【工具分享】星悦代码审计工具内测V1.9 更新 DeepSeek-ai分析

0x00 更新日志

声明：本工具不是那些粗制滥造的所谓的 GUI 图形化工具，只讲究一个实事求是，工具下载地址在 文末 附上.

版本更新至内测1.9:

1.新增对 JAVA 原生的代码审计

2.支持对 Log4j 组件代码执行漏洞审计

3.支持对 Fastjson 组件反序列化漏洞审计

4.支持对 Mybatis 组件SQL注入漏洞审计

5.支持对 Shiro 组件硬编码，反序列化漏洞审计

6.支持对 SnakeYaml 组件反序列化漏洞审计

7.支持对 Thymeleaf 模板注入漏洞审计

8.支持对 Pom.xml 文件的检测分析

9.修复部分bug，优化用户体验

10.支持右键 AI 分析解读代码可能存在的漏洞点

0x01 前言

目前内测2.0 中，希望大家給出修改建议及Bug!

    编写工具的初衷是想让不懂代码的小白也能审计并有成果，给懂审计的减轻负担，最终实现自动化审计+验证

    自动化验证功能能保证Payload 95% 正确，不是AI給出的一些没有用的建议及无用Payload，自动化验证模式分为三种 本地验证 Ai 验证 混合模式

    ThinkPHP 框架下漏洞验证：

自动化生成的报告，能保证Payload 99%能使用.

使用BurpSuite调用自动生成的Payload发包:

0x02 本地验证模式

该模式在完全离线情况下可直接使用，不会收到任何影响，使用该模式需要搭建一个能用的测试站，或者使用公网设备测试，然后在总设置中填写验证Payload的地址，根据自己喜好填写Sqlmap注入语句.

使用离线模式需要搭建一个能用的测试站(重要事情说三遍)

使用离线模式需要搭建一个能用的测试站(重要事情说三遍)

使用离线模式需要搭建一个能用的测试站(重要事情说三遍)

不要问我为什么本地验证出不来洞

SQL注入验证功能需要Python3 环境 如下配置即可 (环境变量里不能是Python3):

然后将源码放入自动审计板块中的 新建项目(文件夹路径不能带中文 或 空格)，然后点击开始审计即可开始.

首先是基于污点分析得出的几个可能的点，然后自动寻找到可能存在漏洞的高危代码，逆向追踪代码链，找到入口函数并进行公式化检测Payload.

当目标Payload 测试回显成功时，会显示在漏洞管理板块中，低危默认白色，中危标注淡黄，高危标注芙红，除文件上传漏洞的Payload 需要等待报告生成外，其余均可直接复制Payload并使用.

SQL注入漏洞的验证默认基于SQLMAP，可根据喜好调整SQLMAP参数.

0x03 Ai验证模式

该模式基于自选模型，然后进行prompt 二次验证，也能保证准确率在一个较高的水平.

先在总设置里选择 Ai验证模式 然后去Ai管理中设置 Ai的模型，ApiKey ApiUrl

以硅基流动的 deepseek-ai/DeepSeek-V3 为例

1.先去 https://cloud.siliconflow.cn/ 注册一个账号 然后点API密钥 复制里面的密钥 这个就是ApiKey

2.然后去模型广场-点一下右边那个复制按钮 deepseek-ai/DeepSeek-V3  这个就是模型名字

3.之后点API文档，进去之后找到 https://api.siliconflow.cn/v1/chat/completions   这个就是Apiurl

然后依次填入工具，如下图所示(不要填错，不然工具不验证)

然后就可以舒服地ai审计了，这个模式的Payload 不能保证完全正确

Ps:硅基流动2.6日起未实名的只能调用100次Deepseek V3/R1

0x04 工具下载

标签:代码审计，0day，渗透测试，系统，通用，0day，闲鱼，转转

PS : 工具处于内测V2.0中，还没发布，如果有兴趣想参加内测就加纷传圈子 或者 星球 参与

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，文章作者和本公众号不承担任何法律及连带责任，望周知！！!