第 2 章 · 02 扫描模式

第 2 章 · 02 扫描模式

本节摘要:Strix 提供三种扫描模式来平衡速度与彻底性——quick(快速,数分钟)、standard(标准,30 分钟到 1 小时)、deep(深度,1~4 小时,默认)。但模式不只是「时长」的差异:它们对应着 Strix 内置的三套测试方法论知识包(注入 AI agent 提示词),决定了代理如何侦察、按什么优先级测试、跳过什么、何时链式利用。本节合并讲透三种模式的官方定义与背后的方法论,帮你按场景选对模式。

内容来源:原项目文档 docs/usage/scan-modes.mdx 与知识包 strix/skills/scan_modes/{quick,standard,deep}.md,汉化合并并套用体系化模板。

⚠️ 仅限授权测试:所有扫描仅用于你自己的应用或有书面授权的目标。

学习目标

阅读完本节,你应当能够:

1. 区分三种扫描模式的时长与适用场景。
2. 说明 standard 与 deep 在白盒行为上的差异(源码感知分流)。
3. 理解 quick 模式的高影响优先级(认证绕过 → 访问控制 → RCE → SQLi → SSRF → 暴露秘密)。
4. 说明 standard 模式的五阶段方法论(侦察 → 业务逻辑 → 系统化测试 → 利用 → 报告)。
5. 理解 deep 模式的六阶段 + 代理策略(穷尽侦察、漏洞链式、持久测试、分级子代理)。
6. 按场景(PRD/周扫/发版前/赏金)选对模式。

一、三种模式速览

strix --target ./app --scan-mode quick      # 或 standard / deep
​

💡 deep 是默认模式。它探索边界情况、链式漏洞与复杂攻击路径。如果你不显式指定 --scan-mode,跑的就是 deep。

二、Quick:时间盒快速评估

quick 是「时间盒评估」,聚焦高影响漏洞,优先广度而非深度。它的 mindset 是「像时间紧迫的赏金猎人冲快速胜利」。

阶段一:快速定位

白盒(有源码):

• 聚焦最近变更:git diff、新提交、修改文件——这些最可能含新 bug
• 先对变更文件跑快速静态分流(semgrep,再针对性 sg 查询)
• 至少跑一次轻量 AST 过程(sg 或 Tree-sitter),避免跳过结构映射
• AST 命令紧密限定到变更或高风险路径,避免全仓库模式堆栈
• 对变更区域跑快速秘密与依赖检查(gitleaks、trufflehog、trivy fs)
• 识别变更代码中的安全敏感模式:认证检查、输入处理、数据库查询、文件操作
• 追踪用户输入穿越修改的代码路径
• 检查安全控制是否被修改或绕过

黑盒(无源码):

• 映射认证与关键用户流程
• 识别暴露端点与入口
• 跳过深度内容发现——测立即可达的东西

阶段二:高影响目标(按优先级)

1. 认证绕过——登录缺陷、session 问题、token 弱点
2. 破坏的访问控制——IDOR、权限提升、缺失授权
3. 远程代码执行——命令注入、反序列化、SSTI
4. SQL 注入——认证端点、搜索、过滤器
5. SSRF——URL 参数、webhook、集成
6. 暴露的秘密——硬编码凭据、API key、配置文件

快速扫描跳过:穷尽子域枚举、全目录爆破、低严重度信息泄露、无可用 PoC 的理论问题。

阶段三:验证与链式

用最小 PoC 确认可利用性,展示真实影响而非理论风险。发现强原语(认证弱点、注入点、内部访问)时,立即尝试一次高影响轴转,把低上下文的「可能」变成到达特权动作或敏感数据的具体利用序列。

