Web安全

Awesome Web Security ¶

> 网络安全材料和资源的精选列表.

不用说，大多数网站都存在各种类型的错误，这些错误最终可能会导致漏洞. 为什么这种情况会经常发生？可能涉及许多因素，包括配置错误、工程师安全技能不足等.为了解决这个问题，这里列出了用于学习尖端渗透技术的网络安全材料和资源的精选列表，我强烈建议您阅读这篇文章“So you want to be a web security researcher?“ 第一的.

请阅读 contribution guidelines 在贡献之前.

想加强你的渗透技巧吗？
我建议玩一些awesome-ctf .

如果您喜欢这个很棒的列表并愿意支持它，请查看我 Patreon 页：）
另外，别忘了查看我 repos 或者对我说 hi Twitter!

Digests¶

Hacker101 - 撰写者 hackerone.
The Daily Swig - Web security digest - 撰写者 PortSwigger.
Web Application Security Zone by Netsparker - 撰写者 Netsparker.
Infosec Newbie - 撰写者 Mark Robinson.
The Magic of Learning - 撰写者 @bitvijays.
CTF Field Guide - 撰写者 Trail of Bits.
PayloadsAllTheThings - 撰写者 @swisskyrepo.
tl;dr sec - 顶级安全工具、博客文章和安全研究的每周摘要.

Forums¶

Phrack Magazine - 由黑客编写并为黑客编写的电子杂志.
The Hacker News - 认真对待安全.
Security Weekly - 安全播客网络.
The Register - 咬住养活 IT 的手.
Dark Reading - 连接信息安全社区.
HackDig - 为黑客挖掘高质量的网络安全文章.

Introduction¶

Relative Path Overwrite¶

Open Redirect¶

Open Redirect Vulnerability - 撰写者 s0cket7.
payloadbox/open-redirect-payload-list - 撰写者 @payloadbox.
PayloadsAllTheThings - Open Redirect - 撰写者 @swisskyrepo.

Security Assertion Markup Language (SAML)¶

How to Hunt Bugs in SAML; a Methodology - Part I - 撰写者 epi.
How to Hunt Bugs in SAML; a Methodology - Part II - 撰写者 epi.
How to Hunt Bugs in SAML; a Methodology - Part III - 撰写者 epi.
PayloadsAllTheThings - SAML Injection - 撰写者 @swisskyrepo.

Upload¶

File Upload Restrictions Bypass - 撰写者 Haboob Team.
PayloadsAllTheThings - Upload Insecure Files - 撰写者 @swisskyrepo.

Rails¶

Rails Security - First part - 撰写者 @qazbnm456.
Zen Rails Security Checklist - 撰写者 @brunofacca.
Rails SQL Injection - 撰写者 @presidentbeef.
Official Rails Security Guide - 撰写者 Rails team.

AngularJS¶

XSS without HTML: Client-Side Template Injection with AngularJS - 撰写者 Gareth Heyes.
DOM based Angular sandbox escapes - 撰写者 @garethheyes

ReactJS¶

XSS via a spoofed React element - 撰写者 Daniel LeCheminant.

SSL/TLS¶

SSL & TLS Penetration Testing - 撰写者 APTIVE.
Practical introduction to SSL/TLS - 撰写者 @Hakky54.

Webmail¶

Why mail() is dangerous in PHP - 撰写者 Robin Peraglie.

NFS¶

NFS | PENETRATION TESTING ACADEMY - 撰写者 PENETRATION ACADEMY.

AWS¶

PENETRATION TESTING AWS STORAGE: KICKING THE S3 BUCKET - 德怀特·霍恩斯坦 (Dwight Hohnstein) 从 Rhino Security Labs.
AWS PENETRATION TESTING PART 1. S3 BUCKETS - 撰写者 VirtueSecurity.
AWS PENETRATION TESTING PART 2. S3, IAM, EC2 - 撰写者 VirtueSecurity.
Misadventures in AWS - 克里斯蒂安·德姆科 (Christian Demko) 撰写

Azure¶

Common Azure Security Vulnerabilities and Misconfigurations - 撰写者 @rhinobenjamin.
Cloud Security Risks (Part 1): Azure CSV Injection Vulnerability - 撰写者 @spengietz.

