terragoat

TerraGoat - 脆弱なTerraformインフラストラクチャ TerraGoatはBridgecrewの"脆弱性を意図的に含んだ"Terraformリポジトリです。 TerraGoatはBridgecrewの"脆弱性を意図的に含んだ"Terraformリポジトリです。 TerraGoatは、一般的な設定ミスがどのように本番クラウド環境に紛れ込む可能性があるかを示す学習およびトレーニングプロジェクトです。 目次 はじめに はじめに AWS セットアップ Azure セットアップ GCP セットアップ コントリビューション サポート はじめに...

MSFinger

MSFinger - Microsoft 网络服务指纹识别工具 版本： 1.0 作者： Laurent Gaffie 公司： Secorizon 概述 MSFinger 是一款面向内网侦察的高性能网络指纹识别工具。它能够快速识别 Microsoft 服务、检测安全配置，并突出显示 SMB、LDAP 和 LDAPS 协议中的潜在漏洞。 主要功能： 针对内网优化的快速并发扫描（默认超时 1 秒） SMB/SMB2/SMB3 版本与签名检测 LDAP/LDAPS 签名与通道绑定检测 操作系统版本识别及内部版本号映射 使用 SQLite 数据库持久化保存扫描结果 彩色输出，突出显示安全风险 支持...

rbndr

rbndr Simple DNS Rebinding Service rbndr is a very simple, non-conforming, name server for testing software against DNS rebinding vulnerabilities. The server responds to queries by randomly selecting one of the addresses specified in the hostname and returning it as the answer with a very low ttl...

aad-bofs

此仓库包含一系列用于各种 Azure AD 攻击的 BOF。所有 BOF 均已在真实攻防项目中经过实战检验。也欢迎随时贡献 :...

docker-bench-security

Docker Bench for Security The Docker Bench for Security is a script that checks for dozens of common best-practices around deploying Docker containers in production. The tests are all automated, and are based on the CIS Docker Benchmark v1.6.0. We are making this available as an open-source utili...

docker-bench-security

Docker Bench for Security Docker Bench for Securityは、Dockerコンテナを本番環境にデプロイする際の一般的なベストプラクティスを数十項目チェックするスクリプトです。テストはすべて自動化されており、CIS Docker Benchmark v1.6.0をベースにしています。 このオープンソースユーティリティを公開することで、Dockerコミュニティが自らのホストとDockerコンテナをこのベンチマークに対して簡単に自己評価できるようにしています。 リリース| CIS ---|--- 1.6.0| 1.6.0 1.5.0| 1.5.0...

s3tk

s3tk A security toolkit for Amazon S3 🍊 Battle-tested at Instacart Installation Run: pip install s3tk You can use the AWS CLI or AWS Vault to set up your AWS credentials: pip install awscli aws configure See IAM policies needed for each command. Commands Scan Scan your buckets for: ACL open to...

s3tk

s3tk Amazon S3 のためのセキュリティツールキット 🍊 Instacart で実戦投入済み インストール 以下を実行: pip install s3tk AWS CLI または AWS Vault を使用して AWS 認証情報を設定できます: pip install awscli aws configure 各コマンドに必要な IAM ポリシー を参照してください。 コマンド スキャン バケットをスキャンして以下を確認: ACL が公開設定になっている ポリシーが公開設定になっている 公開アクセスがブロックされている ログが有効になっている バージョニングが有効になっている...

sherlock

Hunt down social media accounts by username across 400+ social networks Installation • Usage • Contributing Installation !WARNING Packages for ParrotOS and Ubuntu 24.04, maintained by a third party, appear to be broken. Users of these systems should defer to uv/pipx/pip or Docker. Method| Notes...

cybersecurity-interview-questions

サイバーセキュリティ面接質問集 無料・オープンソースのコレクション – レッドチーム、ブルーチーム、ウェブセキュリティ、インシデントレスポンスなど 概要 このリポジトリは、厳選された200以上のサイバーセキュリティ面接の質問と回答 を集めたものです。以下のロールを目指す方のために設計されています： レッドチーミング / ペネトレーションテスト – エクスプロイト、回避、永続化 ブルーチーミング / 防御とセキュリティ運用 – 検知、対応、強化 インシデントレスポンス – 脅威インテリジェンス、ログ分析、マルウェア検知 ウェブセキュリティ –...

