DevSecOpsGuideline

Directrices DevSecOps de OWASP Las Directrices DevSecOps de OWASP explican cómo podemos implementar un pipeline seguro, utilizar las mejores prácticas e introducir herramientas que podemos emplear en este ámbito. Además, el proyecto intenta ayudarnos a promover la cultura de seguridad de...

api-security-audit-action

Acción de GitHub: Pruebas estáticas de seguridad de API REST de 42Crunch La acción de Pruebas estáticas de seguridad de API REST localiza contratos de API REST que siguen la Especificación OpenAPI OAS, anteriormente conocida como Swagger y ejecuta comprobaciones de seguridad exhaustivas sobre...

witcher

witcher Implement and monitor Appsec control at scale. Requirements NodeJS 20.13 Tested on Mac Ubuntu How to install $ git clone [email protected]:mf-labs/witcher.git $ cd witcher $ npm i Build a Docker image $ git clone [email protected]:mf-labs/witcher.git $ cd witcher $ docker build ...

murphysec

中文 | EN 墨菲安全的 CLI 工具 ，用于在命令行检测指定目录代码的依赖安全问题，也可以基于 CLI 工具实现在 CI 流程的检测。 功能 1. 分析项目使用的依赖信息，包含直接和间接依赖 2. 检测项目依赖存在的已知漏洞信息 效果截图 CLI 运行结果 检测结果页面 目录 1. 支持的语言 2. 工作原理 3. 使用场景 4. 使用步骤 5. 命令介绍 6. 交流和问题反馈 7. 开源协议 支持的语言 目前支持 Java、JavaScript、Golang、Python、PHP、C、Ruby、Objective-C、.NET 语言项目的检测，后续会逐渐支持其他的开发语言。 语言 ...

botb

Break out the Box BOtB BOtB is a container analysis and exploitation tool designed to be used by pentesters and engineers while also being CI/CD friendly with common CI/CD technologies. What does it do? BOtB is a CLI tool which allows you to: Exploit common container vulnerabilities Perform commo...

botb

Break out the Box BOtB BOtB 是一款容器分析与利用工具，专为渗透测试工程师和普通工程师设计，同时支持常见的 CI/CD 技术，便于集成到持续集成/持续部署流程中。 它能做什么？ BOtB 是一款 CLI 工具，能够让你： 利用常见的容器漏洞 执行常见的容器后渗透操作 当容器内缺少某些工具或二进制文件时提供替代能力 结合 CI/CD 技术使用 BOtB 的能力测试容器部署 以手动或自动方式执行上述操作 当前能力 通过暴露的 Docker 守护进程（docker.sock）实现容器逃逸 通过 CVE-2019-5736 实现容器逃逸 通过启用 CAPS 和...

ageverificationbypass

AgeVerificationBypass AVB 主权系统的庇护协议 为什么我需要提供身份证才能登录 Linux 虚拟机？这太不合理了。 🚨 问题：执政官年龄门 到 2026/2027 年，主流发行版（Ubuntu 和 Fedora）已经开始集成 org.freedesktop.AgeVerification1 D-Bus 标准。在“安全合规”（AB 1043 / Brazil Digital ECA）的幌子下，你的操作系统现在被要求充当数字假释官。 后果： 无头/SSH 失败：你如何在远程 SSH 终端（无屏幕）下验证身份证？你做不到。你被锁在自己的基础设施之外。 虚拟机与 CI/C...

dnsx-action

La acción de dnsx facilita la orquestación de dnsx con GitHub Action. Ejemplo de uso GitHub Action ejecutandodnsx sobre una lista de hosts - name: 💥 dnsx - DNS Resolver uses: projectdiscovery/dnsx-action@main with: list: hosts.txt GitHub Action ejecutandodnsx con resolvers personalizados - name: ...

nord-stream

Nord Stream Nord Stream is a tool that allows you extract secrets stored inside CI/CD environments by deploying malicious pipelines. It currently supports Azure DevOps, GitHub and GitLab. Find out more in the following blogpost:...

cicd-goat

一个故意存在漏洞的CI/CD环境。 破解CI/CD管道，夺取旗帜。🚩 由Cider Security创建 被Palo Alto Networks收购。 目录 描述 下载与运行 Linux & Mac Windows Powershell 使用说明 说明 接受挑战 故障排除 解决方案 贡献 描述 CI/CD Goat 项目让工程师和安全从业者通过一系列11个挑战来学习和实践CI/CD安全，这些挑战是在一个真实的、完整的CI/CD环境中进行的。每个场景难度不同，且每个场景侧重于一个主要的攻击向量。 这些挑战涵盖了 Top 10 CI/CD...

