nullorigin
rakib-nyc/nullorigin仅用于研究的AI水印鲁棒性工具包：本地反向代理剥离C2PA/EXIF/XMP、Unicode、图像/音频隐写及OOXML/PDF元数据，并扫描Trojan Source。
static-code-analysisweb-proxies-interceptionsteganography+4
rakib-nyc/nullorigin仅用于研究的AI水印鲁棒性工具包：本地反向代理剥离C2PA/EXIF/XMP、Unicode、图像/音频隐写及OOXML/PDF元数据，并扫描Trojan Source。
limingxi6/cve-2020-9373-netgear-r6400Complete firmware vulnerability analysis for CVE-2020-9373 Netgear R6400 UPnP stack overflow, including unpacking, reverse engineering, static…
github/codeql用于检测源代码中安全漏洞的语义静态分析引擎和查询库，支持自动化代码扫描与 CI/CD 安全保障。
gmh5225/actions-secrets添加此 GitHub Action 将扫描您的仓库，查找源代码中的敏感数据。我们会发现密码、服务器主机字符串、API 密钥、.env 和配置文件等内容。
luiscastellanos-dev/cobol-shield面向 COBOL 传统系统的安全加固工具包 — 检测 GnuCOBOL / Zowe 流水线中的 Trojan Source (CVE-2021-42574) 和 Glassworm 隐形 Unicode
anna-kravets/codeql-buffer-overflow-variant作为 CodeQL 静态分析目标的 CVE-2020-8597（pppd EAP）合成 CWE-120 栈缓冲区溢出变体
xoreaxeaxeax/schrodingers-toctou检测编译器引入的内存加载，它们会将安全的C代码转变为TOCTOU漏洞。包括自动化源码审计、基于Unicorn的二进制分析，以及对100多个项目进行的编译器/架构/编译选项遍历扫描。
elttam/semgrep-rules静态分析安全规则，用于跨 Java、Go、Python、C#、Kotlin、PHP、Kubernetes 和 GitHub Actions 的漏洞检测与以审计为重点的代码审查。
avast/ylsLanguage server，用于 YARA 规则开发，在 IDE 中提供代码补全、linting、格式化、导航和调试支持。
chris-anley/cqCQ, a code security scanner
xiaoqimikko/jackson-checkjackson-databind 2026 年 11 条安全公告自查:扫源码注解降噪,告诉你真中几条;逐条求交集给出真正到位的版本(2.18.9/2.21.5/3.1.5,不是 advisory 上最常见的 2.21.4) CVE-2026-54515 / CVE-2026-54512
kc57/awesome-pentest一份很棒的渗透测试工具和资源列表。
airbus-cert/vbsparkleVBScript 与 VBA 的源代码到源代码反混淆器，支持部分求值
0x3c3e/slidesCodeQL + DTrace = XNU 中的内存信息泄露漏洞
clearbluejar/ghidrecomp使用Ghidra从命令行批量反编译二进制文件，生成逐函数的C文件、调用图、BSim签名以及可选的SAST结果，用于安全研究。
kadenzipfel/smart-contract-vulnerabilities精选的 Solidity 智能合约漏洞模式目录，包含分类示例、预防方法，以及面向 LLM 优化的参考资料，用于安全的以太坊开发。
joasasantos/osce3-complete-guide精选的 OSCE3 认证（OSWE、OSEP、OSED、OSEE）学习指南，涵盖 Web 漏洞利用、后渗透、载荷开发、实验室搭建和考试回顾。