# awesome-web-hacking
本列表面向所有希望学习 Web 应用安全但苦于没有入门途径的人。
你可以通过提交 Pull Request 来补充更多信息，以此提供帮助。
如果你不倾向于提交 PR，可以在 `@infoslack` 上给我发推文。
目录
=================
* [书籍](#books)
* [文档](#documentation)
* [工具](#tools)
* [速查表](#cheat-sheets)
* [Docker](#docker-images-for-penetration-testing)
* [漏洞](#vulnerabilities)
* [课程](#courses)
* [在线黑客演示站点](#online-hacking-demonstration-sites)
* [实验环境](#labs)
* [SSL](#ssl)
* [Ruby on Rails 安全](#security-ruby-on-rails)
## 书籍
* http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ 《The Web Application Hacker's Handbook: Finding and Exploiting Security Flaws》
* http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ 《Hacking Web Apps: Detecting and Preventing Web Application Security Problems》
* http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ 《Hacking Exposed Web Applications》
* http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ 《SQL Injection Attacks and Defense》
* http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ 《The Tangled WEB: A Guide to Securing Modern Web Applications》
* http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ 《Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'》
* http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ 《XSS Attacks: Cross Site Scripting Exploits and Defense》
* http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ 《The Browser Hacker's Handbook》
* http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ 《The Basics of Web Hacking: Tools and Techniques to Attack the Web》
* http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ 《Web Penetration Testing with Kali Linux》
* http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ 《Web Application Security, A Beginner's Guide》
* https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ 《Hacking: The Art of Exploitation》
* https://www.crypto101.io/ - 《Crypto 101》是一门密码学入门课程
* http://www.offensive-security.com/metasploit-unleashed/ - 《Metasploit Unleashed》
* http://www.cl.cam.ac.uk/~rja14/book.html - 《Security Engineering》
* https://www.feistyduck.com/library/openssl-cookbook/ - 《OpenSSL Cookbook》
* https://www.manning.com/books/real-world-cryptography - 学习并应用密码学技术。
* https://www.manning.com/books/making-sense-of-cyber-security - 一本关于网络安全关键概念、术语和技术的指南，非常适合任何正在规划或实施安全策略的人。
* https://www.manning.com/books/cyber-security-career-guide - 通过学习如何调整你现有的技术和非技术技能，开启网络安全职业生涯。
* https://www.manning.com/books/secret-key-cryptography - 一本关于密码学技术和密钥方法的书。
* https://www.manning.com/books/application-security-program-handbook - 这本实用书籍是实施稳健应用安全计划的一站式指南。
* https://www.manning.com/books/cyber-threat-hunting - 网络威胁狩猎实用指南。
