BugBounty Arsenal

버그 바운티 헌터와 보안 연구자를 위한 무료 풀스택 보안 스캐닝 플랫폼 — 단일 대시보드에서 50개 이상의 디텍터, 지속적인 모니터링, CI/CD 게이팅을 제공합니다.

▶ 라이브 앱: bugbounty-arsenal.net — 무료, 신용카드 불필요.

도움이 되셨다면 리포지토리에 ⭐를 눌러 주세요. 정말 큰 도움이 됩니다.

차별점

대부분의 스캐너는 한 번 실행하고 잊어버립니다. BugBounty Arsenal은 대상을 계속 주시하며 변경된 사항만 표면화합니다:

🔁 예약 스캔 — 모든 대상을 일일/주간/월간 단위로 실행하고, 이전 실행 대비 새로 발견된 항목이 있을 때만 이메일/Slack/Discord 알림을 받습니다.
🌐 공격 표면 관리 — 스캔에서 발견한 모든 호스트, 서브도메인, 기술, 포트의 살아있는 인벤토리. 이번 주에 새로 나타난 항목에는 NEW 배지가 표시됩니다.
✅ 파인딩 트리아지 — 파인딩을 열림/수정됨/오탐(false-positive)으로 표시하면 다음 스캔에도 결정이 유지되어, 재스캔 시 진짜 새로운 것만 표면화됩니다.
🧪 CI/CD 및 CLI — 표준 라이브러리만 사용하는 CLI와 GitHub Action을 제공하며, 새로운 치명적(critical) 발견 시 빌드를 자동으로 실패 처리합니다.
🔍 10개 카테고리, 50개 이상의 디텍터 — 리콘, 웹(XSS / SQLi / SSRF / XXE / SSTI / RCE), API(JWT / IDOR / GraphQL), CVE 매칭, 모바일(APK / IPA) 등.
📄 보고서 HTML/PDF/JSON/CSV 형식, 팀 협업, 2FA, 전체 REST API 지원.

제품 둘러보기

BugBounty Arsenal walkthrough

대상 범위를 설정하고 테스트 권한이 있는지 확인합니다.
스캔을 시작하고(또는 정기 실행을 예약하고) 워커 파이프라인이 백그라운드에서 디텍터를 실행하게 합니다.
파인딩을 검토하고 트리아지한 뒤 시간에 따른 공격 표면을 추적합니다.
결과를 내보내거나 CLI/GitHub Action을 파이프라인에 연결합니다.

빠른 시작 (Docker)

git clone https://github.com/FoxVR-sudo/Bug-Bounty-Arsenal-v.3.git
cd Bug-Bounty-Arsenal-v.3
cp .env.example .env        # set SECRET_KEY, ALLOWED_HOSTS, etc.
docker compose up -d --build
# app: http://localhost:3000  ·  api: http://localhost:8001

CI/CD 및 CLI

앱에서 API 키를 생성한 후(프로필 → API 키) 모든 파이프라인을 게이팅하세요:

# .github/workflows/security.yml
- uses: actions/checkout@v4
- uses: FoxVR-sudo/Bug-Bounty-Arsenal-v.3/.github/actions/bugbounty-scan@main
  with:
    api-key: ${{ secrets.BBA_API_KEY }}
    target: https://staging.example.com
    category: 1
    fail-on: high

또는 터미널에서 실행(Python 3, 의존성 없음):

export BBA_API_KEY=your_key
python cli/bba_scan.py --target https://example.com --category 1 --fail-on high

AI 수정 어드바이저 (선택 사항)

모든 파인딩에는 "수정 방법 (AI)" 버튼이 제공되며, 맞춤형 수정 가이드를 반환합니다 — 중요한 이유, 수정 방법(코드/구성 스니펫 포함), 검증 방법, 참고 자료. "전체 수정 방법 (AI)" 버튼은 스캔 전체를 한 번에 처리하며, 파인딩 유형별로 중복을 제거하여 여러 URL에 걸친 동일한 문제를 반복 생성하지 않고 한 번만(그리고 캐시하여) 설명합니다.

적용을 위한 조언이며, AI 생성임을 명확히 표시하고 "실행 전 검증"을 안내합니다. 이 도구는 스캔 대상을 절대 변경하지 않습니다.

이 기능은 제공업체(provider)를 구성하기 전까지 꺼져 있습니다. 완전히 선택 사항이며, 없이도 안전하게 실행할 수 있습니다.

기술 스택

Django + Django REST Framework, Celery + Redis (비동기 스캔용)
React 18, React Query, React Router, Tailwind CSS
PostgreSQL, Docker Compose
subfinder, httpx, nuclei, dalfox, ffuf, katana, amass, nmap + 맞춤형 Python 디텍터 래핑

기여 및 라이선스

기여는 언제나 환영합니다 — CONTRIBUTING.md 및 CODE_OF_CONDUCT.md를 참조하세요. MIT License에 따라 라이선스가 부여됩니다. 승인된 테스트 대상에 대해서만 사용하세요.

인기

Bug-Bounty-Arsenal-v.3