💡 quick 的取舍:牺牲深度换速度——跳过穷尽枚举,只测高价值攻击面上的明显问题。适合「快速反馈是否有关键漏洞」的 CI 场景。

三、Standard:平衡的安全评估

standard 是「结构化方法论的平衡评估」。彻底覆盖但不穷尽深度。它的 mindset 是「系统化、有条理,边测边记,验证一切」。

阶段一:侦察

白盒:映射代码库结构(模块、入口、路由);先跑 semgrep 一过分流以优先 risky 流;跑至少一次 AST 结构映射过程(sg 和/或 Tree-sitter),再用输出做路由、sink、信任边界映射;识别架构模式(MVC、微服务、单体);追踪输入向量(表单、API、文件上传、头部、cookie);审查认证授权流程;分析数据库交互与 ORM;用 trivy fs、gitleaks、trufflehog 查依赖与仓库风险;理解数据模型与敏感数据位置。

黑盒:彻底爬取应用,与每个功能交互;枚举端点、参数、功能;指纹技术栈;映射用户角色与访问级别;用代理抓流量理解请求/响应模式。

阶段二:业务逻辑分析

测试漏洞前先理解应用:关键流程(支付、注册、数据访问、管理功能)、角色边界(哪些动作限制给哪些用户)、数据访问规则(哪些数据应跨用户隔离)、状态转换(订单生命周期、账户状态变更)、信任边界(特权或敏感数据流向何处)。

阶段三:系统化测试

针对每个攻击面有条理地测,为不同区域派生聚焦子代理:

• 输入校验:所有输入字段的注入测试(SQL、XSS、命令、模板);文件上传绕过;搜索与过滤参数操纵;重定向与 URL 参数处理
• 认证与会话:暴力破解保护;session token 熵与处理;密码重置流分析;登出 session 失效;认证绕过技术
• 访问控制:横向(用户 A 访问用户 B 资源)、纵向(非特权用户访问管理功能);API 端点 vs UI 访问控制一致性;直接对象引用操纵
• 业务逻辑:多步流程绕过(跳步、乱序);状态变更操作的竞争条件;边界条件(负值、零、极端);交易重放与操纵

阶段四:利用与报告

每个发现都要有可用 PoC;展示实际影响而非理论风险;链式漏洞展示最大严重度;文档化从入口到影响的完整攻击路径;通过 exec_command 用 Python 脚本做复杂利用开发。报告含可复现步骤、基于可利用性与业务影响的严重度、修复建议、需进一步调查的区域。

💡 standard 的链式心法:始终问「如果我能做 X,接下来能做什么?」持续轴转直到达到最大特权或数据暴露;偏好完整端到端路径(入口 → 轴转 → 特权动作/数据)而非孤立发现。

四、Deep:穷尽的安全评估

deep 是「最大覆盖、最大深度的穷尽评估」。目标是发现别人错过的东西。它的 mindset 是「无情、有创意、耐心、彻底、持久」。

阶段一:穷尽侦察

白盒:映射仓库里每个文件、模块、代码路径;从广源码分流开始(semgrep、ast-grep、gitleaks、trufflehog、trivy fs)驱动深度评审;每仓库至少跑一次结构 AST 过程并存储产物复用;用语法感知解析(Tree-sitter)提升符号/路由/sink 提取质量;追踪从 HTTP 处理器到数据库查询的所有入口;文档化所有认证机制;映射授权检查与访问控制模型;识别所有外部服务集成;分析配置中的秘密与错误配置;审查数据库 schema 与数据关系;映射后台作业、cron、异步处理;识别所有序列化/反序列化点;审查文件处理(上传/下载/处理);理解部署模型;对所有依赖版本查 CVE/错误配置(快速 CVE 查询用 vulnx search <query>)。

黑盒:多源多工具穷尽子域枚举;全端口扫描;多词表完整内容发现;全资产技术指纹;经文档/JavaScript 分析/fuzzing 做 API 发现;识别所有参数(含隐藏与罕用);用不同账户类型映射所有用户角色;文档化限流、WAF 规则、安全控制。