* https://nostarch.com/bug-bounty-bootcamp - 《Bug Bounty Bootcamp》
* https://nostarch.com/hacking-apis - 《Hacking APIs》
* https://www.manning.com/books/grokking-web-application-security - 一本关于构建能够应对并抵御任何攻击的 Web 应用的书。
## 文档
* https://www.owasp.org/ - 开放 Web 应用安全项目（Open Web Application Security Project）
* http://www.pentest-standard.org/ - 渗透测试执行标准（Penetration Testing Execution Standard）
* http://www.binary-auditing.com/ - Dr. Thorsten Schneider 的二进制审计（Binary Auditing）
* https://appsecwiki.com/ - 应用安全 Wiki 是一项旨在为安全研究人员和开发人员集中提供所有应用安全相关资源的倡议。
* [AppSec Santa](https://appsecsanta.com) - 对 129+ 款 Web 应用安全工具进行独立比较，涵盖 SAST、DAST、SCA 等。
## 工具
* https://github.com/bad-antics/nullsec-linux - NullSec Linux - 预配置了 Web 应用测试工具的安全发行版
* https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Web 应用模糊测试框架
* https://github.com/poszothebuilder/nextjs-security-headers-starter - 无依赖的 Next.js 安全响应头起始模板，包含 CSP、HSTS 以及用于 CI 的生产环境验证器。
* https://www.deepinfo.com/ - Deepinfo 攻击面平台可发现您的所有数字资产，全天候监控它们，检测任何问题，并快速通知您，以便您立即采取行动。
* https://github.com/bountyyfi/lonkero - 企业级 Web 漏洞扫描器，内置 60 多个攻击模块，使用 Rust 构建，用于渗透测试和安全评估。
* https://spyse.com/ - OSINT 搜索引擎，提供关于整个 Web 的最新数据，将所有数据存储在自己的数据库中，可关联查找数据，并具有一些很酷的功能。
* http://www.metasploit.com/ - 世界上使用最广泛的渗透测试软件
* https://findsubdomains.com - 在线子域名扫描服务，附带大量附加数据。基于 OSINT 工作。
* https://cc.la - 免费的在线工具包，用于 WHOIS、RDAP、DNS、IP WHOIS、SSL 证书查询、名称服务器历史记录、网络诊断（ping/traceroute/MTR）以及域名监控。无需注册。
* https://vacato.io - 免费的 RDAP 域名监控列表：定时检查，并在状态看起来可注册时通过 Telegram/电子邮件/Slack 通知。它不是注册商，也不是抢注服务。免费套餐：10 个域名。
* https://github.com/BlessedRebuS/Krawl - 云原生 Web 欺骗服务器和反爬虫工具。
* https://github.com/bjeborn/basic-auth-pot HTTP 基本认证蜜罐。
* http://www.arachni-scanner.com/ - Web 应用程序安全扫描框架
* https://github.com/ASCIT31/Dark-Moon - Darkmoon 是一个开源（GPL-3.0）自主 AI 渗透测试平台，通过 MCP 编排 80 多个工具，并配有按技术栈划分的专用攻击子代理（GraphQL、Spring Boot、ASP.NET、Node.js、Flask、PHP、Ruby），同时为每个发现保留证据链。
* https://github.com/BugTraceAI/BugTraceAI - BugTraceAI 是一个开源多代理平台，用于经授权的 Web 应用程序安全测试，具备验证、证据捕获和报告功能。
* https://github.com/TayfurYldz/headerproof - HeaderProof 是一个面向开发者的 alpha 阶段低噪声主动扫描器，用于对经授权的、由响应头驱动的 Web 安全线索进行测试，例如 CORS 配置错误、响应拆分、缓存投毒候选和反射路径，并带有明确的证据门槛和误报抑制机制。
* https://github.com/ANVEAI/anve-offsec - 运行于 Kali Linux 的自主 AI 安全工程师与漏洞赏金平台，具备有状态的 Hermes 推理、OpenClaw Chromium 浏览器 sidecar 以及 Qdrant 向量策略 RAG。🇮🇳
* https://github.com/sullo/nikto - Nikto Web 服务器扫描器
* http://www.tenable.com/products/nessus-vulnerability-scanner - Nessus 漏洞扫描器
* http://www.portswigger.net/burp/intruder.html - Burp Intruder 是一款用于对 Web 应用自动化执行定制攻击的工具。
* http://www.openvas.org/ - 世界上最先进的开源漏洞扫描器和管理器。
* https://github.com/iSECPartners/Scout2 - AWS 环境的安全审计工具
