10件安全江湖的神兵利器

FindSomething

作者：残笑

简介:基于浏览器插件的被动式信息提取工具。该工具用于快速在网页的html源码或js代码中提取一些有趣的信息，包括ip、域名、url、证件号、手机号、邮箱、敏感信息等。在谷歌商店已有8000+用户量，火狐商店1800+用户量。

项目地址：https://github.com/momosecurity/FindSomething

MSMAP

作者：hosch3n

简介：一个兼容多种容器、编码器、WebShell客户端的内存马生成框架。

项目地址：https://github.com/hosch3n/msmap

Afuzz

作者：BaCde

简介：Afuzz 是适用于大规模自动化Bug Bounty的Web路径发现工具。简单易用，无需指定过多参数，自动化智能处理。

其主要特点如下：

1. Afuzz自动检测网站使用的开发语言，并根据语言生成扩展
2. 使用黑名单过滤无效页面
3. 使用白名单在页面中查找漏洞赏金猎人感兴趣的内容
4. 过滤页面中的随机内容
5. 多种方式判断404错误页面
6. 通过统计分析的方式处理结果。
7. 支持HTTP2 协议
8. 字典支持多种变量，支持根据域名生成字典。如拓展名，子域名，根域名，子域部分，域部分。
9. 友好化的结果展示。方便直观。

项目地址：https://github.com/RapidDNS/Afuzz

vesta

作者：christa

简介：vesta是一款集容器扫描，Docker和Kubernetes配置基线检查于一身的工具。检查内容包括镜像或容器中包含漏洞版本的组件，同时根据云上实战渗透经验检查Docker以及Kubernetes的危险配置。相对于kube-bench，vesta不局限于传统的CIS benchmark检查。对于kubescape, kube-hunter。vesta在以上检查基础上拥有更加贴近实战化的检查，例如k8s toolkit 后门检测以及供应链投毒包检测，Secret,Config map, Pod Env 等环境中做弱密码以及可疑后门命令检测，并且做了本土化的优化，不直接从github上下载资源。

作者：TeamsSix

简介：CF 是一个云环境利用框架，适用于在红队场景中对云上内网进行横向、SRC 场景中对 Access Key 即访问凭证的影响程度进行判定、企业场景中对自己的云上资产进行自检等等。

项目地址：https://github.com/teamssix/cf

ENScanGo

作者：keac

简介: 404星链计划工具，一款基于各大企业信息API的工具，解决在遇到的各种针对国内企业信息收集难题。一键收集控股公司ICP备案、APP、小程序、微信公众号等信息聚合导出。

项目地址：https://github.com/Phuong39/ENScanGo

Hades

作者：chriskali

简介:Hades 是一款同时支持 windows，linux 下的内核态 HIDS。Linux 下采用 eBPF 以及 netlink 兼容的方式，具有稳定性高，性能好，数据采集纬度丰富等特点。

Seamoon

作者：DVK

简介:月海(Sea Moon) 是一款 FaaS/BaaS 实现的 Serverless 云渗透工具集，致力于开启云原生的渗透模式。月海之名取自于苏轼的《西江月·顷在黄州》，寓意月海取自于传统安全工具，用之于云，最终达到隐匿于海的效果。

月海是一款利用云函数来隐匿攻击行踪，实现了网络层代理模式，并期望以及分布式处理扫描任务的集成工具。

月海在传统云函数的利用上，实现了一个不需要vps的socks代理模式，具体技术文章：https://seamoon.dvkunion.cn/tech/net/socks5/

Doge-Gabh

作者：TimWhite

简介:Doge-Gabh为集成动态调用, (in)direct syscall, api hash调用, dll unhooking 的Golang package。可以灵活的组合这些方式，从磁盘或内存中调用系统api。这可以用于许多目的，例如 PE 解析、动态 API 调用、shellcode loader、进程注入和绕过API挂钩等。

太阿（Tai-e）

作者：谭添

简介：太阿（Tai-e）是一种 Java 静态安全漏洞检测框架，通过程序分析技术检测程序中的各类注入（如shell、SQL注入）、敏感数据泄露等安全漏洞。太阿安全分析框架具有高度可配置性，天然具备处理别名的能力（帮助找到更多更深的安全漏洞），且在检测安全漏洞的同时，能够输出各类程序相关的信息图（如污点传播图、调用图、控制流图），可以有效地帮助安全人员定位、识别安全漏洞。

转自KCon黑客大会。