Fingerprint¶

Sub Domain Enumeration¶

A penetration tester’s guide to sub-domain enumeration - 撰写者 Bharath.
The Art of Subdomain Enumeration - 撰写者 Patrik Hudak.

Crypto¶

Applied Crypto Hardening - 撰写者 The bettercrypto.org Team.
What is a Side-Channel Attack ? - 撰写者 J.M Porup.

Web Shell¶

Hunting for Web Shells - 撰写者 Jacob Baines.
Hacking with JSP Shells - 撰写者 @_nullbind.

OSINT¶

Hacking Cryptocurrency Miners with OSINT Techniques - 撰写者 @s3yfullah.
OSINT x UCCU Workshop on Open Source Intelligence - 撰写者 Philippe Lin.
102 Deep Dive in the Dark Web OSINT Style Kirby Plessas - 提出者 @kirbstr.
The most complete guide to finding anyone’s email - 撰写者 Timur Daudpota.

DNS Rebinding¶

Attacking Private Networks from the Internet with DNS Rebinding - 撰写者 @brannondorsey
Hacking home routers from the Internet - 撰写者 @radekk

Deserialization¶

What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability. - 撰写者 @breenmachine.
Attacking .NET deserialization - 撰写者 @pwntester.
.NET Roulette: Exploiting Insecure Deserialization in Telerik UI - 撰写者 @noperator.
How to exploit the DotNetNuke Cookie Deserialization - 撰写者 CRISTIAN CORNEA.
HOW TO EXPLOIT LIFERAY CVE-2020-7961 : QUICK JOURNEY TO POC - 撰写者 @synacktiv.

OAuth¶

Introduction to OAuth 2.0 and OpenID Connect - 撰写者 @PhilippeDeRyck.
What is going on with OAuth 2.0? And why you should not use it for authentication. - 撰写者 @damianrusinek.

JWT¶

Hardcoded secrets, unverified tokens, and other common JWT mistakes - 撰写者 @ermil0v.

Evasions¶

XXE¶

Bypass Fix of OOB XXE Using Different encoding - 撰写者 @SpiderSec.

CSP¶

Any protection against dynamic module import? - 撰写者 @shhnjk.
CSP: bypassing form-action with reflected XSS - 撰写者 Detectify Labs.
TWITTER XSS + CSP BYPASS - 撰写者 Paulos Yibelo.
Neatly bypassing CSP - 撰写者 Wallarm.
Evading CSP with DOM-based dangling markup - 撰写者 portswigger.
GitHub's CSP journey - 撰写者 @ptoomey3.
GitHub's post-CSP journey - 撰写者 @ptoomey3.

WAF¶

Web Application Firewall (WAF) Evasion Techniques - 撰写者 @secjuice.
Web Application Firewall (WAF) Evasion Techniques #2 - 撰写者 @secjuice.
Airbnb – When Bypassing JSON Encoding, XSS Filter, WAF, CSP, and Auditor turns into Eight Vulnerabilities - 撰写者 @Brett Buerhaus.
How to bypass libinjection in many WAF/NGWAF - 撰写者 @d0znpp.

JSMVC¶

JavaScript MVC and Templating Frameworks - 撰写者 Mario Heiderich.

Authentication¶

Trend Micro Threat Discovery Appliance - Session Generation Authentication Bypass (CVE-2016-8584) - 撰写者 @malerisch 和 @steventseeley.

Tricks¶

CSRF¶

Neat tricks to bypass CSRF-protection - 撰写者 Twosecurity.
Exploiting CSRF on JSON endpoints with Flash and redirects - 撰写者 @riyazwalikar.
Stealing CSRF tokens with CSS injection (without iFrames) - 撰写者 @dxa4481.
Cracking Java’s RNG for CSRF - Javax Faces and Why CSRF Token Randomness Matters - 撰写者 @rramgattie.
If HttpOnly You Could Still CSRF… Of CORS you can! - 撰写者 @GraphX.

Clickjacking¶

Clickjackings in Google worth 14981.7$ - 撰写者 @raushanraj_65039.

