VULNRΞPO - 漏洞报告生成器与仓库

一款面向安全专业人员的客户端、隐私优先的漏洞报告管理器。所有数据均经加密并存储在本地浏览器中——默认情况下，不会向任何服务器发送任何数据。

在线应用： https://vulnrepo.com/ | 开发分支： https://dev.vulnrepo.com/

视频演示/教程：

目录

• 功能特性
• 安全模型
• 支持的导入来源
• 报告导出格式
• 方法论工具
• AI / LLM 集成
• 快速开始
  • 前提条件
  • 开发服务器
  • 生产构建
  • Docker
• 项目结构
• API 集成
• 浏览器支持
• 贡献指南
• 许可协议

功能特性

• 客户端加密 — 报告在浏览器中加密后存储；无需后端
• 问题模板 — 创建并复用自定义漏洞模板；从 CVE、CWE、MITRE ATT&CK 和 PCI DSS 导入
• 扫描器导入 — 直接从主流安全工具导入发现结果（见支持的导入来源）
• 多种导出格式 — TXT、HTML、DOCX；通过浏览器打印生成 PDF
• 加密 HTML 导出 — 分享经过 AES 加密的自包含 HTML 报告
• 文件附件 — 附加截图、工具输出或任意文件；自动计算 SHA-256 校验和
• 变更日志 — 报告的所有重要更改都会自动进行版本记录和日志记录
• 问题导出 — 将问题导出至 Atlassian Jira，或导出为可移植的加密文件
• 报告共享 — 与协作者共享完整的加密报告
• 报告配置 — 保存可复用的报告配置（Logo、研究人员信息、主题、CSS）
• 模板自定义 — 直接在应用中编辑 HTML 报告模板和 CSS
• 方法论工具 — 内置 OWASP ASVS 4、PCI DSS 4 及赏金猎人方法论（TBHM）清单
• CVE 搜索 — 查询 NIST NVD 数据库并将 CVE 详情拉取至报告
• 报告历史 — 每次保存时自动生成版本快照
• 问题合并 — 合并重复或相关的问题
• 高级过滤器 — 按严重等级、状态、标签、CVE、CVSS 等过滤和搜索问题
• 漏洞众测列表 — 漏洞众测计划参考列表
• AI / LLM 集成 — 连接本地 Ollama 模型以实现 AI 辅助报告撰写（见AI / LLM 集成）
• 可选后端 — 通过 REST API 将加密报告存储在自己的服务器上（见API 集成）

安全模型

VULNRΞPO 仅使用浏览器原生加密技术：

密钥生命周期与自动锁定

解密密码保存在一个短生命周期的内存保管库（KeyVaultService）中，当以下任一情况发生时，该保管库会自动清除：

• 标签页隐藏 — 浏览器标签页失去焦点或被切换离开（visibilitychange 事件）
• 标签页关闭/页面刷新 — pagehide 和 beforeunload 事件
• 不活动 — 15 分钟无键盘、鼠标或触摸输入

保管库清除后，重新打开报告时需要再次输入密码。任何密钥材料都不会写入 sessionStorage、localStorage、cookies 或其他任何持久化浏览器存储。

使用旧版应用（旧版 CryptoJS AES 格式）加密的报告会被自动检测并解密，以保证向后兼容性。

重要提示： 没有服务器端的密钥恢复机制。如果丢失了安全密钥，报告数据将无法恢复。

支持的导入来源

报告导出格式

方法论工具

侧边栏提供以下交互式清单：

• OWASP ASVS 4 — 应用安全验证标准
• PCI DSS 4 — 支付卡行业数据安全标准
• TBHM — 赏金猎人方法论

在评估过程中使用它们，以确保在最终确定报告前不遗漏任何内容。

AI / LLM 集成

VULNRΞPO 集成了 Ollama，通过本地托管的模型提供 AI 辅助报告撰写。没有数据会发送到任何云服务。

设置步骤：

1. 从 ollama.com 安装 Ollama。
2. 拉取并运行一个模型：
   root@kitploit:~

   ollama run llama3.2:latest
   

3. 允许 VULNRΞPO 源访问 Ollama。如果使用托管应用，在启动 Ollama 之前设置环境变量：
   root@kitploit:~

   OLLAMA_ORIGINS=https://vulnrepo.com ollama serve
   

4. 在 VULNRΞPO 中，打开 AI 设置（报告工具栏中的机器人图标），输入你的 Ollama URL（默认为 http://localhost:11434），选择一个模型，然后保存。