Aurea

Especificación Aurea Estándares de Oro para la Seguridad de IaC Espejo HTML: https://roxanneardary.com/aurea-specification/ Resumen de la Especificación Aurea es una especificación de seguridad de Infraestructura como Código totalmente de código abierto y potenciada por IA, diseñada para...

CVE-2026-4523 Missing Authorization in GitLab

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.11 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 that under certain conditions could have allowed an unauthenticated user to read CI/CD job trace contents containing sensitive variable values due to improper...

Fern Pattern Scanner

Fern Pattern Scanner Welcome to Fern's Pattern Scanner. This scanner scans through your suggested files and finds any patterns stated within the rules/rules.yaml using regex. Then a report is generated with all the findings. This project is used to showcase how a custom security scanner can be...

SecuSphere

SecuSphere Your Comprehensive DevSecOps Solution Welcome to SecuSphere, your one-stop solution for all DevSecOps needs. Our centralized platform is expertly designed to manage and optimize your vulnerability management, CI/CD pipeline integration, security assessments, and DevSecOps practices...

automatic-api-attack-tool

自动 API 攻击工具 Imperva 的可定制 API 攻击工具将 API 规范作为输入，并基于该规范生成并运行攻击作为输出。 该工具能够解析 API 规范，并根据 API 规范中定义的内容创建模糊测试攻击场景。每个端点都会被注入根据规范边界内生成的巧妙值，以及边界之外的值，然后发送相应的请求，并详细报告其成功或失败。您还可以扩展它以运行各种安全攻击向量，例如非法资源访问、XSS、SQLi 和 RFI，这些攻击针对现有端点，甚至不存在的端点。 无需人工干预。只需运行工具即可获取结果。 该工具可以轻松扩展以满足各种需求，例如针对想要测试其 API 的开发者，或希望对其公共 API...

nuclei-action

Esta Nuclei Action facilita la orquestación de Nuclei con GitHub Action. Integra todas tus Nuclei Templates en potentes flujos de trabajo de seguridad continua y conviértela en parte de tu ciclo de vida de desarrollo de software seguro. Nuclei Action Compatibilidad v3.0.0+ se ejecuta en Node.js v...

trajan

Trajan：CI/CD 安全扫描器 Trajan 扫描 CI/CD 流水线中的安全漏洞，这些漏洞常被攻击者用于攻陷软件供应链。它支持 GitHub Actions、GitLab CI、Azure DevOps、Jenkins 和 JFrog。 功能 Trajan 解析工作流 YAML 文件、构建依赖关系图、运行检测插件，并通过内置的攻击能力验证漏洞的可利用性。 跨多个 CI/CD 平台的 32 个检测插件 跨多个 CI/CD 平台的 24 个攻击插件 基于图的污点追踪与门控检测分析 基于浏览器的扫描器（通过 WebAssembly，无需后端） 多阶段攻击链，自动传递上下文 !NOTE...

sslyze

SSLyze SSLyze 是一个快速且强大的 SSL/TLS 扫描工具和 Python 库。 SSLyze 可以通过连接到服务器来分析其 SSL/TLS 配置，以确保服务器使用强加密设置（证书、密码套件、椭圆曲线等），并且不易受到已知 TLS 攻击（如 Heartbleed、ROBOT、OpenSSL CCS 注入等）的影响。 主要功能 注重速度和可靠性：SSLyze 是一个经过实战检验的工具，每天用于可靠扫描 数十万 个服务器。 易于投入运营：SSLyze 可以直接从 CI/CD 中运行，以持续检查服务器是否符合 Mozilla 推荐的 TLS 配置。 提供完善的文档化 Python...

ccs

Escáner de Credenciales en Código Este script está diseñado para escanear una base de código grande y diversa en busca de credenciales codificadas, o credenciales presentes en archivos de configuración. Estas representan un grave problema de seguridad y pueden ser extremadamente difíciles de...

salus

Salus：代码安全与保障的守护者 🔍 概述 Salus（安全自动化轻量级通用扫描器），以罗马保护女神命名，是一个用于协调执行安全扫描器的工具。您可以通过Docker守护进程在仓库上运行Salus，它会确定哪些扫描器相关，运行它们并提供输出。大多数扫描器是我们直接包含在容器中的其他成熟的开源项目。 Salus对于CI/CD流水线特别有用，因为它成为跨大量仓库协调扫描的集中化场所。通常，扫描器在每个项目的仓库级别配置。这意味着当对整个组织范围内扫描器的运行方式进行更改时，每个仓库都必须更新。相反，您可以更新Salus，所有构建将立即继承更改。...