企业官网建设流程全解析

Xalgorix 是一个开源的 AI 自主渗透测试平台（Autonomous AI pentesting agents），内置 4 大扫描模式：单目标、DAST 动态测试、Wildcard 通配与多目标批量。本文面向新手，带你 3 分钟看懂每种 Xalgorix 扫描模式适用什么场景，附场景对照表和选型清单，帮你为 Web 应用、子域名资产和批量任务挑出最合适的渗透测试方案。

Xalgorix 扫描模式一览：先搞懂 3+1 种选择

在 Web 面板的 New Scan 对话框里，Mode 下拉框提供 3 个选项（new-scan-dialog.tsx）：

💡 多目标不是独立模式：Targets 输入框支持"每行一个或逗号分隔"填多个目标，无论选哪种模式，调度器都会逐个排队执行（orchestrator.go）。

场景 1：单目标模式——最快上手的一键安装步骤

适合谁：手头只有一个明确目标（例如https://shop.example.com）的新手，这是官方推荐的首次使用方式。

• 目标直接交给自主 Agent，按 22 阶段方法论（Recon → 注入 → SSRF → IDOR → 验证……）推进；
• 每个发现都会经过独立 verifier 复现，"无法利用的都不报"，大幅降低误报；
• 扫描详情页可实时查看阶段进度与 CVSS 风险分布。

小技巧：如果目标需要登录、或有特定入口，直接把账号线索写在 Instruction 输入框里，Agent 会优先围绕它展开测试。

场景 2：DAST 模式——浏览器辅助的动态测试指南

DAST（Dynamic Application Security Testing）是 Xalgorix 的特色模式：用真实浏览器驱动 Web 应用，专攻认证流、表单、重定向和运行时行为这类纯爬虫扫不出来的问题。

它的内部规则是"EXPLOIT-FIRST"（autonomous.go）：

• SQLi：必须真的拖出数据（如--dbs）或用时间盲注确认；
• XSS：要证明 payload 真实执行，而不是仅仅被反射；
• SSRF：必须拿到 OOB 回调或内部数据回显；
• IDOR / Auth Bypass：要求换身份实测。

同时内置"误报黑名单"：缺安全头、CORS 无 PoC、技术指纹、DNS 配置问题等一律降级或不报。

怎么选：目标是 Web 应用、关心登录注册流程和前端漏洞 → 选 DAST；目标是纯 API 或主机 → 选 Single 即可。

场景 3：Wildcard 通配——自动枚举子域名全家桶

只拿到example.com，却不知道还有api.、cms.、test.一堆兄弟域名？选 Wildcard 模式：

1. Phase 1 子域名发现：被动 + 主动多源枚举，生成完整资产清单；
2. Phase 2 逐个子域扫描：每个发现的子域都会派生一个子扫描任务。

值得注意的边界设计（wildcard_target.go）：

• *.example.com与example.com等价，输入自动归一化；
• 注册域按 public-suffix 算法解析，example.co.uk不会被误切成co.uk；
• 解析失败时"fail closed"——枚举范围收缩到你输入的精确主机，绝不越权扩扫未授权父域；
• 扫描完成度会被如实标记为full/partial（WILDCARD_COMPLETION.md），中断后还可断点续扫。

场景 4：多目标批量——队列化的资产盘点方式

在 Targets 框里粘贴 10 个甚至上百个目标（支持10.0.0.0/24网段写法），Xalgorix 会：

• 按顺序排队执行，每个目标独立生成扫描目录与报告；
• 随时可暂停 / 继续 / 全部停止，队列进度可持久化，重启后从断点恢复；
• 扫完自动发送 Discord / Telegram 汇总（可选），漏洞计数一目了然。

建议：批量任务搭配Passive only（见下文）和quick强度，先把高危面过一遍，再对重点资产单独开 deep 扫描。

进阶设置：强度档位 + 主动/被动开关

除了 4 大场景，两个滑块决定"扫多狠、扫多轻"：

① 测试强度（对应扫描方法论档位）

② 访问权限（Recon access / Testing access）

• Active allowed：允许主动探测（端口扫描、目录爆破等）；
• Passive only：只用被动情报（DNS、证书透明度、历史数据），对生产环境更温和。

附赠：没有 URL 也能扫——代码扫描模式

如果目标是代码库而不是线上站点，Xalgorix 还支持两种 code-scan 模式（codescan.go）：

• review（SAST）：直接审计源码，追踪"入口 → 危险汇聚点"，产出源码级验证结论；
• provision：自动构建并本地跑起应用，再对运行实例做白盒引导的 DAST，产出可利用级验证结论。

30 秒选型清单：我该选哪个扫描模式？

安全提醒

⚠️ 只在自己拥有或获得明确书面授权的系统上使用 Xalgorix；Wildcard 模式的自动枚举能力越强，范围边界越重要——授权书里写明的域名清单，就是你应该输入的 Targets 清单。

更多模式细节可参考 README.md 的 Scan Modes 章节与 ARCHITECTURE.md 的编排说明。