黑客、渗透测试和网络安全工具，武装您的安全武器库！
概念验证，演示在 Sliver 未认证的 MCP 接口上利用 CORS 到 CSRF 的链式攻击，使任意网页能够静默与 C2 进行交互。
发现我们社区最常用的工具。
探索所有工具
浏览我们的工具集合
Sliver 的 MCP 服务器会启动一个未认证的 SSE 接口，并在每个响应中返回 Access-Control-Allow-Origin: *。
Access-Control-Allow-Origin: *
mcp-go 库不校验 Content-Type，因此简单请求（text/plain）会完全跳过浏览器的预检检查。没有 OPTIONS。没有 CORS 拦截。没有认证。操作员访问的任何页面都可以静默地与他们的 C2 通信。
Content-Type
text/plain
→ GitHub 安全公告 GHSA-6fpf-248c-m7wm
由 @skoveit 发现并报告