* https://www.owasp.org/index.php/Category:OWASP_DirBuster_Project - 一个多线程 Java 应用程序，旨在对 Web/应用服务器上的目录和文件名进行暴力破解。
* https://www.owasp.org/index.php/ZAP - Zed Attack Proxy 是一款易于使用的集成渗透测试工具，用于发现 Web 应用程序中的漏洞。
* https://github.com/vigolium/vigolium - 高保真 Web 与 API 漏洞扫描器，将代理式 AI 与快速原生引擎融合；拥有 250 多个检测模块，覆盖 OWASP Top 10、经认证的 IDOR/BOLA 与带外测试，并支持 OpenAPI/Postman/Burp/cURL 输入。开源，AGPL-3.0。
* https://github.com/tecknicaltom/dsniff - dsniff 是一组用于网络审计和渗透测试的工具。
* https://github.com/WangYihang/Webshell-Sniper - 通过终端管理您的 webshell。
* https://github.com/DanMcInerney/dnsspoof - DNS 欺骗器。丢弃来自路由器的 DNS 响应，并用伪造的 DNS 响应替换它
* https://github.com/trustedsec/social-engineer-toolkit - 来自 TrustedSec 的 Social-Engineer Toolkit（SET）仓库
* https://github.com/sqlmapproject/sqlmap - 自动 SQL 注入与数据库接管工具
* https://github.com/beefproject/beef - 浏览器利用框架项目
* http://w3af.org/ - w3af 是一个 Web 应用程序攻击与审计框架
* https://github.com/espreto/wpsploit - WPSploit，利用 Metasploit 攻击 WordPress
* https://vulert.com/ - Vulert 通过检测开源依赖中的漏洞来保障软件安全——无需访问你的代码。它支持 Js、PHP、Java、Python 等。
* https://github.com/WangYihang/Reverse-Shell-Manager - 通过终端管理反向 shell。
* https://github.com/RUB-NDS/WS-Attacker - WS-Attacker 是一个用于 Web 服务渗透测试的模块化框架
* https://github.com/wpscanteam/wpscan - WPScan 是一个黑盒 WordPress 漏洞扫描器
* https://github.com/own2pwn-fr/wp2shell-detect - 针对 WordPress 核心中 wp2shell 预认证 RCE 链（CVE-2026-63030 / CVE-2026-60137）的黑盒、非侵入式检测器；从公开来源识别核心版本，并在不利用漏洞的情况下标记存在漏洞的安装
* http://sourceforge.net/projects/paros/ Paros 代理
* https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project Web Scarab 代理
* https://code.google.com/p/skipfish/ Skipfish，一款主动式 Web 应用程序安全侦察工具
* http://www.acunetix.com/vulnerability-scanner/ Acunetix Web 漏洞扫描器
* https://cystack.net/ CyStack Web 安全平台
* http://www-03.ibm.com/software/products/en/appscan IBM Security AppScan
* https://www.netsparker.com/web-vulnerability-scanner/ Netsparker Web 漏洞扫描器
* http://www8.hp.com/us/en/software-solutions/webinspect-dynamic-analysis-dast/index.html HP Web Inspect
* https://github.com/sensepost/wikto Wikto - 适用于 Windows 的 Nikto，并附带一些额外功能
* http://samurai.inguardians.com Samurai Web 测试框架
* https://code.google.com/p/ratproxy/ Ratproxy
* http://www.websecurify.com Websecurify
* http://sourceforge.net/projects/grendel/ Grendel-scan
* https://tools.kali.org/web-applications/gobuster 用 Go 编写的目录/文件与 DNS 爆破工具
* http://www.edge-security.com/wfuzz.php Wfuzz
* http://wapiti.sourceforge.net wapiti
* https://github.com/neuroo/grabber Grabber
* https://subgraph.com/vega/ Vega
* http://websecuritytool.codeplex.com Watcher 被动式 Web 扫描器
* http://xss.codeplex.com x5s XSS 与 Unicode 转换安全测试助手
* http://www.beyondsecurity.com/avds AVDS 漏洞评估与管理
* http://www.golismero.com Golismero
