Pribado

🔐 Pribado 私有 API 密钥管理与零知识基础设施 Pribado 是一个可自托管的零知识平台，用于管理 API 密钥、加密机密与私有通信。它基于 Oasis Sapphire 构建，提供硬件支持的机密计算。 ✨ 功能特性 🔑 私有 API 代理 以加密方式存储 API 密钥（OpenAI、Anthropic、Google 等） 生成代理密钥（privxxx）以替代暴露真实密钥 自动密钥轮换与 webhook 通知 零知识：服务器仅存储其无法解密的加密数据块 🗄️ 加密保险库 采用 AES-256-GCM 加密的密码管理器 密钥由你的钱包签名派生（永不被存储） 备份至 Oasis...

git-hound

🐾 GitHound 一种模式匹配、补丁攻击、批量捕获的秘密窃取工具。 概述 GitHound 通过将 GitHub 搜索技巧（dorks）与模式匹配、上下文检测和提交历史分析相结合，在 GitHub 上搜索暴露的 API 密钥、秘密和凭据 。输入一个 GitHub dork 到 GitHound，它就会扫描匹配你查询的文件和仓库中的秘密。与典型的扫描器不同，GitHound 利用 GitHub 的代码搜索 API ，让你能够完全查看 所有 公开仓库，而不仅仅是少数目标。更多信息请参阅随附博客文章。 3.0 新功能 通过全新的 GitHound Explore...

CVE-2026-85700

Onyx 4.6.6 fails to properly restrict access to custom tool credentials stored in custom_headers , allowing any authenticated user with basic permissions to call GET /tool/{tool_id} or GET /tool endpoints and retrieve plaintext authorization headers and third-party API keys defined by administrat...

EUVD-2026-71149

Onyx 4.6.6 fails to properly restrict access to custom tool credentials stored in customheaders, allowing any authenticated user to read admin-defined API keys. Attackers with basic authentication can call GET /tool/toolid or GET /tool endpoints to retrieve plaintext authorization headers and...

wardn

wardn AI 代理的凭据防火墙。 核心主张是结构性的，而非策略性的：代理接收的是占位令牌，而非真实的 API 密钥。真实的密钥仅跨越一个网络边界——在 wardn 代理内部，前往上游 API 的途中——并在响应返回代理之前被剥离。日志、环境、LLM 上下文窗口、临时文件以及 shell 历史中仅保留占位符。text agent process OPENAIKEY=wdnplaceholdera1b2c3d4e5f6g7h8 useless agent logs Authorization: Bearer wdnplaceholdera1b2... useless LLM contex...

Pinkerton

🕵️ Pinkerton 自1850年起调查JavaScript文件 一个用于爬取JavaScript文件并搜索API密钥、授权令牌、硬编码密码或相关数据的Python项目。 ⚡ 快速开始 快速安装和使用Pinkerton指南。 1. 克隆仓库：git clone https://github.com/000pp/pinkerton.git 2. 安装依赖库：pip3 install -r requirements.txt --break-system-packages 3. 运行Pinkerton：python3 main.py -u https://example.com 🐳...

CVE-2026-85514

A security vulnerability has been detected in StackStorm st2 up to 3.9.0. Impacted is an unknown function of the file st2api/st2api/controllers/v1/auth.py of the component API Key Handler. Such manipulation of the argument apikeyapi.user leads to improper privilege management. The attack may be...

Log4Shell-PoC-Application

☕ Log4Shell PoC 应用程序 基于 Spring 框架的 Web 应用程序，用于 log4shell 漏洞的概念验证 安装与启动 !Important 启动此项目需要 JDK 1.8（开发中使用 8u131） 使用提供的 Dockerfile 构建并运行 poc 应用程序的 Docker 镜像。 root@kitploit: docker build --tag log4shell-poc-application . docker run -d -p 8080:8000 --name Log4shell-PoC-Application...

CVE-2026-85514 StackStorm st2 API Key auth.py privileges management

A security vulnerability has been detected in StackStorm st2 up to 3.9.0. Impacted is an unknown function of the file st2api/st2api/controllers/v1/auth.py of the component API Key Handler. Such manipulation of the argument apikeyapi.user leads to improper privilege management. The attack may be...

EUVD-2026-71088

A security vulnerability has been detected in StackStorm st2 up to 3.9.0. Impacted is an unknown function of the file st2api/st2api/controllers/v1/auth.py of the component API Key Handler. Such manipulation of the argument apikeyapi.user leads to improper privilege management. The attack may be...

