ApplicationInspector

简介 Microsoft Application Inspector 是一个软件源代码特征分析工具，帮助识别第一方或第三方软件组件的编码特征 ，基于已知的库/API调用，在安全和非安全用例中都有帮助。它使用数百条规则和正则表达式模式来揭示源代码中有趣的特征，帮助确定软件是什么 或它做什么 ，从它使用的文件操作、加密、Shell操作、云API、框架等方面进行判断，并且作为一项新的有价值的OSS贡献受到了行业关注，出现在ZDNet、SecurityWeek、CSOOnline、Linux.com/news、HelpNetSecurity、Twitter 等媒体上，并首次在...

warcannon

WARCannon - 灾难级强大的并行WARC处理工具 WARCannon 旨在简化和降低“搜索互联网”这一过程的成本与复杂度。 通过 WARCannon，你可以： 构建并针对真实的 Common Crawl 数据测试正则表达式模式 轻松加载 Common Crawl 数据集以进行并行处理 扩展计算能力，以相当不合理的吞吐量异步处理 WARC 文件 存储并轻松检索结果 工作原理 WARCannon 巧妙利用 AWS 技术实现水平扩展至任意规模，通过竞价实例集群和同区域数据传输降低成本，以惊人速度（每节点高达 100Gbps）从 S3 拉取数据，跨数百个 CPU 核心并行处理，通过...

dismember

🔪 Dismember Dismember 是一个用于 Linux 的命令行工具包，可用于扫描所有（或特定）进程的内存，查找常见秘密和自定义正则表达式等内容。 最终它将成为一个完整的 /proc 工具包。 使用 grep 命令，它可以在所有（可访问的）进程的内存中匹配正则表达式。这可以用于在内存中查找敏感数据，通过进程内存中包含的内容来识别进程，或者从进程内存中查询有趣的信息。 通过 scan 命令内置了许多模式，它实际上就像一个针对您机器内存的秘密扫描器。 Dismember 可以搜索它有权访问的所有进程的内存，因此以 root 身份运行是最有效的方式。...

filebuster

Filebuster An extremely fast and flexible web fuzzer What is it? Filebuster is a HTTP fuzzer / content discovery script with loads of features and built to be easy to use and fast! It uses one of the fastest HTTP classes in the world of PERL - Furl::HTTP. Also the thread modelling is optimized to...

git-secrets

============ git-secrets 防止你将密码和其他敏感信息提交到 git 仓库中。 .. contents:: :depth: 2 简介 :: root@kitploit: git secrets --scan -r|--recursive --cached --no-index --untracked ... git secrets --scan-history git secrets --install -f|--force git secrets --list --global git secrets --add -a|--allowed -l|--literal...

jsleak

描述 我利用大部分空闲时间开发 jsleak，以满足个人需求。它是一款易于使用的命令行工具，旨在发现 JavaScript 文件或源代码中的秘密和链接。jsleak 的灵感来源于 Linkfinder，正则表达式收集自多个来源。 特性： 在 JS 文件中发现秘密，如 API 密钥、令牌和密码。 识别源代码中的链接。 完整 URL 功能 并发处理多个 URL 的扫描 检查 URL 是否存活的 HTTP 状态码 最新更新 Jsleak 现在支持来自 secrets-patterns-db https://github.com/mazen160/secrets-patterns-db 的正则模...

log4j-scanner-CVE-2021-44228

log4j-scanner CVE-2021-44228 用于扫描整个目录以查找CVE-2021-44228尝试的简单工具 总有办法绕过过滤器，正则表达式模式也是如此。...

fuzzdb

FuzzDB 的创建旨在通过动态应用程序安全测试提高发现应用程序安全漏洞的可能性。它是首个也是最全面的开源字典，包含故障注入模式、可预测资源位置以及用于匹配服务器响应的正则表达式。 攻击模式 - FuzzDB 包含全面的攻击载荷原语，用于故障注入测试。 这些模式按攻击类型和适当的平台类型分类，已知会导致诸如操作系统命令注入、目录列表、目录遍历、源码暴露、文件上传绕过、身份验证绕过、XSS、HTTP 头部 CRLF 注入、SQL 注入、NoSQL 注入等问题。例如，FuzzDB 收录了 56 种可能被解释为空字节的模式，并包含了常用方法列表，如 "get, put, test"...

