在线炒股配资门户网-杠杆交易软件搜加杠网-【东方资本】,股票杠杆app,今日热股什么意思,预计下周一股市行情展望

提交需求
*
*

*
*
*
立即提交
點(diǎn)擊”立即提交”，表明我理解并同意 《美創(chuàng)科技隱私條款》

logo

    產(chǎn)品與服務(wù)
    解決方案
    技術(shù)支持
    合作發(fā)展
    關(guān)于美創(chuàng)
    申請(qǐng)?jiān)囉?/ul>
      Strix自動(dòng)滲透測試平臺(tái)搭建與使用
      發(fā)布時(shí)間：2025-12-22 閱讀次數(shù)： 1280 次
      01    Strix介紹

      Strix 是一款由OmniSecure公司開發(fā)的創(chuàng)新自動(dòng)化安全測試工具，其特點(diǎn)是“自主的人工智能代理，其行為就像真正的黑客一樣”。Strix具備開箱即用的完整黑客工具包、協(xié)作且可擴(kuò)展的代理團(tuán)隊(duì)、自主POC驗(yàn)證避免誤報(bào)、以開發(fā)者為中心的命令行界面、提供可操作的報(bào)告、提供自動(dòng)修復(fù)等核心功能。Strix除了支持開源私有化部署之外，還提供SaaS云平臺(tái)服務(wù)。Strix的核心能力如下圖所示


      02    Strix本地搭建


      Strix的官網(wǎng)地址為

      https://usestrix.com/


      其github代碼倉庫地址為

      https://github.com/usestrix/strix


      可以從上述途徑中獲取Strix的官方問題以及最新資訊

      Strix支持Linux、macOS 和 Windows 等平臺(tái)，且安裝比較簡單，可以使用腳本安裝或者pipx安裝兩種方式

      #腳本安裝
      curl -sSL https://strix.ai/install | bash
      #pipx安裝
      pipx install strix-agent


      或者直接下載編譯好的二進(jìn)制文件運(yùn)行即可

      https://github.com/usestrix/strix/releases


      配置大模型API，這里使用deepseek大模型

      export STRIX_LLM="deepseek/deepseek-chat"
      export LLM_API_KEY="sk-xxxxxx"



      配置好后既可以使用Strix進(jìn)行自動(dòng)化滲透了


      03   Strix自動(dòng)化滲透測試

      Strix支持本地代碼包、github倉庫、web應(yīng)用url三種掃描模式

      # 掃描本地代碼包
      strix --target ./app-directory
      # 掃描github倉庫
      strix --target https://github.com/org/repo
      # 掃描web url
      strix --target https://your-app.com


      首先來進(jìn)行最常規(guī)的web url掃描測試，這里用AI編寫了一個(gè)輕量級(jí)的靶場，包含XSS漏洞、SSRF漏洞、任意文件讀取漏洞、敏感信息泄露漏洞四種常見漏洞



      掃描命令為

      strix --target http://192.168.30.168:5000/
      #終端模式下需要啟用無頭模式
      strix -n --target http://192.168.30.168:5000/


      成功開始掃描的界面如下


      在經(jīng)過5小時(shí)的運(yùn)行后，仍未掃描完畢，工具提示發(fā)現(xiàn)2個(gè)漏洞（可能是因?yàn)镾trix服務(wù)器1C2G的配置過低，服務(wù)器性能監(jiān)控一直在提示out of memory）


      在dist/strix_runs/目錄下會(huì)生成結(jié)果報(bào)告，包含md格式的漏洞詳情和csv格式的漏洞匯總表



      漏洞結(jié)果如下，詳情中會(huì)提供成功利用的驗(yàn)證POC




      接下來測試Strix工具對(duì)代碼包的掃描能力，同樣是讓AI編寫一個(gè)具有SQL注入漏洞、反序列化漏洞、RCE漏洞、SSRF漏洞、XXE漏洞、越權(quán)漏洞、信息泄露漏洞的JavaWeb項(xiàng)目。



      掃描命令為

      ./strix -n --target /tmp/vulnerable-enterprise-app


      運(yùn)行2小時(shí)，掃描未完成，未找出任何漏洞




      而將代碼包用Trae進(jìn)行審計(jì)，不到5分鐘已經(jīng)審計(jì)出全部預(yù)設(shè)的漏洞...


      04   總結(jié)

      從掃描目標(biāo)URL的方式來說，發(fā)現(xiàn)Strix還是有一定的可取之處，在掃描日志中發(fā)現(xiàn)它會(huì)調(diào)用目錄爆破、SQLMAP等工具進(jìn)行掃描，也會(huì)根據(jù)參數(shù)特征進(jìn)行相應(yīng)的測試，結(jié)果報(bào)告內(nèi)容結(jié)構(gòu)完整，在服務(wù)器性能允許+忽略token成本的前提下，應(yīng)該可以獲得不錯(cuò)的掃描效果。而對(duì)于掃描代碼包進(jìn)行源代碼審計(jì)來說，Strix與Trae、Cursor等原生AI IDE來說，可能就不太有競爭力了。

      上一條：沒有了，看看其他的吧
      下一條：每周安全速遞3?? | 勒索軟件攻擊導(dǎo)致心理健康機(jī)構(gòu)超11萬人數(shù)據(jù)泄露
      免費(fèi)試用
      服務(wù)熱線

      馬上咨詢

      400-811-3777

      回到頂部