提供商
- 阶段完成跟踪和进度指示器
- 数据库CLI管理（无需SQL）

### v0.4.0 — 智能与自动化 (2027年第一季度)

**重点:** 机器学习、自动化、高级AI

- 🔜 **自动修复**：WP-CLI集成，用于自动修复
- 🔜 **基于机器学习的检测**：异常检测、误报减少
- 🔜 **分布式扫描**：工作节点用于大规模操作
- 🔜 **高级AI代理**：自主扫描规划、漏洞利用生成

### 专业版轨道

**面向企业的商业产品**

**进行中**

有关详细功能描述，请参阅 [ROADMAP.md](https://github.com/rodhnin/argus-wp-watcher/blob/HEAD/ROADMAP.md)

---

## 🤝 贡献指南

我们欢迎贡献！无论是：

- 🐛 错误报告
- 💡 功能请求
- 📝 文档改进
- 🔧 代码贡献

### 如何贡献

1. **Fork 仓库**
2. **创建功能分支** (`git checkout -b feature/amazing-feature`)
3. **进行更改**
4. **编写/更新测试** (适用时)
5. **提交更改** (`git commit -m 'Add amazing feature'`)
6. **推送到分支** (`git push origin feature/amazing-feature`)
7. **打开拉取请求**

### 开发环境设置```bash
# Clone your fork
git clone https://github.com/YOUR-USERNAME/argus-wp-watcher.git
cd argus-wp-watcher

# Install development dependencies
python -m pip install -r requirements.txt
python -m pip install pytest black flake8 mypy

# Run code formatting
black argus/

# Run linting
flake8 argus/
mypy argus/

# Run tests (when available)
pytest tests/

报告问题

发现了一个Bug？有功能需求？

提交Issue：https://github.com/rodhnin/argus-wp-watcher/issues

请包含以下信息：

Argus 版本（python -m argus --version）
Python 版本（python --version）
操作系统
复现步骤（针对Bug）
预期行为与实际行为

📚 文档

详细文档位于 docs/ 目录中：

快速链接

变更日志：CHANGELOG.md
许可证：LICENSE
CLI示例：scripts/cli-examples.md

⚖️ 许可证

本项目采用 MIT 许可证 - 详见 LICENSE 文件。``` MIT License

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.

---

## ⚠️ 免责声明

**重要提醒：** 本工具仅限 **授权安全测试** 使用。

### 法律声明

使用 Argus，即表示您确认并同意：

1. ✅ 您将仅扫描您拥有或获得 **明确书面许可** 的系统
2. ✅ 您将 **遵守所有适用法律** 及法规
3. ✅ 您理解 **未经授权的访问属于违法行为**（CFAA、计算机滥用法案等）
4. ✅ 作者与贡献者 **不对任何滥用行为承担责任**
5. ✅ 本软件 **“按原样”提供，不做任何形式的担保**

### 负责任的披露

如果您使用 Argus 发现漏洞：

- 📧 首先私下联系网站所有者
- ⏰ 给予合理的修复时间（通常为 90 天）
- 🤝 协调公开披露的时间线
- 📝 专业地记录您的发现

### 如有疑问

**不要扫描。** 如果不确定自己是否有权限，很可能没有。

---

## 🙏 致谢

Argus 站在巨人的肩膀上：

- **WordPress.org** — 安全团队，提供文档与最佳实践
- **WPScan** — 漏洞研究与数据库
- **OWASP** — 安全标准（Top 10、测试指南）
- **LangChain** — 驱动智能分析的人工智能框架
- **Anthropic & OpenAI** — 用于漏洞分析的人工智能模型
- **Ollama** — 面向隐私扫描的本地 AI 推理
- **Python 社区** — 出色的库与工具

特别感谢所有践行并推广道德黑客行为的安全研究员。

---

## 👤 作者

**Rodney Dhavid Jimenez Chacin (rodhnin)**

- 🌐 网站与联系方式：[rodhnin.com](https://rodhnin.com)
- 💼 GitHub：[@rodhnin](https://github.com/rodhnin)
- 🔗 项目：[argus-wp-watcher](https://github.com/rodhnin/argus-wp-watcher)

如有问题、反馈或合作咨询，请访问 [rodhnin.com](https://rodhnin.com) 联系我。

---

## 💬 社区

- **讨论**：[GitHub Discussions](https://github.com/rodhnin/argus-wp-watcher/discussions)
- **问题**：[GitHub Issues](https://github.com/rodhnin/argus-wp-watcher/issues)
- **发布**：[GitHub Releases](https://github.com/rodhnin/argus-wp-watcher/releases)

---

<div align="center">

**为全球道德黑客和 WordPress 管理员倾心打造**

⭐ 如果觉得有用，请给仓库点个 **Star**！⭐

[报告 Bug](https://github.com/rodhnin/argus-wp-watcher/issues) • [请求功能](https://github.com/rodhnin/argus-wp-watcher/issues) • [文档](https://github.com/rodhnin/argus-wp-watcher/blob/HEAD/docs/)

---

_Argus v0.2.0 — 2026年5月_

</div>

WordPress 检测	✅	✅	通过 meta 标签、readme、RSS、资产进行版本指纹识别
插件与主题	100 个插件	447 个插件	版本检测（4 种方法）+ 实时 CVE/CVSS 关联
敏感文件	74 个路径	437 个路径	wp-config 备份、.env、SQL 导出文件、.git、调试日志、PHP 工具
用户枚举	3 种方法	6 种方法	作者 IDOR、REST API、HTML 解析 + oEmbed、登录错误、XML-RPC
安全头信息	✅	✅	HSTS、CSP、X-Frame-Options、Referrer-Policy、Permissions-Policy
错误配置	✅	✅	XML-RPC、调试模式、目录列表、文件编辑器
登录安全	❌	✅	双因素认证、CAPTCHA、暴力破解保护、开放注册、密码策略
网页爬取	❌	✅	robots.txt、sitemap.xml、HTML 注释、链接发现（深度 1）

OpenAI gpt-4o-mini (默认)	最佳性价比	⚡ ~40秒	💰 ~0.006美元	🔒 标准
OpenAI gpt-4o	生产级质量	⚡ ~40秒	💰 ~0.05美元	🔒 标准
Anthropic claude-3-5-haiku	注重隐私	⚡ ~55秒	💰 ~0.02美元	🔒 增强
Ollama (本地)	完全隐私	🐢 ~28分钟	💰 免费	🔐 100% 离线

安全	非侵入性	❌ 否	5 请求/秒
激进	深度扫描	✅ 是	10 请求/秒
AI 分析	漏洞分析	✅ 是	N/A

AI_INTEGRATION.md	完整AI设置指南（全部3个提供商）
CONSENT.md	同意令牌系统技术细节
DATABASE_GUIDE.md	SQLite模式、查询、管理
ETHICS.md	法律框架与道德指南
REPORT_FORMAT.md	JSON模式和HTML规范
TESTING_GUIDE.md	使用Docker实验室进行安全测试
ROADMAP.md	未来功能与开发计划

argus-wp-watcher

最受欢迎