CTFTiny

CTFTiny: 大規模言語モデルにおける攻撃的サイバースキルの軽量ベンチマーク これは、「Towards Effective Offensive Security LLM Agents: Hyperparameter Tuning, LLM as a Judge, and a Lightweight CTF Benchmark」AAAI'26 で発表された CTFTiny の公式リポジトリです。論文 CTFJudge については、CTFJudge 公式リポジトリ を参照してください。 チャレンジ一覧 カテゴリ| イベント| 名前| 難易度 ---|---|---|--- cry|...

vex8s

Vex8s （此 logo 并非 AI 生成） Vex8s 通过将容器漏洞与 Kubernetes 设置相关联，生成 VEX 文档，以确定哪些 CVE 在您的集群中实际可被利用。 请注意，这是一个实验性项目。情况可能会迅速变化。 工作原理 该项目旨在通过结合漏洞分类和 securityContext 分析，评估 Kubernetes 工作负载中已知 CVE 的可利用性。 它基于以下概念： 每个 CVE 被归类为一个或多个漏洞类别（CWE） CVE 描述由嵌入式 ML 模型处理，以预测其 利用类别。 将 CWE 和预测的 利用类别 结合起来，以确定该 CVE 是否可被缓解。 每个 利用类别...

threatspec

threatspec - continuous threat modeling, through code Threatspec is an open source project that aims to close the gap between development and security by bringing the threat modelling process further into the development process. This is achieved by having developers and security engineers write...

rpcfirewall

もっと詳しく知りたい方へ RPC Firewall のブログ記事や、BlackHatの講演 をご覧いただくと、RPC、RPC攻撃、そしてその解決策であるRPC Firewallについてより深く理解できます。 ご質問や問題、あるいは単に声を上げたい方は、|Zero| Labs Slackコミュニティワークスペースにご参加ください。 また、メールでのご連絡も歓迎します（そんなタイプの方）。[email protected] までお問い合わせください。 始め方 以下のチュートリアルでは、RPC...

zeek

The Zeek Network Security Monitor A powerful framework for network traffic analysis and security monitoring. Key Features — Documentation — Getting Started — Development — License Key Features In-depth Analysis Zeek ships with analyzers for many protocols, enabling high-level semantic analysis at...

zeek

Zeek ネットワークセキュリティモニター ネットワークトラフィック分析とセキュリティ監視のための強力なフレームワーク。 主な機能 — ドキュメント — はじめに — 開発 — ライセンス 主な機能 詳細な分析 Zeek は多くのプロトコル向けのアナライザを備えており、アプリケーション層での高レベルなセマンティック分析を可能にします。 適応性と柔軟性 Zeek のドメイン固有スクリプト言語により、サイト固有の監視ポリシーを実装でき、特定の検出アプローチに制限されません。 効率性 Zeek は高性能ネットワークをターゲットとしており、さまざまな大規模サイトで運用されています。...

CVE-2022-22947

CVE-2022-22947 SpringCloudGatewayRCE Code By:Junsheng @橘子网络安全实验室 橘子网络安全实验室 https://0range.team/ 0x00 リスク概要 本ツールは許可されたセキュリティテスト専用であり、無許可の不正攻撃サイトへの使用を禁止します。 オンラインで読む《中華人民共和国ネットワーク安全法》 0x01 ツールの使用 実行中に表示されるプロンプトに従ってください。 0x02 バグの問題 バグはIssuesに送信してください。時間があれば確認します。...

cfn_nag

背景 cfn-nag 工具用于查找 CloudFormation 模板中可能表明基础设施不安全的模式。大致来说，它会查找： 过于宽松（通配符）的 IAM 规则 过于宽松（通配符）的安全组规则 未启用的访问日志 未启用的加密 密码字面量 关于该工具的更多背景，请参阅 Stelligent 博客上的这篇文章： 利用 "cfn-nag" 在 CloudFormation 模板开发流程早期发现安全问题 安装 Gem 安装 假设已安装 Ruby = 2.5.x，安装只需： gem install cfn-nag Brew 安装 在 MacOS 或 Linux 上，你也可以选择使用 brew 安装：...

grove

Grove は Software as a Service SaaS のログ収集フレームワークで、ログストリーミングにネイティブ対応していないサービスからのログ収集をサポートするように設計されています。 Grove により、チームはベンダーからセキュリティ関連のイベントを信頼性が高く一貫した方法で収集できます。このデータは、チームの既存のツールを使用して保存および分析し、脅威検知やコンプライアンスプログラムを支援できます。 Grove は標準で以下を提供します: 🪵 信頼性が高く定期的なログ収集 ☁️ 広く使われている多くの SaaS アプリケーションおよびサービスのサポート 🧱...

SECURITY-3430

SECURITY-3430 回避策 これは、SECURITY-3430 の修正が適用されていない Jenkins コントローラー（すなわち、2.470 以前および LTS 2.452.3 以前）で使用するための Java エージェントです。 仕組みと互換性 SECURITY-3430 の脆弱性を含むクラスの定義を変換して、悪用を防ぎます。 何らかの理由で変換が失敗した場合、Jenkins は強制的に停止されます 。 この回避策は ClassLoaderProxyfetchJar を完全にブロックするため、通常の修正とは異なり、セキュリティアドバイザリ...