快速开始

前提条件

• Node.js 18 或更高版本
• Angular CLI 22：
  root@kitploit:~

  npm install -g @angular/cli
  

开发服务器

# 安装依赖
npm install

# 启动开发服务器
npm start
# 或
ng serve

导航至 http://localhost:4200/。当源文件发生变化时，应用会自动重新加载。

生产构建

ng build -c production

构建产物将写入 dist/vulnrepo-app/ 目录。将该目录的内容部署到任意静态 Web 主机或 CDN。

Docker

官方 Docker 镜像可在 Docker Hub 上获得：

docker pull kac89/vulnrepo
docker run -p 8080:80 kac89/vulnrepo

完整文档请参阅镜像页面：https://hub.docker.com/r/kac89/vulnrepo

项目结构

vulnrepo-master/
├── src/
│   ├── app/
│   │   ├── report/                   # 核心报告编辑器组件
│   │   ├── myreports/                # 报告列表/仪表盘
│   │   ├── newreport/                # 创建报告向导
│   │   ├── import-report/            # 导入加密报告文件
│   │   ├── templates-list/           # 问题模板管理器
│   │   ├── settings/                 # 应用设置（配置、API 保管库）
│   │   ├── asvs/                     # OWASP ASVS 4 清单
│   │   ├── pcidss4/                  # PCI DSS 4 清单
│   │   ├── tbhm/                     # 赏金猎人方法论清单
│   │   ├── cve-search/               # NVD CVE 查找
│   │   ├── bb-list/                  # 漏洞众测计划列表
│   │   ├── faq/                      # 应用内常见问题页面
│   │   ├── crypto-utils.service.ts   # PBKDF2 + AES-GCM 加密服务
│   │   ├── indexeddb.service.ts      # 本地存储（IndexedDB）服务
│   │   ├── api.service.ts            # 可选后端 API 服务
│   │   ├── ollama-service.service.ts # Ollama LLM 集成服务
│   │   └── dialog-*/                 # 模态对话框（添加问题、导入、导出等）
│   ├── assets/                       # 静态资源、供应商 Logo
│   └── environments/                 # 环境配置
├── dist/                             # 生产构建输出
├── API-INTEGRATION.md                # 后端 API 参考
├── SECURITY.md                       # 漏洞报告策略
├── angular.json
└── package.json

API 集成

VULNRΞPO 可以选择将加密报告存储在自己的后端服务器上。API 是一个简单的 HTTP 接口，采用基于自定义头部的认证方案。

完整的 API 参考请参阅 API-INTEGRATION.md。

示例服务器实现可访问：https://github.com/kac89/vulnrepo-server

浏览器支持

VULNRΞPO 需要支持 IndexedDB 和 Web Crypto API 的现代浏览器。它不支持隐私/无痕浏览模式（大多数浏览器在该模式下会阻止 IndexedDB）。

经过测试并支持的浏览器：

• Google Chrome（最新版本）
• Mozilla Firefox（最新版本）
• Microsoft Edge（Chromium 内核，最新版本）
• iOS 上的 Safari（最新版本）
• Android 上的 Chrome（最新版本）

贡献指南

1. Fork 本仓库，并从 dev 分支创建功能分支。
2. 进行你的修改，并确保应用构建无误（ng build）。
3. 向 dev 分支提交拉取请求。

如需报告安全漏洞，请参阅 SECURITY.md。

许可协议

VULNRΞPO 采用 Apache 2.0 许可证 发布。