Remote Code Execution¶

CVE-2019-1306: ARE YOU MY INDEX? - 撰写者 @yu5k3.
WebLogic RCE (CVE-2019-2725) Debug Diary - 由 Badcode@Knownsec 404 团队撰写.
What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability. - 撰写者 @breenmachine.
Exploiting Node.js deserialization bug for Remote Code Execution - 撰写者 OpSecX.
DRUPAL 7.X SERVICES MODULE UNSERIALIZE() TO RCE - 撰写者 Ambionics Security.
How we exploited a remote code execution vulnerability in math.js - 撰写者 @capacitorset.
GitHub Enterprise Remote Code Execution - 撰写者 @iblue.
Evil Teacher: Code Injection in Moodle - 撰写者 RIPS Technologies.
How I Chained 4 vulnerabilities on GitHub Enterprise, From SSRF Execution Chain to RCE! - 撰写者 Orange.
$36k Google App Engine RCE - 撰写者 Ezequiel Pereira.
Poor RichFaces - 撰写者 CODE WHITE.
Remote Code Execution on a Facebook server - 撰写者 @blaklis_.

XSS¶

Exploiting XSS with 20 characters limitation - 撰写者 Jorge Lajara.
Upgrade self XSS to Exploitable XSS an 3 Ways Technic - 撰写者 HAHWUL.
XSS without parentheses and semi-colons - 撰写者 @garethheyes.
XSS-Auditor — the protector of unprotected and the deceiver of protected. - 撰写者 @terjanq.
Query parameter reordering causes redirect page to render unsafe URL - 撰写者 kenziy.
ECMAScript 6 from an Attacker's Perspective - Breaking Frameworks, Sandboxes, and everything else - 撰写者 Mario Heiderich.
How I found a $5,000 Google Maps XSS (by fiddling with Protobuf) - 撰写者 @marin_m.
DON'T TRUST THE DOM: BYPASSING XSS MITIGATIONS VIA SCRIPT GADGETS - 撰写者 Sebastian Lekies, Krzysztof Kotowicz，和 Eduardo Vela.
Uber XSS via Cookie - 撰写者 zhchbin.
DOM XSS – auth.uber.com - 撰写者 StamOne_.
Stored XSS on Facebook - 撰写者 Enguerran Gillier.
XSS in Google Colaboratory + CSP bypass - 撰写者 Michał Bentkowski.
Another XSS in Google Colaboratory - 撰写者 Michał Bentkowski.
is filtered ? - 撰写者 @strukt93.
$20000 Facebook DOM XSS - 撰写者 @vinodsparrow.

SQL Injection¶

MySQL Error Based SQL Injection Using EXP - 撰写者 @osandamalith.
SQL injection in an UPDATE query - a bug bounty story! - 撰写者 Zombiehelp54.
GitHub Enterprise SQL Injection - 撰写者 Orange.
Making a Blind SQL Injection a little less blind - 撰写者 TomNomNom.
Red Team Tales 0x01: From MSSQL to RCE - 撰写者 Tarlogic.
SQL INJECTION AND POSTGRES - AN ADVENTURE TO EVENTUAL RCE - 撰写者 @denandz.

NoSQL Injection¶

GraphQL NoSQL Injection Through JSON Types - 撰写者 Pete.

FTP Injection¶

XML Out-Of-Band Data Retrieval - 撰写者 @a66at 和阿列克谢·奥西波夫.
XXE OOB exploitation at Java 1.7+ - 撰写者 Ivan Novikov.

XXE¶

Evil XML with two encodings - 撰写者 Arseniy Sharoglazov.
XXE in WeChat Pay Sdk ( WeChat leave a backdoor on merchant websites) - 撰写者 Rose Jackcode.
XML Out-Of-Band Data Retrieval - 由 Timur Yunusov 和 Alexey Osipov 撰写.
XXE OOB exploitation at Java 1.7+ (2014): Exfiltration using FTP protocol - 作者： Ivan Novikov.
XXE OOB extracting via HTTP+FTP using single opened port - 撰写者 skavans.
What You Didn't Know About XML External Entities Attacks - 撰写者 Timothy D. Morgan.
Pre-authentication XXE vulnerability in the Services Drupal module - 撰写者 Renaud Dubourguais.
Forcing XXE Reflection through Server Error Messages - 撰写者 Antti Rantasaari.
Exploiting XXE with local DTD files - 撰写者 Arseniy Sharoglazov.
Automating local DTD discovery for XXE exploitation - 撰写者 Philippe Arteau.

