静态代码分析 (SAST)

semgrep/semgrep

轻量级多语言静态分析。通过类似源代码的模式查找Bug变种。

pmd/pmd

一个可扩展的多语言静态代码分析器。

promptfoo/modelaudit

用于 AI/ML 模型文件的安全扫描器。在部署前检测恶意代码、后门和漏洞。

analysis-tools-dev/static-analysis

Curated directory of static analysis (SAST) tools and linters for programming languages, configs, build tools, and CI, focused on improving code…

stelligent/cfn_nag

CloudFormation 模板的 lint 检查工具

phpstan/phpstan

PHP静态分析工具 - 在不运行代码的情况下发现代码中的bug！

bridgecrewio/checkov

基础设施即代码的静态分析工具，可在构建时检测跨Terraform、Kubernetes、CloudFormation和容器镜像的云配置错误、漏洞和机密信息。

controlplaneio/kubesec

Kubernetes 资源的安全风险分析

xoreaxeaxeax/schrodingers-toctou

检测编译器引入的内存加载，它们会将安全的C代码转变为TOCTOU漏洞。包括自动化源码审计、基于Unicorn的二进制分析，以及对100多个项目进行的编译器/架构/编译选项遍历扫描。

github/codeql

CodeQL：为全球安全研究人员提供支持，以及GitHub高级安全中代码扫描功能的库和查询。

gadievron/raptor

自动化安全研究框架，集成静态分析、二进制分析、模糊测试、基于大语言模型的漏洞验证、漏洞利用生成及补丁编写，支持攻击与防御操作。

owasp/riskassessmentframework

安全编码框架

microsoft/applicationinspector

一款源代码分析器，旨在快速通过静态分析并结合基于JSON的规则引擎，突出显示感兴趣的特征及其他特性，以回答'代码中有什么？'这一问题。非常适合在使用前扫描组件或检测特性级别的变化。

opsxcq/exploit-cve-2016-10033

PHPMailer < 5.2.18 远程代码执行漏洞利用和易受攻击的容器

lirantal/awesome-nodejs-security

- 精选的 Node.js 安全工具目录，包含静态分析器、漏洞扫描器以及涵盖 OWASP Top 10、供应链安全和安全编码实践的教育资源。

zrax/pycdc

C++ Python字节码反汇编器和反编译器