API安全测试

akha-security/akca

面向证据的 Go 语言 DAST 扫描器，可爬取 Web 应用和 API，然后运行自适应 SQLi、XSS、RCE、SSRF 和认证检查，并提供可重放的证明。

theqmaks/resolver

该扩展将流行的 CAPTCHA 解决方案服务集成到 BurpSuite 中，无需人工干预即可处理不同类型的 CAPTCHA。

kamalx06/xxeripper

黑盒XXE扫描器，通过统计基线、解析器指纹识别和OOB确认检测带内、基于错误和盲注带外注入，并支持SARIF输出。

forefy/reburp

一个将完整的 Montoya API 暴露为本地 REST API 的 Burp Suite 扩展，并带有 Swagger UI

t0xodile-swig/http3-adapter

Burp Suite 扩展，用于拦截请求并通过 HTTP/3 发送，再将响应转换回 Burp，支持 kettled 请求和 HTTP/3 能力检测。

licitrasimone/cve-2026-75157-poc

针对 CVE-2026-75157 的独立授权通用 HTTP PoC

0xmarik/aresius

面向渗透测试人员和漏洞赏金猎人的原生 HTTP/HTTPS 拦截代理，支持实时请求篡改、请求重放、高速模糊测试和 HTTPQL 过滤。

isaca0315/cve-2026-65013-bola-idor

针对 Onlook 的 tRPC API 的可复现 BOLA/IDOR PoC（CVE-2026-65013），包含 12 步利用链、存在漏洞和已修补的 Docker 目标，以及技术文档。

lumoslab-innovation/openhunterai

面向 Web、API 和 LLM 应用安全的本地优先 AI 红队。攻击者式推理、有证据支撑的发现，以及面向 AI 编码代理的技能。

thoropass-public/area51

The exploit server for out-of-band findings. Point a target at a domain you own. Every HTTP request and every email it sends back lands in a…

vid4l-07/roxy

基于终端的 HTTP 拦截代理，带有 TUI，可实时捕获、检查和修改请求，并配有 Repeater 用于重发和调整请求。

hahwul/gori

一个快速、键盘驱动的 HTTP 拦截代理，以及面向终端的黑客与渗透测试工具包。

offensive360/sast-scan-action

GitHub Action for Offensive360 SAST scans and SARIF results. See the open-source program for eligibility and setup.

offensive360/mcp-server

MCP 服务器，可在本地代码库上运行 SAST 扫描，并返回带有严重级别和修复建议的发现结果，使 AI 助手能够执行安全分析和修复。

intelligencex/sdk

用于查询 Intelligence X 搜索引擎和数据存档的 SDK，支持邮箱、域名、IP 和电话等选择器。包含 Python、PHP、Go 的 API 封装，以及用于 OSINT 调查的 Maltego 转换。

ericmtzmtz/pwnproxy

An open, local-first security testing platform for pentesters, AI agents, CI/CD pipelines, and teams.