SnafflerParser

Snaffler 输出文件解析器 尤其是在大型环境中，Snaffler 的输出会变得非常庞大且耗时难以分析。 此脚本解析 Snaffler 输出文件（需要 TSV 格式）并： 将结果美化为可读表格，并导出为 TXT、CSV、HTML、JSON 或 PS Gridview。 生成交互式 HTML 报告，具有： 过滤（严重性、扩展名、修改年份）和全文搜索 动态排序 预览文本中的关键词高亮 直接操作（打开父文件夹、下载文件、复制 UNC、复制父 UNC） 带持久状态的审查工作流： ★ 标记（感兴趣） ✓ 完成（已审查） 可选的 unescape 模式，提高预览可读性（实验性）...

CVE-2026-22686

Enclave VM 沙箱逃逸 CTF 挑战 挑战：“打破高墙” 难度： 困难 类别： 源代码审计 / 沙箱逃逸 分值： 500 场景 你发现了一个神秘的沙箱化 JavaScript 执行环境……...

APKHunt

APKHunt | OWASP MASVS 静的解析ツール APKHuntは、OWASP MASVSフレームワークに基づいたAndroidアプリ向けの包括的な静的コード解析ツールです。主にモバイルアプリ開発者やセキュリティテスター向けに設計されていますが、誰でもコード内の潜在的なセキュリティ脆弱性を特定し対処するために使用できます。...

Awesome-LLM4Cybersecurity

当大语言模型遇上网络安全：系统性文献综述 🔍 探索涵盖11个研究类别的756+篇论文 📊 RQ1：领域大语言模型 | 🎯 RQ2：应用 | 🤖 RQ3：未来方向 更新日志 📆2026-06-15 我们已将相关论文更新至2026/06/15 ，新增 108 篇论文。 📆2026-02-09 我们已将相关论文更新至2026/01/31 ，新增 80 篇论文（2025.08.31-2026.01.31）。 📆2025-11-17 我们已将相关论文更新至2025/08/31 ，新增 176 篇论文（2025.03.01-2025.08.31）。 📆2025-03-03...

secure-agent-playbook

安全代理手册 一个面向 AI 代理的开源安全手册。结构化、基于 OWASP 的流程，使代理能够执行安全工程任务——从代码审查到 AI 代理安全审计。 目录 为什么使用这个？ 这是什么 快速开始 技能目录 代理 示例输出 剧本 架构 OWASP 基础 相关项目 贡献 为什么使用这个？ 如果没有手册，让 AI 代理“审查我的代码安全性”只会给你一份表面级的检查清单。有了这些剧本，代理会遵循结构化的、基于 OWASP 的流程——系统地测试每一类漏洞，生成包含 CWE 映射、OpenCRE 交叉引用、证据片段和具体修复代码的发现。 一致的方法论...

voron-crypto

Voron 加密/协议库 — 评审请求 这是一个小型 E2EE 即时通讯项目的加密与消息协议核心，被单独提取出来供外部评审。它不是 完整产品——Android 客户端和部署配置被有意排除在外；这只是需要接受审查的部分。 这里包含什么 common/ — 库本身： e2ee/ — X3DH-lite（异步密钥协商）+ 其上的 Double Ratchet，基于 Curve25519/ChaCha20-Poly1305/Ed25519/HKDF 构建（JDK 提供的原语，该层没有任何手写实现）。 crypto/ — 对这些 JDK 原语的薄封装。 group/ — 通过 sender-key...

nelson

Nelson 愚直なブルートフォースによる脆弱性の発見 Nicholas Carlini の講演と Ralph loop に触発された Nelson は、プロジェクト内のすべてのファイルに対してループ処理を行い、エージェントに脆弱性の有無を問い合わせるツールです。スキャンモード（Carlini の bash...

kin

コードのための新しい基盤。 Kinは、人とAIエージェントのためのグラフネイティブなコードリポジトリです。 ソースコード、記録されたコードの関係性、バージョン管理された履歴をリポジトリの状態として保存します。グラフはリポジトリのモデルそのものであり、別のリポジトリの隣で維持される検索インデックスではありません。 関数、型、そしてそれらの間の関係性は、コミット、ブランチ、マージできるデータです。正確なソースはバイト単位で保持され、ファイルシステム投影によって対応ツールは通常のファイルを使い続けられます。 パブリックベータ。...

tarnish

tarnish tarnish は、Chrome 拡張機能のセキュリティレビューを支援する静的解析ツールです。通常の定期作業の多くを自動化し、潜在的なセキュリティ脆弱性を素早く特定するのに役立ちます。このツールは、こちら にある研究ブログ記事に付随しています。この設定を自分で行う手間をかけたくない場合は、https://thehackerblog.com/tarnish/ でツールを直接使用することもできます。 未完成版に関する注意とメモ これは未完成版のリリースであることに留意してください。これは https://thehackerblog.com/tarnish/...

shim-review

此仓库用于审查签名 shim 的请求。要创建审查请求： 克隆此仓库（最好 fork） 编辑下面的模板 添加要签名的 shim.efi 添加构建日志 添加可能需要的任何附加二进制文件/证书/SHA256 哈希 提交所有这些内容 使用格式为 "myorg-shim-arch-YYYYMMDD" 的标签进行标记 推送到 GitHub 在 https://github.com/rhboot/shim-review/issues 提交一个 issue，并附上你的标签链接 当你的 issue 被添加 "accepted" 标签时，即表示已获批准 请注意，我们实际上只对在 Linux 上使用 GRUB...