CVE-2026-85514

StackStorm st2 (up to 3.9.0) contains an improper privilege management vulnerability in the API Key Handler component (st2api/st2api/controllers/v1/auth.py). An attacker can manipulate the api_key_api.user argument remotely to gain elevated privileges, resulting in low impacts to confidentiality,...

poastal

Poastal - the Email OSINT tool Poastal is an email OSINT tool that provides valuable information on any email address. With Poastal, you can easily input an email address and it will quickly answer several questions, providing you with crucial information. ✨ Features Determine the name of the...

mantra

「🔑」 关于 Mantra 本工具使用 Go 编写，主要目标是搜索 JavaScript 文件和 HTML 页面中的 API 密钥。 它的工作原理是检查网页和脚本文件的源代码，查找与 API 密钥相同或相似的字符串。这些密钥通常用于对第三方 API 等在线服务进行身份验证，属于机密信息，不应公开共享。 通过使用此工具，开发者可以快速发现 API 密钥是否泄露，并在密钥被滥用前采取措施修复问题。此外，安全人员也可利用它来验证使用外部 API 的应用程序和网站是否对其密钥进行了充分保护。 总之，本工具是帮助保护 API 密钥、防止敏感信息泄露的高效且精准的解决方案。 帮助 使用 安装 通过...

Arisu

Arisu — AI Key 自动化采矿系统 Arisu 是一款自动扫描公开代码仓库（GitHub、GitLab、Gitee、Docker Hub、PyPI、npm 等）和代码片段（Gist、Issues、CommonCrawl），提取 AI 服务 API 密钥（DeepSeek、OpenAI、Anthropic、Kimi 等）并验证其有效性及余额的工具。提供 TUI 仪表板和多种输出格式（JSON、CSV、Markdown）。 功能特性 🔍 多源扫描 ：GitHub 代码搜索、Sourcegraph、Gist、Issues、GitLab、Gitee、Docker...

keyFinder

KeyFinder 被动式 API 密钥与机密信息发现工具，适用于 Chrome 和 Firefox KeyFinder 是一款适用于 Chrome 和 Firefox 的浏览器扩展，能被动扫描您访问的每个页面，检测泄露的 API 密钥、令牌、机密信息和凭据。它在后台静默运行，无需任何配置。 检测内容 KeyFinder 内置 80 多种检测模式 ，涵盖以下提供商的机密信息： 工作原理 KeyFinder 在每个页面上扫描 10 个不同的攻击面 ： 1. 脚本src 地址 - 检查所有脚本源 URL 中的关键词和查询参数中的令牌 2. 内联脚本 - 扫描 标签内容中的秘密模式 3...

wikipedia-c2

Wikipedia-C2 Wikipedia C2 Blog Post This is a demo project to demonstrate Command and Control utilizing Wikipedia. After Josh Abraham's demo of C2 utilizing Slack and ICMP, I thought I'd explore what other options in the internet's top sites could be used for C2. After reviewing Wikipedia's API, ...

agent-vault-proxy

Keys on the Wire 你的 AI 代理永远不会持有你的 API 密钥。它发送一个占位符；真正的密钥在传输过程中被替换。 阻止凭证窃取器（Shai-Hulud 及类似工具）和提示注入代理泄露你的机密。被攻破的代理无密可窃。 工作原理 1. 你的代理发送一个带有 占位符 的请求，而非密钥。 2. Keys on the Wire 在传输过程中从你的保险库中替换为真实密钥。 3. 代理永远看不到密钥。无密可泄，无密可窃。 本质上它是一个回环 HTTPS...

Leaked-Credentials

要使用 Google Chrome 的开发者工具和正则表达式搜索泄露的凭据，请按照以下简短步骤操作： 1. 打开 DevTools： 在 Chrome 中，导航到你要检查的站点，然后使用 Ctrl+Shift+I（Windows/Linux）或 Cmd+Option+I（macOS）打开开发者工具。 2. 前往 Network 标签页： 点击“Network”标签页。 3. 启用正则表达式搜索： 点击过滤器栏中的正则表达式图标以启用正则模式。 4. 刷新页面： 刷新页面以加载所有网络请求。 5. 应用正则表达式： 将给定的正则表达式粘贴到过滤器栏中，以搜索表明凭据泄露的模式。...

talos

聊天 · 讨论 · 通讯 · 文档 · 试用 Ory Network · 职位 Ory Talos 是一个可扩展且安全的 API 密钥服务器，专为低延迟验证、水平扩展和可预测的运维而优化。它遵循 API 密钥的既定安全最佳实践，为高吞吐量系统签发、验证、撤销及派生 API 密钥和短期令牌。 什么是 Ory Talos？ 为什么选择 Ory Talos 部署选项 在 Ory Network 上使用 Ory Talos 自托管 Ory Talos 快速开始 谁在使用 Ory Talos 生态系统 Ory Kratos：身份与用户基础设施及管理 Ory Hydra：OAuth2 与 OpenI...

pwned

pwned 一个命令行工具，用于查询Troy Hunt 的 Have I been pwned? 服务，使用 hibp Node.js 模块。 安装 下载并安装 Node.js，然后使用 npm 全局安装 pwned： root@kitploit: npm install pwned -g 或者，你也可以使用 npx 包运行程序按需运行： root@kitploit: npx pwned 受保护的命令 自2019年7月18日起，haveibeenpwned.com API 将多项服务移到了认证之后，需要 API 密钥。请参阅 Troy 的博文 了解理由和完整解释。要使用某些 pwned...