* http://www.ikare-monitoring.com IKare
* http://www.nstalker.com N-Stalker X
* https://www.rapid7.com/products/nexpose/index.jsp Nexpose
* http://www.rapid7.com/products/appspider/ App Spider
* http://www.milescan.com ParosPro
* https://www.qualys.com/enterprises/qualysguard/web-application-scanning/ Qualys Web 应用程序扫描
* http://www.beyondtrust.com/Products/RetinaNetworkSecurityScanner/ Retina
* https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework Xenotix XSS 利用框架
* https://github.com/future-architect/vuls 适用于 Linux 的漏洞扫描器，无代理，用 golang 编写。
* https://github.com/rastating/wordpress-exploit-framework 一个 Ruby 框架，用于开发和使用辅助 WordPress 驱动网站与系统渗透测试的模块。
* http://www.xss-payloads.com/ XSS Payload，用于利用 XSS 漏洞、构建自定义 payload、练习渗透测试技能。
* https://github.com/joaomatosf/jexboss JBoss（及其他 Java 反序列化漏洞）验证与利用工具
* https://github.com/commixproject/commix 自动化一体化操作系统命令注入与利用工具
* https://github.com/pathetiq/BurpSmartBuster 一个 Burp Suite 内容发现插件，为 Buster 增添智能！
* https://github.com/GoSecure/csp-auditor 用于分析 CSP 头的 Burp 和 ZAP 插件
* https://github.com/ffleming/timing_attack 对 Web 应用程序执行时序攻击
* https://github.com/lalithr95/fuzzapi Fuzzapi 是一个用于 REST API 渗透测试的工具
* https://github.com/owtf/owtf 攻击性 Web 测试框架（OWTF）
* https://github.com/nccgroup/wssip 用于从客户端到服务器以及反向捕获、修改和发送自定义 WebSocket 数据的应用程序。
* https://github.com/PalindromeLabs/STEWS 用于 WebSocket 发现、指纹识别和漏洞检测的工具套件
* https://github.com/tijme/angularjs-csti-scanner 针对 AngularJS 的自动化客户端模板注入（沙箱逃逸/绕过）检测（ACSTIS）。
* https://reshift.softwaresecured.com 一款用于检测和管理 Java 安全漏洞的源代码分析工具。
* https://encoding.tools 用于转换二进制数据和字符串（包括哈希和各种编码）的 Web 应用。提供 GPLv3 离线版本。
* https://gchq.github.io/CyberChef/ 用于对二进制数据和字符串执行各种编码和转换的“网络瑞士军刀”。
* https://github.com/urbanadventurer/WhatWeb WhatWeb - 下一代 Web 扫描器
* https://www.shodan.io/ Shodan - 用于查找易受攻击服务器的搜索引擎
* https://github.com/WangYihang/Webshell-Sniper 通过终端管理的 webshell 管理器
* https://github.com/nil0x42/phpsploit PhpSploit - 功能齐全的 C2 框架，可通过恶意 PHP 单行命令在 Web 服务器上静默持久化
* https://webhint.io/ - webhint - webhint 是一款可定制的 linting 工具，通过检查代码是否符合最佳实践和常见错误，帮助你提升网站的可访问性、速度、跨浏览器兼容性等。
* https://gtfobins.github.io/ - gtfobins - GTFOBins 是一个精选的 Unix 二进制文件列表，可用于在配置错误的系统中绕过本地安全限制。
* https://github.com/HightechSec/git-scanner git-scanner - 一款用于漏洞赏金或渗透测试的工具，针对公开可访问开放 `.git` 仓库的网站
* [Web 应用程序利用 @ Rawsec Inventory](https://inventory.raw.pm/tools.html#title-tools-web-application-exploitation) - Web 渗透测试工具完整列表
* [Cyclops 是一款能够自动检测漏洞的新型浏览器](https://github.com/v8blink/Chromium-based-XSS-Taint-Tracking/) - Cyclops 是一款具备 XSS 检测功能的 Web 浏览器
* https://caido.io/ - Web 代理
* https://github.com/assetnote/kiterunner - API 发现
* https://github.com/owasp-amass/amass - 域名侦察
