红队Agent代码审计神器分享

youki
youki

C4安全

2026年10月8日 14:36
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CODE

重要声明：本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。

QUOTE

Provena -- 一套基于Pi Agent驱动的自主红队AI系统，真正做到无人值守自动完成各种渗透任务！

工具开源地址

CODE

https://github.com/youki992/Provena

∞

THE END

功能

运行环境要求，下面是Win的运行要求

编辑 config.yaml，只改这几行

内置工具如下

常用命令

run命令的常用参数

chat命令的常用参数

chat命令使用，通过cli对话式交互内容

对话内容测试，询问内置的工具

工具架构

CODE

┌──────────────────────┐

│   模型（Pi harness）  │   只做决策：下一步干什么

└──────────┬───────────┘

│  工具调用

┌──────────▼───────────┐

│      Provena 内核     │   执行 · 采集证据 · 记账 · 出报告

│  ① 工具执行器 + RBAC  │

│  ② FGS 图（只追加）    │   ← 唯一的\"记忆\"

│  ③ 人机协同（HITL）    │

│  ④ 报告（md/json/sarif）│

└──────────────────────┘

模型主要是负责\"下一步执行什么\"，而Provena 则负责决策\"能不能做\"和\"记录下步骤\"。

在设计上面，我是不指望模型可靠的，所以就把可靠性做在架构上：决策过程外置成图、结论必须依靠证据生成、缺乏证据就不算完成目标。

CODE

┌──────────┐

│  origin  │  起点

└────┬─────┘

│ motivates

┌────▼─────┐

│   goal   │  本次目标

└────┬─────┘

┌───────────┼────────────┐

┌────▼────┐ ┌────▼────┐  ┌────▼─────┐

│  step   │ │  step   │  │ sub\_goal │ ← 运行时临时拆的子目标

└────┬────┘ └────┬────┘  └────┬─────┘

│           │            │

┌────▼────┐ ┌────▼─────┐      │

│  fact   │ │ finding  │◄─────┘

│ 客观观测 │ │ 待确认线索 │

└─────────┘ └──────────┘

节点状态：pending → active → confirmed / completed / blocked / abandoned

另有 intent / hint 两类节点

以的Java代码审计为例，从jar文件开始审计

CODE

.jar

│  jar-list          列条目（不解压）

▼

条目列表

│  jar-extract       抽目标 .class / 资源文件

├──────────────────────────────┐

▼                              ▼

cfr 反编译                    直接 read/grep

→ 可读 Java 源码              （web.xml、.properties、

│                            mybatis 映射）

▼

joern-parse --language JAVASRC

│

▼

CPG（代码属性图）

│  joern-scan（官方查询库已内置，离线可用）

▼

完整 source→sink 路径  →  置信度可升到 dataflow\_reachable

内测版本地址

CODE

https://wiki.freebuf.com/societyDetail/articleDetail?society\_id=184&article\_id=230351

白帽集市链接

如果你没有加入内部社区，也可单独付费购买工具

历史审计能力和成果参考

用友U8C nDay手到擒来，Provena-Audit自动审计出洞

用友U8C-CodeSynServlet全版本未授权任意文件下载漏洞分析

END

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连。