Shannon 如何配置 exploit: false 只做漏洞分析而不执行真实利用【免费下载链接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.项目地址: https://gitcode.com/GitHub_Trending/shan/shannonShannon 是一个针对 Web 应用和 API 的 AI 渗透测试工具默认会执行真实的利用exploitation阶段来证明漏洞。如果你只想让 Shannon 分析源代码和运行中的应用、产出漏洞分析报告而不实际执行利用可以在配置文件中设置exploit: false跳过利用阶段。适用前提与你正常运行 Shannon 相同已准备好 Docker、Node.js 18 和 AI 提供商凭据且只针对自己拥有或已获得明确授权的目标环境运行。exploit 配置项的含义在示例配置 example-config.yaml 中该配置项默认被注释掉说明其默认值为true# Skip the exploitation phase (optional, default: true) # exploit: false配置文件 JSON Schema 对exploit的定义也确认了这一点exploit: { type: string, enum: [true, false], description: Whether to run the exploitation phase (default true). Set false to run only analysis. }两点值得注意值必须是字符串形式的true或false不是布尔量Schema 的anyOf条件允许配置文件只包含exploit一个字段因此你不需要为了跳过利用阶段而写一整套认证配置。创建配置并启动分析-only 扫描配置文档给出的操作流程是复制示例配置修改后通过-c参数传给start命令。cp configs/example-config.yaml ./my-app-config.yaml在生成的./my-app-config.yaml中把exploit一行改为启用状态description: Next.js e-commerce app on PostgreSQL. Local dev environment; .env files contain local-only credentials. # Skip the exploitation phase. exploit: false如果目标需要登录再补充authentication部分不需要认证的公开应用可以省略。然后按 配置文档 的命令启动# npx 模式 npx keygraph/shannon start -u https://example.com -r /path/to/repo -c ./my-app-config.yaml# 源码构建模式 ./shannon start -u https://example.com -r /path/to/repo -c ./my-app-config.yaml其中-u是运行中的应用地址-r是目标源代码仓库路径-c指向你的配置文件。npx keygraph/shannon setup交互式向导只负责凭据配置不处理配置文件两者互不替代。分析-only 运行与完整运行在报告上的区别设置exploit: false后报告结构和评分维度都会变化。配置文档 的 Report Options 表格说明了这些差异配置项生效条件min_severity仅当exploit为true时生效过滤低于该严重程度的发现min_confidence仅当exploit为false时生效过滤低于该置信度的发现sarif生成 SARIF 2.1.0 日志要求exploit: true文档对此的解释是每个发现只携带一种评级——被利用过的发现按 severity 评级纯分析发现按 confidence 评级。设置不适用的阈值会被忽略并且 Shannon 会记录一条警告日志指明应该改用哪一个。因此在exploit: false的运行中报告过滤应使用report.min_confidence可选值low、medium、high而不是min_severity即使写了report.sarif: true也不会生成report.sarif。分析-only 运行的发现按置信度评级、不产生严重度SARIF 的level字段无内容可填所以sarif在exploit为false时被直接忽略。验证运行结果扫描完成后Shannon 把结果写入本地 workspace最终报告为Security-Assessment-Report.md。可以通过报告内容确认利用阶段确实被跳过判断依据来自报告渲染实现 report-renderer.ts报告元信息中包含- Exploitation: disabled完整运行则显示enabled发现部分的标题从完整运行的 Successfully Exploited Vulnerabilities 变为 Identified Vulnerabilities章节名从 Exploitation Evidence 变为 Findings报告开头带有固定的免责说明明确本次未运行利用 Exploitation was not run for this assessment. Each finding documents a vulnerability identified through analysis; impact is assessed rather than demonstrated, and no live exploitation steps or proof of impact are included.看到这三处即可确认本次运行是纯分析模式。限制与注意事项安全文档 强调 Shannon 不是被动扫描器其利用代理会主动执行攻击、可能修改应用状态exploit: false跳过的正是这一阶段。但即使如此仍只针对自己拥有或获得明确书面授权的环境运行。完整运行通常耗时约 1 到 1.5 小时LLM API 成本随模型定价、目标复杂度和并发度变化Shannon 官方仅支持 Claude 模型替代模型可能不完整或不稳定。跳过利用阶段不等于报告没有验证要求安全文档 指出最终报告仍可能包含支持不足或不准确的细节人工复核仍是必要步骤。如果需要同时限制漏洞类别可与vuln_classes组合使用例如vuln_classes: [injection, xss]只运行列出的类别这两项相互独立vuln_classes省略时默认运行全部五个类别。【免费下载链接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.项目地址: https://gitcode.com/GitHub_Trending/shan/shannon创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Shannon 如何配置 exploit: false 只做漏洞分析而不执行真实利用？
