link17789016-jpg/strix-redteam-workbench

# Strix Red-Team Workbench **面向长期、证据驱动安全评估的 Strix 非官方增强快照。** [](pyproject.toml) [](LICENSE) [](https://github.com/link17789016-jpg/strix-redteam-workbench/actions/workflows/test.yml) 本仓库基于 [usestrix/strix](https://github.com/usestrix/strix) 修改，当前快照版本为 **1.2.26**。它不是 Strix 官方发行版，与 OmniSecure Inc.、Strix 官方团队不存在隶属、 授权或背书关系。上游版权与 Apache-2.0 许可保持不变，来源和主要修改见 [PROVENANCE.md](PROVENANCE.md) 与 [NOTICE](NOTICE)。 ## 版本定位 这个版本主要服务于需要持续数小时或更久的授权红队任务，目标不是“尽快生成更多发现”， 而是让发现、验证、影响确认、利用链扩展、清理和报告形成可复核闭环。 ### 相比上游重点强化 - **证据优先的漏洞闭环**：模型结论先作为候选项，独立验证和确定性质量门通过后才能进入 已确认报告，降低误报和不严谨结论。 - **长期任务与恢复能力**：持久化运行状态、写入租约、异常恢复、TUI follow-up 同步及 终态检查，减少长任务卡死、假完成和状态漂移。 - **多 Agent 收敛**：Root Agent 维护有界工作队列、限制重复派单和重复汇报，并围绕高价值 攻击面进行纵向深挖、侧向扩展和组合利用。 - **覆盖面与完成门**：资产、攻击面、身份状态、验证会话、原始证据和最终 Finding 之间保持 可追踪关联，未覆盖高价值面时不会轻易收口。 - **可复用测试资产**：测试账号、临时钱包和会话材料可写入本机加密资产库，并通过精确 origin、过期状态和审计记录控制复用。 - **红队操作体验**：中文输出偏好、严重性与评分展示、可点击操作队列、分页渲染及长时间 TUI 性能优化。 - **多目标 Web 工作流**：交互入口支持直接输入包含多个域名、URL、IP、仓库或本地路径的 明文任务；证据关联的侧资产可继续进入验证队列。 ## 快速开始 ### 前置条件 - Python 3.12+ - [uv](https://docs.astral.sh/uv/) - Docker Desktop 或 Docker Engine - 一个受支持的 LLM API 凭据 ### 1. 从本仓库安装源码环境 git clone https://github.com/link17789016-jpg/strix-redteam-workbench.git cd strix-redteam-workbench uv sync --frozen ### 2. 构建增强 Sandbox 当前默认镜像为本地 `strix-sandbox:1.2.14-extended`。首次运行前执行： ./scripts/docker_extended.sh 该脚本以 `ghcr.io/usestrix/strix-sandbox:1.0.0` 为基础镜像，在本机构建包含增强工具契约的 Sandbox。也可以通过 `STRIX_SANDBOX_BASE_IMAGE` 和 `STRIX_SANDBOX_IMAGE_REPOSITORY` 指定 经过批准的镜像来源。 ### 3. 配置模型 export STRIX_LLM="openai/gpt-5.4" export LLM_API_KEY="your-api-key" 如使用兼容 OpenAI 协议的中转，可额外配置 `LLM_API_BASE`。请不要把密钥写入仓库、任务说明 或报告文件。 默认源码环境不安装 Google Vertex AI 或 AWS Bedrock 的云厂商 SDK；当前 PyInstaller 独立二进制也明确排除了 Vertex 相关依赖。需要这些 Provider 时，请按 `docs/llm-providers/` 中的说明在源码环境额外安装依赖，不要假定独立二进制已包含它们。 ### 4. 启动 交互式长期任务： uv run strix 然后直接输入明文目标和要求，例如： 对 app.example.com、api.example.com 做长期 Web 安全评估；围绕认证、权限和业务逻辑深挖， 对有 DNS、证书、前端请求、重定向、来源配置或资产情报证据关联的侧资产继续验证。 命令行目标模式： uv run strix --target https://app.example.com uv run strix -t https://app.example.com -t https://api.example.com 默认交互入口按持久化 deep 任务运行。