git-vuln-finder

git-vuln-finder 从git提交信息中发现潜在软件漏洞。 输出格式为JSON，包含可能涉及软件漏洞修复的相关提交。搜索仅基于对提交信息的一组正则表达式。如果存在CVE ID，则会自动添加到输出中。输入可以是任何git仓库或GH archive源。 要求 jq（sudo apt install jq） Python poetry 安装 作为库使用 git-vuln-finder 可以通过 poetry 安装。如果你没有安装 poetry，可以执行以下命令 curl -sSL...

pmg

pmg 从网址中提取参数/路径 用法： $ cat urls.txt | python3 PmG.py 结果 保存结果 $ cat urls.txt | python3 PmG.py ResultsFile.txt 你可以在这里使用正则表达式添加更多参数/路径 :D root@kitploit: wordlist = r'url=|password=|link=|u=|word=|username=|linkid=', r'+CSCOU+', CVE-2020-3452 r'.sql|db|tar|backup|bak|zip|git|php'...

endext

EndExt EndExt 是一个 .go 工具，用于从 JS 文件中提取所有可能的端点 想法 当你从 waybackruls 等工具爬取所有 JS 文件，或者从目标网站首页源码中收集 JS 文件的 URL 时…… 如果网站使用了 API 系统，并且你想在 JS 文件中查找所有端点，因为你可能会在这里或那里找到一些隐藏的内容…… 这就是我制作这个工具的原因。我给它 JS 文件的 URL，它会为我抓取提交的 JS 文件中所有可能的端点、URL 或路径。 安装 只需安装 go，然后运行： root@kitploit: ▶ brew install go ▶ git clone...

secret-regex-list

Lista de expresiones regulares para secretos Lista de regex para extraer claves de API secretas e información jugosa. Puedes copiarla directamente y ponerla en tu código de Python; algunas regex pueden requerir tres comillas o se romperá el código. root@kitploit: "Cloudinary" : "cloudinary://.",...

CVE-2026-82617 Apache OpenNLP, Apache OpenNLP: ReDoS / stack exhaustion in RegexNameFinderFactory built-in EMAIL and URL patterns

The two built-in name-finder patterns exposed by opennlp.tools.namefind.RegexNameFinderFactory - DEFAULTREGEXNAMEFINDER.EMAIL and DEFAULTREGEXNAMEFINDER.URL - contain ambiguous nested quantifiers. An application that obtains these finders through RegexNameFinderFactory.getDefaultRegexNameFinders...

CVE-2026-70493

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.6 until 0.11.0, the built-in knowledge search path in backend/openwebui/tools/knowledgefs.py and backend/openwebui/tools/builtin.py let a chat participant choose a pattern used to grep knowledge files...

CVE-2025-71395

SurrealDB versions before 2.2.2 contain a memory exhaustion vulnerability in the string::replace function that fails to restrict resulting string length when using regex patterns. An authenticated attacker can craft a malicious query to exhaust server memory through unbounded string allocations,...

org.hl7.fhir.core: ReDoS via FHIRPath matches()/replaceMatches() in FHIR Validator HTTP Endpoint

All implementations of FHIRPathEngine accept arbitrary FHIRPath expressions and evaluate them without input validation. The utility intended to secure this evaluation did so incorrectly, and did not fully cover all places in which evaluation was being done. An attacker can send a resource...

CVE-2025-71379

A flaw was found in vLLM. Multiple regular expression denial of service ReDoS vulnerabilities exist in versions greater than or equal to 0.6.3 and less than 0.9.0. An attacker can exploit this by submitting crafted input with nested or repeated structures to specific regex patterns within vLLM,...

Duplicate Advisory: vLLM Vulnerable to Regular Expression Denial of Service

Duplicate Advisory This advisory has been withdrawn because it is a duplicate of GHSA-j828-28rj-hfhp. This link is maintained to preserve external references. Original Description vLLM versions = 0.6.3 and 0.9.0 contain multiple regular expression denial of service ReDoS vulnerabilities. Several...

PT-2026-51171

vLLM versions = 0.6.3 and 0.9.0 contain multiple regular expression denial of service ReDoS vulnerabilities. Several regex patterns — in vllm/lora/utils.py, the phi4mini tool parser, and the OpenAI-compatible serving chat endpoint — are susceptible to catastrophic backtracking. An attacker...

PT-2026-25984

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.19 and 8.6.43, a remote attacker can crash the Parse Server by subscribing to a LiveQuery with an invalid regular expression pattern. The server process terminates when the...