Skip to content
KitploitKITPLOIT
工具博客
提交
工具博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

··订阅源·联系·隐私·© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
awesome-websocket-security — Awesome information for WebSockets security research | Kitploit
工具/GitHubGitHub/palindromelabs/awesome-websocket-security
Vulnerability AnalysisWeb Application ExploitationWeb SecurityFuzzingPapers & ResearchCurated ResourcesLabs & Practice
GitHubpalindromelabs/awesome-websocket-security

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

awesome-websocket-security

Awesome information for WebSockets security research

查看仓库
311334年前Kitploit 审核通过

WebSockets 安全资源精选

Awesome

一个与 WebSocket 安全相关的 CVE、研究和参考资料集合。

目录

  • WebSocket 库漏洞
  • 会议演讲
  • 常见 WebSocket 弱点
  • WebSocket 安全工具
  • 漏洞赏金报告
  • 实用博客文章

WebSocket 库漏洞

此漏洞列表旨在收录 WebSocket 的 CVE 以及常见 WebSocket 服务器实现中的相关问题。

CVE ID受影响包相关文章漏洞摘要
CVE-2021-42340TomcatApache 邮件列表拒绝服务（内存泄漏）
CVE-2021-33880Python websocketsGitHub 安全公告HTTP 基本身份验证时序攻击
CVE-2021-32640wsGitHub 安全公告正则表达式回溯导致拒绝服务
CVE-2020-36406uWebSocketsOSS Fuzz 摘要栈缓冲区溢出
CVE-2020-27813GorillaGitHub 安全公告整数溢出
CVE-2020-24807socket.io-fileAuxilium Security文件类型限制绕过

会议演讲、论文与值得关注的博客文章

2011

  • 与自己对话：为乐趣与利益 论文

2012

  • Blackhat 2012 - Mike Shema、Sergey Shekyan、Vaagn Toukharian - 使用 WebSockets 进行入侵 视频

2019

  • Hacktivity 2019 - Mikhail Egorov - WebSocket API 有什么问题？揭示 WebSocket API 中的漏洞 视频
  • DerbyCon 2019 - Michael Fowl、Nick Defoe - 旧工具，新技巧：入侵 WebSockets 视频

2021

  • OWASP Global AppSec US 2021 - Erik Elbieh - 我们不再身处 HTTP：探究 WebSocket 服务器安全 工具 论文 视频

常见 WebSocket 弱点

未加密的 WebSockets

  • Black Hills WebSocket 测试指南：链接

跨站 WebSocket 劫持 (CSWSH)

  • Christian Schneider 关于 CSWSH 的原始博客文章：链接
  • PortSwigger Web Academy CSWSH 实验：链接

不安全的身份验证机制

  • Stratum Security 博客文章：链接
  • Heroku WebSocket 安全：链接

利用 Upgrade 标头绕过反向代理

  • Mikhail Egorov 在 Hacktivity 2019 上最初演示的 PoC：链接
  • Jake Miller 基于 Mikhail 的 PoC 工作开发的 HTTP 2 走私工具：链接
  • AssetNote 博客文章及其 golang h2smuggler 工具：链接

基于 DOM 的 WebSocket-URL 投毒

  • PortSwigger 摘要：链接

实用博客文章与资源

  • 使用 WebSockets 进行端口扫描 链接
  • 使用 Kitty 模糊测试框架对 WebSocket 进行模糊测试 链接
  • WebSocket 模糊测试工具 链接
  • Project Zero 基于 WebSockets 的缓冲区溢出 链接
  • 保留的扩展与子协议值 链接

WebSocket 安全工具

发现、指纹识别与漏洞检测

  • STEWS GitHub

模糊测试

  • websocket-fuzzer GitHub
  • websocket-harness GitHub

练习靶场

  • DVWS：一个刻意包含漏洞的 WebSocket 演示应用 GitHub
  • WebSocket-Playground：快速启动多个 WebSockets 服务器 GitHub

通用工具与实用程序

  • WebSocket King 浏览器工具
  • Hoppscotch.io 浏览器工具
  • websocat GitHub
  • wsd GitHub

漏洞赏金报告

CSWSH 漏洞

  • Slack H1 #207170：CSWSH（另见一篇补充分析）
  • Facebook：CSWSH
  • Stripo H1 #915541：CSWSH
  • Coda H1 #535436：CSWSH
  • Legal Robot #211283：CSWSH
  • Legal Robot H1 #274324：CSWSH
  • Grammarly #395729：CSWSH
  • 未披露的目标：CSWSH
  • 未披露的目标：CSWSH

其他漏洞

  • PlayStation H1 #873614：通过 WebSockets 实现远程代码执行
  • Shopify H1 #409701：通过 WebSockets 实现 SSRF
  • QIWI H1 #512065：通过 WebSockets 实现 DOM XSS
  • NodeJS H1 #868834：因没有超时关闭无响应连接而导致拒绝服务
  • Bitwala H1 #862835：身份验证失效
  • Shopify H1 #1023669：身份验证失效
  • Legal Robot H1 #163464：信息泄露
  • GitHub H1 #854439：通过注入执行任意 SQL 查询
  • 未披露的目标：通过 WebSockets 实现 IDOR
  • BugCrowd 上的未披露目标：通过 WebSockets 实现 XSS
下载工具
CVE-2020-15779socket.io-fileAuxilium Security路径遍历
CVE-2020-15134faye-websocketGitHub 安全公告缺少 TLS 证书验证
CVE-2020-15133faye-websocketGitHub 安全公告缺少 TLS 证书验证
CVE-2020-11050Java WebSocketGitHub 安全公告未执行 SSL 主机名验证
CVE-2020-7663Ruby websocket-extensionsWriteup正则表达式回溯导致拒绝服务
CVE-2020-7662npm websocket-extensionsWriteup正则表达式回溯导致拒绝服务
无Socket.ioGitHub IssueCORS 配置错误
CVE-2018-1000518Python websocketsGitHub PR解压压缩数据时内存耗尽导致拒绝服务
无TornadoGitHub PR解压压缩数据时内存耗尽导致拒绝服务
CVE-2018-21035Qt WebSocketsBug 报告消息和帧大小上限过大导致拒绝服务
CVE-2017-16031socket.ioGitHub IssueSocket ID 使用可预测的随机数
CVE-2016-10544uWebSocketsnpm 安全公告消息大小上限过大导致拒绝服务
CVE-2016-10542NodeJS wsnpm 安全公告消息大小上限过大导致拒绝服务
无draft-hixie-thewebsocketprotocol-76Writeup