Antenna开源！挖掘白帽子的最深需求！

这个疑问产生于作者在审核平台某漏洞报告的过程中，发现报告中为证明某漏洞存在，用到了多种工具及平台。带着这个疑问，作者分析平台以往漏洞报告，发现了一个有趣的现象：验证存储型XSS漏洞需要用到XSS利用平台，验证命令执行类漏洞需要打开DNSLOG平台，CSRF与JSONP漏洞又要自己构造好代码放在服务器上。

这意味着在挖掘漏洞开始前，个人浏览器就需要打开大量页面。这是一件很不“极客”和“优雅”的事情，于是Antenna便诞生了。

项目地址：https://github.com/wuba/Antenna

“Antenna”中文翻译为触角、触须。触角是昆虫重要的感觉器官，主要起触觉、听觉的作用，可以帮助昆虫进行通信联络的活动，平台起名为Antenna，希望能够成为白帽子与漏洞之间的通信媒介，通过Antenna接收到漏洞是否存在的信号。

Antenna立项时的初衷非常简单，就是希望能够尽可能方便安全从业人员验证漏洞存在与可利用性，将常见的XSS平台、DNSLOG平台等功能进行集合。但是随着开发与需求设计过程中，我们发现一些漏洞的利用模式也是可以做成组件的形式做到“开箱即用”的效果，我们尝试进行封装，实现用户可以自定义组件的功能，这一部分可以在后续的使用分享中强烈感受到，当你突然来了灵感，增加一个平台新组件有多么的简单。

平台除了满足个人手动挖掘漏洞需求外，能否尝试也满足自动化扫描的相关需求呢？例如log4j漏洞的自动化扫描，常规解决方案大多是自动化扫描，将payload地址换成dnslog上，扫描结束后去平台上查看消息，我们是否能做到结果也直接返回到扫描器上？我们为此准备了两种结果回调方式：

主动-OpenApi

http://{platform_domain}/api/v1/messages/manage/api/?apilkey={apikey}&uri=&task__name=&message_type=&page=&page_size=

回调-自定义消息接口使用

平台除了设置消息邮件通知以外，支持接收到消息后，向自定义接口发送消息数据，方便自动化工具回调接口处理请求消息，点击任务查看任务详情，打开任务高级配置。

填写接受消息的接口，例如“http://test.com/get_message”如接口需要Authorization等认证方式可写在接口header中，例如 {"Authorization": "admin"} 平台接收到该任务的消息后会向test.com/get_message发送接收到的请求消息数据。