ウェブアプリケーション悪用

andresriancho/w3af

オープンソースのWebアプリケーションセキュリティスキャナで、XSS、SQLインジェクション、OSコマンドインジェクションを含む200以上の脆弱性を特定・悪用します。ペネトレーションテスターと開発者向けに設計されています。

ikow/php2shell-poc

CVE-2026-109618/109619 PHP session.upload_progress エクスプロイト研究 — POC と分析

boundaryx/cloudrasp-log4j2

log4j2 CVE-2021-44228 脆弱性の防御を目的とした RASP ツール。log4j2 RCE（CVE-2021-44228）対策専用に設計されたランタイムアプリケーション自己保護モジュール。

usestrix/strix

Open-source AI penetration testing tool to find and fix your app’s vulnerabilities.

keygraphhq/shannon

Shannonは、WebアプリケーションとAPI向けの自律型ホワイトボックスAIペンテスターです。ソースコードを分析し、攻撃ベクトルを特定し、実際のエクスプロイトを実行して、本番環境に到達する前に脆弱性を証明します。

ghxstsec/php2shell-poc

CVE-2026-109618 用の Python エクスプロイト: PHP の session.upload_progress ヒープ破壊を悪用して zend_call_function を上書きし、リモートコマンド実行を達成します。

9bie/php2shell-bypass-aslr-exp

PHP 8.4.26 + Apache mod_php において、セッションの upload_progress によるヒープリーク、ダングリングポインタの再利用、および ASLR バイパスを組み合わせて zif_system を呼び出す、RCE を実現する純粋な HTTP エクスプロイト。

sqlmapproject/sqlmap

自動SQLインジェクションおよびデータベース乗っ取りツール

ffuf/ffuf

Goで書かれた高速なWebファザー

ghosttroops/top

TOP All bugbounty pentesting CVE-2023- POC Exp RCE example payload Things

jonaschen0103/cve-2026-33439-poc

Python PoCは、OpenAMにおける認証前RCEであるCVE-2026-33439を悪用するもので、jato.clientSessionパラメータのJavaデシリアライゼーションを利用し、インタラクティブモードとブラインドシェルモードを備えています。

devcop95/bugbounty-lab101

HackerOneリサーチャー向けの完全なバグバウンティワークスペース。スコープの適用、自動偵察/脆弱性パイプライン（400以上のツール）、レポートテンプレート、CVE/CWEウォッチリスト、ローカルVM練習ラボを含みます。規律ある倫理的なハンティングのために構築されています。

webgoat/webgoat

Webアプリケーションセキュリティとペネトレーションテスト技術を学ぶためのインタラクティブなレッスンとチャレンジを備えた、意図的に脆弱性を持たせたWebアプリケーションです。

botesjuan/burp-suite-certified-practitioner-exam-study

PortSwigger Academyラボ向けの実践的な学習ノートとウォークスルー。Web脆弱性、ペイロード、列挙、BSCP試験対策を網羅しています。

projectdiscovery/katana

A next-generation crawling and spidering framework.

liaomilk/cve-2025-69212-for-myself

自分用のメモ