阶段二:业务逻辑深潜

创建应用的完整故事板:用户流程、状态机、信任边界、不变量、隐含假设、多步攻击面、第三方集成。以每种用户类型大量使用应用,理解完整数据生命周期。

阶段三:全面攻击面测试

用每种适用技术测每个输入向量:多种注入类型(SQL/NoSQL/LDAP/XPath/命令/模板);编码绕过(双重编码、unicode、null 字节);边界条件与类型混淆;大 payload 与缓冲区问题。认证会话:穷尽暴力破解保护、session 固定/劫持/预测、JWT/token 操纵、OAuth 流滥用、密码重置漏洞、MFA 绕过、账户枚举。访问控制:每个端点的横向纵向测试、参数篡改、强制浏览、HTTP 方法篡改、状态变更后的访问控制。文件操作:穷尽上传绕过(扩展名/Content-Type/魔术字节)、所有文件参数的路径穿越、经文件包含的 SSRF、所有 XML 解析点的 XXE。业务逻辑:所有状态变更操作的竞争条件、每个多步流程的工作流绕过、交易中的价格/数量操纵、并行执行攻击、TOCTOU。高级技术:HTTP 请求走私、缓存毒化与欺骗、子域接管、原型污染、CORS 错误配置、WebSocket、GraphQL 专用攻击。

阶段四:漏洞链式

单个 bug 是起点,链式追求最大影响:把信息泄露与访问控制绕过组合;链 SSRF 到达内部服务;用低严重度发现使能高影响攻击;构建自动化工具错过的多步攻击路径;跨组件边界(用户 → 管理员、外部 → 内部、读 → 写、单租户 → 跨租户)。

链式原则:把每个发现当轴转点(「这接下来解锁什么?」);持续到最大特权/最大数据暴露/最大控制;偏好端到端利用路径;经执行完整序列验证链(工作流用代理 + 浏览器,自动化用 Python);发现轴转时派生聚焦代理在下一组件继续链。

阶段五:持久测试与代理策略

初次尝试失败时:研究技术专用绕过;试替代利用技术;测边界情况与异常功能;用不同客户端上下文;用其他发现的新信息回顾;考虑时间型与盲利用;找需深度应用理解的逻辑缺陷。

代理策略:侦察后,分层分解应用——组件级(认证系统、支付网关、用户档案、管理面板)、功能级(登录表单、注册 API、密码重置)、漏洞级(SQLi 代理、XSS 代理、认证绕过代理)。每级派生专家代理,水平扩展到最大并行——不要让单个代理承担多种漏洞类型,每个代理专注一个特定区域或漏洞类型,形成覆盖每个角度的大规模并行群。

五、三种模式的方法论对比

⚠️ 三种模式共享同一套底层工具与漏洞知识(第 5~6 章的 25 类漏洞),差异在于覆盖广度、测试深度、链式与否、子代理规模。模式越深,越接近真实渗透测试员的工作方式。

六、如何选模式

💡 实践建议:CI/CD 用 quick + --scope-mode diff(只扫变更);定期(如每周)用 standard 全量扫;发版前或关键资产用 deep。这样在速度与彻底性间取得平衡。

本节要点回顾

1. 三种模式:quick(数分钟,聚焦高影响)、standard(30 分1 小时,平衡)、deep(14 小时,穷尽,默认)。
2. 白盒行为差异:standard 用源码感知映射 + 静态分流优先动态验证路径;deep 跑广源码分流(semgrep/AST/秘密/供应链)后系统化动态验证。
3. quick 的高影响优先级:认证绕过 → 访问控制 → RCE → SQLi → SSRF → 暴露秘密;跳过穷尽枚举与理论问题;发现强原语即做一次高影响轴转。
4. standard 五阶段:侦察 → 业务逻辑分析 → 系统化测试(输入/认证/访问控制/业务逻辑) → 利用 → 报告;链式心法是「能做 X,接下来能做什么」。
5. deep 六阶段 + 代理策略:穷尽侦察 → 业务逻辑深潜 → 全面测试(含高级技术:走私/缓存毒化/子域接管/原型污染/GraphQL) → 漏洞链式 → 持久测试 → 分级子代理并行(组件/功能/漏洞级)。
6. 选模式:PR 用 quick + diff、周扫用 standard、发版前/赏金用 deep;三者共享同一套漏洞知识,差异在广度、深度、链式、子代理规模。

下一节,我们看自定义指令——如何用 --instruction 给 Strix 凭据、范围、排除项,让它测得更准。