只有证据关联的侧资产才应进入活动验证；若需要固定 范围，请在任务说明中明确写出固定边界。 ## 可选 FOFA 资产情报 发现 Agent 可通过宿主机集成使用 FOFA。配置保存在仓库外： mkdir -p ~/.strix/integrations cat > ~/.strix/integrations/fofa.json <<'JSON' { "email": "your-account@example.com", "key": "your-api-key" } JSON chmod 600 ~/.strix/integrations/fofa.json 也可以使用 `STRIX_FOFA_EMAIL` 和 `STRIX_FOFA_KEY` 环境变量。凭据只由宿主集成读取，不会 作为 Agent 工具参数或扫描产物暴露。 ## 质量工作流 一个 Finding 进入最终报告前，会经过以下关键状态： 1. 有界 Assignment 和稳定根因指纹； 2. 独立会话中的复现与验证； 3. 类型特定控制，例如 IDOR/BFLA、XSS、SSRF、SQL 注入、重放、竞态和业务逻辑； 4. 原始证据登记、脱敏投影和一次性 evidence receipt； 5. 已观察影响与潜在影响分离； 6. 状态变更测试的回滚、清理成功或审计豁免； 7. 去重、覆盖、Assignment 输出和完成门； 8. 冻结新变更后生成稳定的客户导出与终态清单。 质量账本默认使用 SQLite WAL，JSON 和报告文件是可重建投影，不作为可任意修改的真相源。 更详细的设计见 [docs/advanced/quality-workflow.mdx](docs/advanced/quality-workflow.mdx)。 ## 本地数据、遥测与脱敏 - 运行数据默认保存在本地 `strix_runs/` 及任务状态目录中；这些路径已被 `.gitignore` 排除。 - 遥测默认关闭。只有显式启用 `STRIX_TELEMETRY`，并同时配置对应的 `STRIX_POSTHOG_API_KEY` / `STRIX_POSTHOG_HOST` 或 `STRIX_SCARF_ENDPOINT` 时才发送事件。 - 仓库不内置 PostHog 项目 Key、Scarf 固定端点、测试账号、Cookie、Token、私钥或 API Key。 - 本发布不包含原始 Git 历史、本机日志库、运行数据库、报告、证据包、目标信息或交接状态。 完整处理记录与发布前扫描结果见 [SANITIZATION.md](SANITIZATION.md)。 ## 开发与验证 uv sync --frozen uv run pytest -q uv run ruff check . uv run ruff format --check . uv run mypy strix/ uv run pyright strix/ uv run bandit -r strix/ -c pyproject.toml -ll uv build CI 会在 `main` 和 Pull Request 上运行完整测试、静态检查和秘密扫描。发布工作流只允许 `v` 标签创建 GitHub Release；手动触发只构建、不发布。发布归档包含 `LICENSE`、`NOTICE`、README、脱敏说明和 `SHA256SUMS`。 ## 仓库结构 strix/ 主程序、Agent、工具、质量账本和 TUI tests/ 单元、集成、可靠性及质量门测试 containers/ Sandbox 镜像定义 scripts/ 本地构建、安装和部署辅助脚本 docs/ 随源码提供的文档快照 .github/workflows/ 质量检查和发行流水线 ## 来源、维护和许可证 - 上游源码：[usestrix/strix](https://github.com/usestrix/strix) - 本增强快照问题反馈：本仓库 [Issues](https://github.com/link17789016-jpg/strix-redteam-workbench/issues) - 上游官方文档与社区仅作为原项目参考，不代表上游为本增强快照提供支持。 - 许可证：[Apache License 2.0](LICENSE) - 修改来源与范围：[PROVENANCE.md](PROVENANCE.md) - 脱敏边界：[SANITIZATION.md](SANITIZATION.md) 仅在你拥有或获得明确授权的资产上运行安全测试。

标签：Maven, Python, Web报告查看器, 反取证, 多Agent系统, 安全评估, 无后门, 漏洞验证, 红队框架, 自动化渗透测试, 请求拦截, 逆向工具