工具

affolter-engineering/xssearch

基于 Rust 的 XSS 扫描器，具备上下文感知的 payload 选择、WAF 检测与绕过、爬取、盲 XSS 回调以及静态 DOM 汇聚点分析功能。

m14r41/scan4secrets

使用170多条规则在源代码、Web URL和CI/CD中查找凭据和密钥，对照供应商API进行验证，并生成SARIF、JSONL、HTML、PDF或Excel报告。

vighnesh91/-logicsentry-ai

离线 SAST/DAST 分诊引擎，解析源代码并重放 HAR 流量，以检测业务逻辑缺陷、BOLA、竞态条件和权限问题，并支持本地 LLM 分诊。

dragonjar/burpia

Burp Suite 扩展，通过人工智能实现被动漏洞检测。

sleepingbag945/dddd

Batch asset collection and vulnerability scanning tool for red teams. Pulls targets from Hunter, Fofa, and Quake, performs fingerprinting, subdomain…

arpsyndicate/vedas-signatures

VEDAS-Driven Autonomous Generation + Community Contributions of Suricata & Nuclei Rules for over 13,000 CVEs

albinowax/activescanplusplus

Burp Suite 扩展，通过检查主机头攻击、XXE、表达式语言注入、Shellshock 及其他 Web 漏洞来扩展主动和被动扫描。

modzero/burp-responseclusterer

Burp 插件，用于对响应进行聚类，以展示已接收响应的概览

pentagridsec/pentagridresponseoverview

BurpSuite 响应概览扩展 - 通过对响应正文进行分组来发现异常响应

portswigger/active-scan-plus-plus

Burp Suite 扩展，通过检查主机头攻击、XXE、代码注入以及 Shellshock 和 Log4Shell 等已知 CVE，扩展主动和被动扫描功能。

d0ge/websocketturbointruder

Burp Suite 扩展，用于通过自定义 Python 代码对 WebSocket 消息进行模糊测试，支持多引擎、HTTP 中间件路由和响应分析。

hackvertor/repeat-strike

Burp Suite 扩展，使用 AI 生成的正则表达式攻击规则来检测 IDOR 和访问控制缺陷，然后扫描代理历史记录以大规模发现类似问题。

hackvertor/shadow-repeater

Burp Suite Repeater 扩展，可自动变异 payload 并分析响应，以发现路径遍历、SQL 注入、XSS 及其他 Web 漏洞。

piratesshield/apiharvester

一次性 API 攻击工具 - 从给定的根 URL 中发现 API 地址并模拟自动化攻击

vighnesh91/securiscan

标准库 Python 安全分类引擎，通过被动标头检查、主动金丝雀探测和离线静态诊断来扫描 Web 应用、API、LLM 和移动软件包。

devcop95/bugbounty-lab101

面向HackerOne研究人员的完整漏洞赏金工作区。包含范围强制执行、自动化侦察/漏洞流水线（400+工具）、报告模板、CVE/CWE监视列表，以及本地VM练习实验室。专为有纪律、合乎道德的狩猎而构建。

akha-security/akca

Evidence-oriented DAST scanner in Go that crawls web apps and APIs, then runs adaptive SQLi, XSS, RCE, SSRF, and auth checks with replayable proof.