* [https://columbus.elmasy.com/](https://columbus.elmasy.com/) - Columbus Project 是一项高级子域名发现服务，提供快速、强大且易于使用的 API。
* [用于窃取密码的 BadUSB 脚本](https://github.com/MarkCyber/BadUSB/blob/main/HackStuff/CredentialHarvester.txt) - 从 Chrome、Firefox 和 Edge 中提取所有已保存的密码，并保存到辅助 USB 设备以供进一步分析。
* https://github.com/flibustier/jwt-online-cracker - 从浏览器中暴力破解 HS256、HS384 或 HS512 JWT 令牌（完全客户端侧）。
* [jwt-auditor](https://github.com/mohelobeid/jwt-auditor) - 离线 CLI，用于解码和审计 JWT 中的 alg:none、弱 HMAC 密钥以及 RS256 到 HS256 混淆问题。
* https://github.com/lukechilds/reverse-shell - 易于记忆的反向 shell，应可在大多数类 Unix 系统上运行。
* https://github.com/momenbasel/keyFinder - Chrome 扩展，使用 80 多种检测模式和香农熵在 10 个攻击面上被动扫描网页中泄露的 API 密钥、令牌和机密信息。
* https://github.com/DenisPodgurskii/pentestkit - 基于浏览器的漏洞扫描器，适用于漏洞赏金和渗透测试工作流，结合 DAST、SAST、IAST 和 SCA 能力，以检测运行时、源代码级、交互式以及依赖相关的安全问题。
- [SaaSFort](https://saasfort.com/scan) - 免费的 60 秒外部 NIS2 / 安全态势扫描，A-F 评级，无需注册。
- [ARS3NAL](https://github.com/inflictx/Arsenal) - 离线优先、可搜索的武器库：约 1500 个载荷、命令生成器、GTFOBins、字典、内嵌 CyberChef、反弹 shell 和 70 个检查清单。
- [Mozilla - HTTP Observatory](https://developer.mozilla.org/en-US/observatory) - 由 Mozilla 开发，HTTP Observatory 会对站点的 HTTP 头及其他关键安全配置进行深入评估。
- [HTTP Security Report](https://httpsecurityreport.com/) - 即时获取你的网站与最佳实践的符合程度报告。
- [ImmuniWeb CyberScore](https://www.immuniweb.com/cyberscore/) - 免费为你的公司、合作伙伴或供应商提供网络安全、隐私和 AI 安全评级
- [ImmuniWeb - Website Security Test](https://www.immuniweb.com/websec/) - 检查 Web 安全漏洞、AI 机器人防护、HTTP 安全和隐私头、DNSSEC 配置、CSP，以及对 GDPR 和 PCI DSS 的合规性。每月 10 次免费测试（无需账户）
- [Pentest Tools - Website Vulnerability Scanner](https://pentest-tools.com/website-vulnerability-scanning/website-scanner) - 检测 SQLi、XSS、命令注入、XXE 以及 75 种以上 Web 应用漏洞
- [Pentest Tools - Network Vulnerability Scanner](https://pentest-tools.com/network-vulnerability-scanning/network-security-scanner-online) - 一款在线安全工具，旨在识别网络基础设施中的漏洞、错误配置、过时服务和暴露端口
- [UpClaw](https://github.com/okdkebm/UpClaw) - AI 驱动的 Web 渗透测试 CLI；单个零依赖 Python 文件（29 项内置检查 + 16 个外部工具适配器 + 证据报告）。
- [HTTP Detection Agent](https://github.com/ai-blueteam/http-detection-agent) - 开源、本地优先的 HTTP 攻击检测器：Rust CLI，涵盖 62 个行为家族的 76 项检测（注入、路径遍历、请求走私、SSRF、XXE、反序列化等），另附用于代理驱动分诊的本地 MCP 服务器
- [KeyDrift](https://keydrift.dev) - 扫描已部署的 HTML 和 JavaScript 以发现暴露的密钥，同时识别不应被视为泄露的公开浏览器凭据。
## 速查表
* http://n0p.net/penguicon/php_app_sec/mirror/xss.html - XSS 速查表
* https://highon.coffee/blog/lfi-cheat-sheet/ - LFI 速查表
* https://highon.coffee/blog/reverse-shell-cheat-sheet/ - 反弹 Shell 速查表
* https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - SQL 注入速查表
* https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - 路径遍历速查表：Windows