cq

cq Code Query，一个通用的代码安全扫描工具。 CQ 扫描代码中的安全漏洞以及安全导向的代码审查人员感兴趣的其他项目。 它将包含所发现问题引用的文本文件输出到一个输出目录。这些输出文件随后可以被审查， 通过 unix 命令行工具（如 grep）进行过滤，或者作为一种“跳转”到代码库中指定 file:line 引用的手段。 一种流行的用法是将输出文件视为“待办事项”列表：在审查过程中删除那些被认为是误报的引用， 或者将引用复制到某个报告文件中，以便详细审查或作为 bug 报告的基础。 该工具极其基础，主要依靠手动操作，并假定使用者对应用程序安全漏洞和代码审查有深入了解。...

kviklet

Kviklet Kviklet.dev | リリースノート | Discord 開発者の生産性を損なうことなく、本番環境への安全なアクセスを実現します。 Kviklet（クイックレットと発音）は、本番データベースアクセスに四眼原則を適用し、個々のSQL文または時間制限付きデータベースセッションに対して、プルリクエストのようなレビューと承認のワークフローを提供します。エンジニアは、すべてのクエリをDBAや運用チーム経由にすることなく、互いのリクエストをレビューして承認できます。...

tusk-cli

!IMPORTANT 之前使用的是 tusk-drift-cli？此仓库已迁移至 tusk-cli，旧版本 CLI 可能无法在重命名后自动更新。请根据下方的安装说明重新安装。 Tusk CLI 提供自动化测试工作流的工具。它支持三种产品： Tusk Drift - 将实时流量录制/回放为 API 测试 Tusk Review - 对本地工作树进行 AI 代码审查 Tusk Unit - 自动化单元测试 Tusk Drift — API 录制/回放测试 录制真实 API 流量并将其回放为确定性测试。可在本地和 CI/CD 环境中与 Tusk Drift Cloud 配合使用。 tusk...

appsec-agent

AppSec Agent AI 驱动的安全代理，用于代码审查、PR 扫描、威胁建模、修复生成等场景。 你可以通过三种方式使用 AppSec Agent ： 途径| 适用场景| 快速开始 ---|---|--- CLI agent-run| 从终端体验代理| 快速入门 npm 库| 构建你自己的应用或流水线| Web 集成 · 开发 AI Threat Modeler| 提供登录、仪表盘和导出功能的完整 Web UI —— 无需 CLI| 父应用 README 通过 npm 安装： npm install appsec-agent 前置要求 1. Node.js 18+ ——...

vulnrepro-benchmark

VulnRepro Un benchmark que verifica si un modelo de IA realmente puede revisar código vulnerable, o si solo suena seguro. La mayoría de los benchmarks de seguridad preguntan: ¿puede el modelo encontrar el fallo? Eso es solo la mitad del trabajo. La otra mitad, la que realmente desgasta en una...

trufflehog-explorer

TruffleHog Explorer 🕵️‍♂️ TruffleHog Explorer へようこそ。TruffleHog を使用して抽出されたデータを可視化・分析するための、ユーザーフレンドリーな Web ベースのツールです。TruffleHog は、秘密情報の発見、分類、検証、分析を行うための最も強力なオープンソースツールのひとつです。ここで「秘密情報」とは、機械が別の機械に対して自身を認証するために使用する認証情報（API キー、データベースパスワード、秘密暗号鍵など）を指します。 改良された...

scorecard

OpenSSF Scorecard Overview What Is Scorecard? Prominent Scorecard Users View a Project's Score Scorecard's Public Data Using Scorecard Scorecard GitHub Action Scorecard REST API Scorecard Badges Scorecard Command Line Interface Prerequisites Installation Authentication Basic Usage Checks Default...

bitchat-android

!WARNING 此软件尚未经过外部安全审查，可能存在漏洞，且不一定能达到其声称的安全目标。请勿将其用于敏感场景，在审查完成之前不要依赖其安全性。仍在开发中。 bitchat Android 版 一款安全、去中心化、点对点的即时通讯应用，通过蓝牙网状网络工作。网状聊天无需互联网、无需服务器、无需电话号码——只有纯粹的加密通信。Bitchat 还支持 geohash 频道，利用互联网连接将你与同一地理区域内的其他人联系起来。 这是原始 bitchat iOS 应用 的 Android 移植版 ，保持 100% 的协议兼容性，支持跨平台通信。 安装 bitchat 你可以从 GitHub...

domainhunter

Domain Hunter Authors Joe Vest @joevest & Andrew Chiles @andrewchiles Domain name selection is an important aspect of preparation for penetration tests and especially Red Team engagements. Commonly, domains that were used previously for benign purposes and were properly categorized can be purchas...

awesome-appsec-interview

Awesome AppSec Interview 面接対策に役立つリソース、練習問題、学習資料を厳選したリストです。アプリケーションセキュリティエンジニア の面接に向けて、面接タイプ別に整理されています。 Contents インタビューの概要 セキュアコードレビュー 脅威モデリング コーディング＆スクリプティング シナリオベースの面接 技術知識 システム設計 行動面接（STAR） 関連リソース Contributing License Interview Overview 面接の流れ ほとんどのAppSec面接では、以下のような項目が組み合わされます。 セキュアコードレビュー 脅威モデリ...