工具

usestrix/strix

Open-source AI penetration testing tool to find and fix your app’s vulnerabilities.

keygraphhq/shannon

Shannon is an autonomous, white-box AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes…

sqlmapproject/sqlmap

自动SQL注入和数据库接管工具

imthenachoman/how-to-secure-a-linux-server

一步一步的指南，用于加固Linux服务器，涵盖SSH安全、防火墙、入侵检测、审计和系统配置，以减少攻击面并改进防御。

projectdiscovery/nuclei

基于 YAML 的快速漏洞扫描器，采用模板驱动的检测引擎，可对 Web 应用、API、网络、DNS 和云基础设施进行自动化安全测试。

vxcontrol/pentagi

完全自主的AI智能体系统，能够执行复杂的渗透测试任务

trufflesecurity/trufflehog

查找、验证和分析泄露的凭证

aquasecurity/trivy

在容器、Kubernetes、代码仓库、云环境等中发现漏洞、错误配置、密钥、SBOM

promptfoo/promptfoo

测试你的提示词、代理和RAG。对AI进行红队测试/渗透测试/漏洞扫描。比较GPT、Claude、Gemini、DeepSeek等的性能。简单的声明式配置，支持命令行和CI/CD集成。被OpenAI和Anthropic使用。

0x4m4/hexstrike-ai

MCP服务器使AI代理能够自主执行150+种网络安全工具，用于自动化渗透测试、漏洞发现、漏洞赏金自动化以及跨网络、Web应用程序和云基础设施的安全研究。

wazuh/wazuh

开源XDR和SIEM平台，用于跨端点和云工作负载的威胁检测、日志分析、文件完整性监控、漏洞评估和合规管理。

we5ter/scanners-box

The Ultimate Open-Source Security Arsenal for Hackers, Enterprises, and AI Agents——面向极客、企业与 AI 智能体的全域开源网络安全工具矩阵

zaproxy/zaproxy

开源Web应用安全扫描器，支持自动化漏洞检测、手动渗透测试和API安全测试，并内置基于代理的拦截引擎。

ashishb/android-security-awesome

A collection of android security related resources

gitleaks/gitleaks

快速、开源的静态分析工具，用于检测git仓库、文件和stdin流中硬编码的机密（如密码、API密钥和令牌），具有可自定义的规则引擎。

chaitin/safeline

自托管WAF和反向代理，可过滤恶意HTTP流量、阻止SQL注入、XSS和机器人攻击，具备速率限制和动态HTML/JS加密功能。

prowler-cloud/prowler

Prowler 是全球使用最广泛的开源云安全平台，可在任何云环境中自动化安全与合规。立即连接你的代理，并基于 Agentic Cloud Defender 进行构建。