* [渗透测试思维导图](https://pentestmindmap.com/en) - 交互式思维导图，涵盖 32 个类别、11,600+ 条渗透测试命令。支持搜索与一键复制。
## 用于渗透测试的 Docker 镜像
* `docker pull kalilinux/kali-linux-docker` [官方 Kali Linux](https://hub.docker.com/r/kalilinux/kali-linux-docker/)
* `docker pull blackarchlinux/blackarch` [官方 BlackArch Linux](https://hub.docker.com/r/blackarchlinux/blackarch)
* `docker pull owasp/zap2docker-stable` - [官方 OWASP ZAP](https://github.com/zaproxy/zaproxy)
* `docker pull wpscanteam/wpscan` - [官方 WPScan](https://hub.docker.com/r/wpscanteam/wpscan/)
* `docker pull metasploitframework/metasploit-framework` - [docker-metasploit](https://hub.docker.com/r/metasploitframework/metasploit-framework/)
* `docker pull citizenstig/dvwa` - [Damn Vulnerable Web Application (DVWA)](https://hub.docker.com/r/citizenstig/dvwa/)
* `docker pull bkimminich/juice-shop` [OWASP Juice Shop](https://hub.docker.com/r/bkimminich/juice-shop)
* `docker pull wpscanteam/vulnerablewordpress` - [存在漏洞的 WordPress 安装](https://hub.docker.com/r/wpscanteam/vulnerablewordpress/)
* `docker pull hmlio/vaas-cve-2014-6271` - [漏洞即服务：Shellshock](https://hub.docker.com/r/hmlio/vaas-cve-2014-6271/)
* `docker pull hmlio/vaas-cve-2014-0160` - [漏洞即服务：Heartbleed](https://hub.docker.com/r/hmlio/vaas-cve-2014-0160/)
* `docker pull opendns/security-ninjas` - [Security Ninjas](https://hub.docker.com/r/opendns/security-ninjas/)
* `docker pull noncetonic/archlinux-pentest-lxde:1.0` - [Arch Linux 渗透测试环境](https://hub.docker.com/r/noncetonic/archlinux-pentest-lxde/)
* `docker pull diogomonica/docker-bench-security` - [Docker Bench for Security](https://hub.docker.com/r/diogomonica/docker-bench-security/)
* `docker pull ismisepaul/securityshepherd` - [OWASP Security Shepherd](https://hub.docker.com/r/ismisepaul/securityshepherd/)
* `docker pull danmx/docker-owasp-webgoat` - [OWASP WebGoat 项目 Docker 镜像](https://hub.docker.com/r/webgoat/goatandwolf)
* `docker pull docker pull jeroenwillemsen/wrongsecrets` - [OWASP WrongSecrets 项目 Docker 镜像](https://hub.docker.com/r/jeroenwillemsen/wrongsecrets)
* `docker pull citizenstig/nowasp` - [OWASP Mutillidae II Web 渗透测试练习应用](https://hub.docker.com/r/citizenstig/nowasp/)
* `docker pull aaaguirre/pentest` - [用于渗透测试的 Docker](https://github.com/aaaguirrep/pentest)
* `docker pull rustscan/rustscan:2.0.0` - [现代端口扫描器](https://github.com/RustScan/RustScan)
## 漏洞
* http://cve.mitre.org/ - 通用漏洞与暴露（Common Vulnerabilities and Exposures）。信息安全漏洞名称标准
* https://www.exploit-db.com/ - Exploit Database——漏洞利用、Shellcode 和安全论文的终极档案库。
* http://0day.today/ - Inj3ct0r 是漏洞利用与漏洞的终极数据库，是漏洞研究人员和安全专业人员的绝佳资源。
* http://www.securityfocus.com/ - 自 1999 年成立以来，SecurityFocus 一直是安全社区的中流砥柱。
