HostileSubBruteforcer

HostileSubBruteforcer This app will bruteforce for exisiting subdomains and provide the following information: IP address Host if the 3rd party host has been properly setup. for example if site.example.com is poiting to a nonexisiting Heroku subdomain, it'll alert you - Currently only works with...

subjack

subjack DNS Takeover Scanner Subjack is a DNS takeover scanner written in Go designed to scan a list of domains concurrently and identify ones that are able to be hijacked. With Go's speed and efficiency, this tool really stands out when it comes to mass-testing. Always double check the results...

cq

cq Code Query，一个通用的代码安全扫描工具。 CQ 扫描代码中的安全漏洞以及安全导向的代码审查人员感兴趣的其他项目。 它将包含所发现问题引用的文本文件输出到一个输出目录。这些输出文件随后可以被审查， 通过 unix 命令行工具（如 grep）进行过滤，或者作为一种“跳转”到代码库中指定 file:line 引用的手段。 一种流行的用法是将输出文件视为“待办事项”列表：在审查过程中删除那些被认为是误报的引用， 或者将引用复制到某个报告文件中，以便详细审查或作为 bug 报告的基础。 该工具极其基础，主要依靠手动操作，并假定使用者对应用程序安全漏洞和代码审查有深入了解。...

Adversarial-Detection-Engineering-Framework

敵対的検出エンジニアリング ADE フレームワーク False Negative 見逃し を先取り するために、脅威アクターに悪用される前に検出ロジックがどのように失敗するかを理解します。 ウェブサイトをチェック: https://adeframework.org/ ADE とは？ 敵対的検出エンジニアリング ADE は、検出ルールにおける False Negative 見逃し について推論する学問です。ADE フレームワークは、検出ロジックバグ （検出ルールが 意図 する検出と 実際 の検出との間の不一致）を最新のオープンソースとして形式化したものです。 ADE の利点 実際の Fal...

DakshSCRA

Daksh SCRA（ソースコードレビュー支援） Author: Debasis Mohanty [email protected] Twitter / X: @coffeensecurity www.coffeeandsecurity.com root@kitploit: Daksh SCRAについて Daksh SCRA（ソースコードレビュー支援）は、ソースコードレビュープロセスの効率を高めるために構築されており、コードレビュアーに構造化され整理されたアプローチを提供します。 潜在的な問題として無差別にすべてをフラグ付けするのではなく、Daksh...

pocsploit

pocsploit 中文 README pocsploit is a lightweight, flexible and novel open source poc verification framework Pain points of the POC framework in the market 1. There are too many params, I don't know how to get started, but only some of them are commonly used. 2. YAML poc frameworklike nuclei & xray ...

apidetector

APIDetector is a powerful and efficient tool designed for testing exposed Swagger endpoints in various subdomains with unique smart capabilities to detect false-positives. It's particularly useful for security professionals and developers who are engaged in API testing and vulnerability scanning...

apidetector

APIDetector は、さまざまなサブドメインで公開された Swagger エンドポイントをテストするために設計された、強力かつ効率的なツールです。誤検知を検出する独自のスマート機能を備えており、API テストや脆弱性スキャンに携わるセキュリティ専門家や開発者にとって特に有用です。 BlackHat Arsenal 2024 で発表 Link バージョン履歴 バージョン 3 の新機能 最新 最新の Web インターフェース : 使いやすいインターフェースで API エンドポイントのスキャンが簡単に リアルタイム結果 : 発見されたエンドポイントや脆弱性のライブ更新...

Astra Linux – Vulnerability in Linux 6.1

In the Linux kernel, the following vulnerability has been resolved: kernfs: The constraint in the draining guard has been relaxed. The active reference lifecycle provides a mechanism for breaking and unbreaking references, but the active reference is not truly active after being unbroken—callers ...