Shannon 如何配置 exploit: false 只做漏洞分析而不执行真实利用【免费下载链接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.项目地址: https://gitcode.com/GitHub_Trending/shan/shannonShannon 是一个针对 Web 应用和 API 的 AI 渗透测试工具默认会执行真实的利用exploitation阶段来证明漏洞。如果你只想让 Shannon 分析源代码和运行中的应用、产出漏洞分析报告而不实际执行利用可以在配置文件中设置exploit: false跳过利用阶段。适用前提与你正常运行 Shannon 相同已准备好 Docker、Node.js 18 和 AI 提供商凭据且只针对自己拥有或已获得明确授权的目标环境运行。exploit 配置项的含义在示例配置 example-config.yaml 中该配置项默认被注释掉说明其默认值为true# Skip the exploitation phase (optional, default: true) # exploit: false配置文件 JSON Schema 对exploit的定义也确认了这一点exploit: { type: string, enum: [true, false], description: Whether to run the exploitation phase (default true). Set false to run only analysis. }两点值得注意值必须是字符串形式的true或false不是布尔量Schema 的anyOf条件允许配置文件只包含exploit一个字段因此你不需要为了跳过利用阶段而写一整套认证配置。创建配置并启动分析-only 扫描配置文档给出的操作流程是复制示例配置修改后通过-c参数传给start命令。cp configs/example-config.yaml ./my-app-config.yaml在生成的./my-app-config.yaml中把exploit一行改为启用状态description: Next.js e-commerce app on PostgreSQL. Local dev environment; .env files contain local-only credentials. # Skip the exploitation phase. exploit: false如果目标需要登录再补充authentication部分不需要认证的公开应用可以省略。然后按 配置文档 的命令启动# npx 模式 npx keygraph/shannon start -u https://example.com -r /path/to/repo -c ./my-app-config.yaml# 源码构建模式 ./shannon start -u https://example.com -r /path/to/repo -c ./my-app-config.yaml其中-u是运行中的应用地址-r是目标源代码仓库路径-c指向你的配置文件。npx keygraph/shannon setup交互式向导只负责凭据配置不处理配置文件两者互不替代。分析-only 运行与完整运行在报告上的区别设置exploit: false后报告结构和评分维度都会变化。配置文档 的 Report Options 表格说明了这些差异配置项生效条件min_severity仅当exploit为true时生效过滤低于该严重程度的发现min_confidence仅当exploit为false时生效过滤低于该置信度的发现sarif生成 SARIF 2.1.0 日志要求exploit: true文档对此的解释是每个发现只携带一种评级——被利用过的发现按 severity 评级纯分析发现按 confidence 评级。设置不适用的阈值会被忽略并且 Shannon 会记录一条警告日志指明应该改用哪一个。因此在exploit: false的运行中报告过滤应使用report.min_confidence可选值low、medium、high而不是min_severity即使写了report.sarif: true也不会生成report.sarif。分析-only 运行的发现按置信度评级、不产生严重度SARIF 的level字段无内容可填所以sarif在exploit为false时被直接忽略。验证运行结果扫描完成后Shannon 把结果写入本地 workspace最终报告为Security-Assessment-Report.md。可以通过报告内容确认利用阶段确实被跳过判断依据来自报告渲染实现 report-renderer.ts报告元信息中包含- Exploitation: disabled完整运行则显示enabled发现部分的标题从完整运行的 Successfully Exploited Vulnerabilities 变为 Identified Vulnerabilities章节名从 Exploitation Evidence 变为 Findings报告开头带有固定的免责说明明确本次未运行利用 Exploitation was not run for this assessment. Each finding documents a vulnerability identified through analysis; impact is assessed rather than demonstrated, and no live exploitation steps or proof of impact are included.看到这三处即可确认本次运行是纯分析模式。限制与注意事项安全文档 强调 Shannon 不是被动扫描器其利用代理会主动执行攻击、可能修改应用状态exploit: false跳过的正是这一阶段。但即使如此仍只针对自己拥有或获得明确书面授权的环境运行。完整运行通常耗时约 1 到 1.5 小时LLM API 成本随模型定价、目标复杂度和并发度变化Shannon 官方仅支持 Claude 模型替代模型可能不完整或不稳定。跳过利用阶段不等于报告没有验证要求安全文档 指出最终报告仍可能包含支持不足或不准确的细节人工复核仍是必要步骤。如果需要同时限制漏洞类别可与vuln_classes组合使用例如vuln_classes: [injection, xss]只运行列出的类别这两项相互独立vuln_classes省略时默认运行全部五个类别。【免费下载链接】shannonShannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.项目地址: https://gitcode.com/GitHub_Trending/shan/shannon创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考