* http://packetstormsecurity.com/ - 全球安全资源
* https://wpvulndb.com/ - WPScan 漏洞数据库
* https://snyk.io/vuln/ - 漏洞数据库，提供已知漏洞的详细信息和修复指导。
* https://stellastra.com/cipher-suite - 包含数百种 TLS 密码套件及其安全状态的数据库。
* https://vulert.com/vuln-db - Vulert 通过监控开源依赖项中的漏洞并向开发者发出警报，帮助开发者保护软件安全——无需访问其代码。它支持 Js、PHP、Java、Python 等多种语言的依赖项。
* https://vulncheck.com/xdb/ - Git 仓库中漏洞利用概念验证代码的索引。
* https://labs.jamessawyer.co.uk/cves/ - CVE PoC 搜索提供 CVE 到 GitHub 概念验证的查询功能，可快速从 Web 漏洞转向公开的漏洞利用代码。
## 课程
* https://pwn.guide/ - 网络安全学习平台，约有 100 个教程，其中约 25 个涉及 Web 黑客攻击与网站防御。
* https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security 高级 Web 攻击与利用（直播）
* https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542：Web 应用渗透测试与道德黑客
* https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642：高级 Web 应用渗透测试与道德黑客
* http://opensecuritytraining.info/ - 开放安全培训
* http://securitytrainings.net/security-trainings/ - Security Exploded 培训
* http://www.securitytube.net/ - 全球最大的信息安全与黑客门户。
* https://www.hacker101.com/ - 由 [Hackerone](https://www.hackerone.com) 提供的免费 Web 安全课程
* https://www.darkrelay.com/courses/professional-penetration-tester - 由 [DarkRelay Security Labs](https://www.darkrelay.com) 提供的零基础到高手式渗透测试课程
## 在线黑客演示站点
* http://testasp.vulnweb.com/ - Acunetix ASP 测试与演示站点
* http://testaspnet.vulnweb.com/ - Acunetix ASP.Net 测试与演示站点
* http://testphp.vulnweb.com/ - Acunetix PHP 测试与演示站点
* http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
* http://zero.webappsecurity.com/ - Zero Bank
* http://demo.testfire.net/ - Altoro Mutual
* https://public-firing-range.appspot.com/ - Firing Range 是自动化 Web 应用安全扫描器的测试平台。
* https://xss-game.appspot.com/ - XSS 挑战
* https://google-gruyere.appspot.com/ Google Gruyere，Web 应用漏洞利用与防御
* https://ginandjuice.shop/catalog
* https://pentest-ground.com/ Pentest-Ground 是一个免费演练场，包含故意存在漏洞的 Web 应用和网络服务。
* [HackSimulator](https://chatgpt.com/g/g-jnT7HlNeK-hacksimulator) 是由 [MarkCyber](https://github.com/MarkCyber) 创建的 GPT，其中 chatGPT 4 扮演黑客 CTF 的角色。该 GPT 会询问你的经验水平以及你希望提升的方面，然后为你模拟一台机器/应用供你入侵，并使用聊天框作为输入终端命令的位置。由于是通过 AI 实现，它会根据你的经验水平进行变化和调整，如果你遇到困难还可以寻求帮助。
## 实验环境
* https://portswigger.net/web-security - Web Security Academy：来自 PortSwigger 的免费在线培训
* http://www.cis.syr.edu/~wedu/seed/all_labs.html - 为计算机安全教育开发教学实验室
* https://www.vulnhub.com/ - 用于本地渗透测试的虚拟机。
* https://pentesterlab.com/ - PentesterLab 是一种简单而出色的学习渗透测试的方式。
* https://codereviewlab.com/ - Code Review Lab 是一个动手实践的代码审查培训平台。
* https://github.com/jerryhoff/WebGoat.NET - 这个 Web 应用是一个关于常见 Web 安全漏洞的学习平台。
* http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
* http://sourceforge.net/projects/lampsecurity/ - LAMPSecurity 培训