Astra Linux – Vulnerability in PostgresSQL 11

A man-in-the-middle attacker can inject false responses to the client’s first few queries, despite the use of SSL certificate verification and encryption...

phantom-playbooks

这是为 Splunk Phantom 开发的 Corelight 社区 Playbook 仓库。这些提供了一些示例，供你制作自己的 playbook。 Corelight Investigate DNS Alert 本 playbook 从 Splunk 获取 DNS 的已保存搜索或警报机制，并提取警报的 Zeek UID。然后使用逻辑根据 DNS 应答结果识别误报。接着，逻辑获取 DNS IPv4/IPv6 地址，并查找具有匹配 IP 元组的 Conn 日志。随后使用服务来查找 HTTP 或 SSL 流量，并提取有趣的元数据。如果在这些连接期间看到文件，则使用文件 SHA1 在...

hijackthis

Download Latest build v3.x - Release Stable build v2 outdated - not updated anymore this is beta-version - major changes are in progress; although it is definitely safe to use HiJackThis+ HiJackThis+ Plus previously called: HiJackThis Fork v3 is a fork and a continuation of the original Trend Mic...

perl: Perl: Incorrect regular expression processing via large regular expressions

A flaw was found in Perl. When the Perl regular expression engine processes patterns with a very large number of alternative fixed strings, an internal data field can overflow. This leads to silently incorrect regular expression matches, causing the engine to either match strings it should not...

waf-bypass

WAFバイパスツール WAF Bypass Toolは、定義済みおよびカスタマイズ可能なペイロードを使用して、WAFのFalse Positives（誤検知）およびFalse Negatives（見逃し）を分析するためのオープンソースツールです。攻撃者が行う前にWAFをチェックしましょう。WAF Bypass Toolは、Nemesida WAFチームがコミュニティの参加のもとで開発しました。 違法行為は行わないでください 違法または不正な目的での使用は禁止されています。法律を破らないでください。このソフトウェアの使用に関連する可能性のあるリスクについて、当社は一切責任を負いません。...

waf-bypass

WAF Bypass Tool WAF Bypass Tool is an open source tool to analyze the security of any WAF for False Positives and False Negatives using predefined and customizable payloads. Check your WAF before an attacker does. WAF Bypass Tool is developed by Nemesida WAF team with the participation of...

wesng

Windows Exploit Suggester - Next Generation WES-NG WES-NG is a tool based on the output of Windows' systeminfo utility which provides the list of vulnerabilities the OS is vulnerable to, including any exploits for these vulnerabilities. Every Windows OS between Windows XP and Windows 11, includin...

EagleEye

EagleEye: Project Discovery による HTTPX に -ss オプションが追加されたことで、gf xss と qsreplace を使用して、XSS ペイロード（例: alerthacked）を含む潜在的に脆弱な URL のリストを作成できるようになりました。HTTPX はその後、すべての URL にアクセスしてスクリーンショットを撮影し、それらは output/screenshot/indexscreenshot.txt に保存されます。 スクリーンショットから実際に脆弱な URL をフィルタリングするには、ee.sh スクリプトを使用できます。単に...

Analysis

検知エンジニアリングノートと分析 このリポジトリは、ラボテスト、ログ分析、実際のSOCワークフローに基づいた実践的な検知研究を文書化しています。 焦点は、攻撃者の手法が実際にログにどのように現れるか、どの検知ロジックが実運用で機能し、何が失敗し、どこで偽陽性が発生するかにあります。すべてのコンテンツは、アナリストと検知エンジニアのための防御的な視点から書かれています。 これは攻撃ツールやエクスプロイト開発ではありません。 このリポジトリに含まれるもの DLLハイジャックとサイドローディング...

perl: Perl: Incorrect regular expression processing via large regular expressions

A flaw was found in Perl. When the Perl regular expression engine processes patterns with a very large number of alternative fixed strings, an internal data field can overflow. This leads to silently incorrect regular expression matches, causing the engine to either match strings it should not...

vulnrepro-benchmark

VulnRepro 一个用于检验 AI 模型是否真的能审查易受攻击的代码、还是仅仅听起来很自信的基准测试。 大多数安全基准只问一个问题：模型能否找到漏洞？这只是工作的一半。另一半——也就是真正审查工作中最磨人的部分——是不去标记那些根本不存在的漏洞。一个动不动就对每个文件高喊"有漏洞"的模型，在只衡量召回率的基准上会表现得很棒，但在实践中毫无用处。 所以我围绕这两个方面同时构建了这个基准。 测试用例来自真实的漏洞赏金报告。其中大部分是我通过 bugbountydaily.com 上由 busf4ctor Vitor Falcão...