* https://github.com/Audi-1/sqli-labs - 用于测试基于报错、基于布尔盲注、基于时间的 SQLI 实验环境。
* https://github.com/paralax/lfi-labs - 一小组 PHP 脚本，用于练习利用 LFI、RFI 和 CMD 注入漏洞
* https://hack.me/ - 在沙箱环境中免费构建、托管和分享存在漏洞的 Web 应用
* http://azcwr.org/az-cyber-warfare-ranges - 面向从初学者到高级用户的免费实弹夺旗、蓝队、红队网络战靶场。必须使用手机发送短信申请靶场访问权限。
* https://github.com/adamdoupe/WackoPicko - WackoPicko 是一个存在漏洞的 Web 应用，用于测试 Web 应用漏洞扫描器。
* https://github.com/rapid7/hackazon - Hackazon 是一个免费的存在漏洞的测试站点，它是一个在线商店，使用与当今富客户端和移动应用相同的技术构建。
* https://github.com/RhinoSecurityLabs/cloudgoat - Rhino Security Labs 的“设计即漏洞”AWS 基础设施搭建工具
* https://www.hackthebox.eu/ - Hack The Box 是一个在线平台，让你测试并提升网络安全技能。
* https://github.com/tegal1337/0l4bs - 0l4bs 是面向 Web 应用安全爱好者的跨站脚本实验环境。
* https://github.com/oliverwiegers/pentest_lab - 利用 docker compose 搭建的本地渗透测试实验环境。
* https://ginandjuice.shop/catalog
* https://github.com/dolevf/Damn-Vulnerable-GraphQL-Application
* https://labex.io/skilltrees/cybersecurity - LabEx 是一个在线平台，通过动手实验提升你的网络安全技能。
* https://pythoncyber.go.ro - CyberPython 帮助你开展自己的研究，以解决挑战、利用 CVE 并编写优秀的脚本。
* https://github.com/kOaDT/oss-oopssec-store - OSS – OopsSec Store：一个使用 Next.js 和 React 构建的故意存在漏洞的电子商务应用，用于 Web 安全培训和 CTF 练习。
* https://github.com/momenbasel/htb-writeups - HTB Writeups：最全面的 Hack The Box 解题报告合集，包含 500 多台机器、400 多个挑战、ProLabs、Sherlocks、CTF 赛事和速查表。
## SSL
* https://www.ssllabs.com/ssltest/index.html - 该服务对公共互联网上任何 SSL Web 服务器的配置进行深入分析。
* https://certobserver.com/ct-search - 在证书透明度日志中搜索为某个域名签发的 SSL/TLS 证书。
* https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - nginx 上的强 SSL 安全配置
* https://weakdh.org/ - 弱 Diffie-Hellman 与 Logjam 攻击
* https://letsencrypt.org/ - Let's Encrypt 是一个新的证书颁发机构：它免费、自动化且开放。
* https://filippo.io/Heartbleed/ - 针对 CVE-2014-0160（Heartbleed）的检查器（网站和工具）。
* https://testssl.sh/ - 一个命令行工具，用于检查网站的 TLS/SSL 密码套件、协议和加密缺陷。
* [Scorifya](https://www.scorifya.com) - 为任何网站提供 0–100 的安全评分，涵盖 TLS、安全响应头（CSP、HSTS、X-Frame-Options）、Cookie、DNS 以及电子邮件信号（SPF、DKIM、DMARC），并附带按优先级排序的修复步骤。
* [ImmuniWeb SSL Security Test](https://www.immuniweb.com/ssl/) - 一个免费的在线工具，用于检查网站或电子邮件服务器的 SSL/TLS 配置安全性。可检查是否符合 NIST、HIPAA、PCI DSS 和 GDPR 等安全标准。每月 10 次免费测试（无需账户）
## Ruby on Rails 安全
* http://brakemanscanner.org/ - 一个针对 Ruby on Rails 应用程序的静态分析安全漏洞扫描器。
* https://github.com/rubysec/ruby-advisory-db - 一个存在漏洞的 Ruby Gem 数据库
* https://github.com/rubysec/bundler-audit - Bundler 的补丁级别验证
* https://github.com/hakirisec/hakiri_toolbelt - Hakiri Toolbelt 是 Hakiri 平台的命令行界面。
* https://hakiri.io/facets - 扫描 Gemfile.lock 中的漏洞。
* http://rails-sqli.org/ - 此页面列出了 ActiveRecord 中许多不会对原始 SQL 参数进行清理、且不应使用不安全的用户输入来调用的查询方法和选项。
* https://github.com/0xsauby/yasuo - 一个 Ruby 脚本，用于扫描网络中易受攻击且可被利用的第三方 Web 应用程序