SSRF¶

AWS takeover through SSRF in JavaScript - 撰写者 Gwen.
SSRF in Exchange leads to ROOT access in all instances - 撰写者 @0xacb.
SSRF to ROOT Access - SSRF 的 25,000 美元赏金导致在所有情况下获得 ROOT 访问权限 0xacb.
PHP SSRF Techniques - 撰写者 @themiddleblue.
SSRF in https://imgur.com/vidgif/url - 撰写者 aesteral.
All you need to know about SSRF and how may we write tools to do auto-detect - 撰写者 @Auxy233.
A New Era of SSRF - Exploiting URL Parser in Trending Programming Languages! - 撰写者 Orange.
SSRF Tips - 撰写者 xl7dev.
Into the Borg – SSRF inside Google production network - 撰写者 opnsec.
Piercing the Veil: Server Side Request Forgery to NIPRNet access - 撰写者 Alyssa Herrera.

Web Cache Poisoning¶

Bypassing Web Cache Poisoning Countermeasures - 撰写者 @albinowax.
Cache poisoning and other dirty tricks - 撰写者 Wallarm.

Header Injection¶

Java/Python FTP Injections Allow for Firewall Bypass - 撰写者 Timothy Morgan.

URL¶

Some Problems Of URLs - 撰写者 Chris Palmer.
Phishing with Unicode Domains - 撰写者 Xudong Zheng.
Unicode Domains are bad and you should feel bad for supporting them - 撰写者 VRGSEC.
[dev.twitter.com] XSS - 作者 Sergey Bobrov.

Deserialization¶

ASP.NET resource files (.RESX) and deserialisation issues - 撰写者 @irsdl.

OAuth¶

Facebook OAuth Framework Vulnerability - 撰写者 @AmolBaikar.

Others¶

How I hacked Google’s bug tracking system itself for $15,600 in bounties - 撰写者 @alex.birsan.
Some Tricks From My Secret Group - 撰写者 phithon.
Inducing DNS Leaks in Onion Web Services - 撰写者 @epidemics-scepticism.
Stored XSS, and SSRF in Google using the Dataset Publishing Language - 撰写者 @signalchaos.

Browser Exploitation¶

Frontend (like SOP bypass, URL spoofing, and something like that)¶

The world of Site Isolation and compromised renderer - 撰写者 @shhnjk.
The Cookie Monster in Your Browsers - 撰写者 @filedescriptor.
Bypassing Mobile Browser Security For Fun And Profit - 撰写者 @rafaybaloch.
The inception bar: a new phishing method - 撰写者 jameshfisher.
JSON hijacking for the modern web - 撰写者 portswigger.
IE11 Information disclosure - local file detection - 由詹姆斯·李撰写.
SOP bypass / UXSS – Stealing Credentials Pretty Fast (Edge) - 撰写者 Manuel.
Особенности Safari в client-side атаках - 撰写者 Bo0oM.
How do we Stop Spilling the Beans Across Origins? - 撰写者 aaj at google.com 和 mkwst at google.com.
Setting arbitrary request headers in Chromium via CRLF injection - 撰写者 Michał Bentkowski.
I’m harvesting credit card numbers and passwords from your site. Here’s how. - 撰写者 David Gilbertson.
Sending arbitrary IPC messages via overriding Function.prototype.apply - 撰写者 @kinugawamasato.
Take Advantage of Out-of-Scope Domains in Bug Bounty Programs - 撰写者 @Abdulahhusam.

Backend (core of Browser implementation, and often refers to C or C++ part)¶

Breaking UC Browser - 撰写者 Доктор Веб.
Attacking JavaScript Engines - A case study of JavaScriptCore and CVE-2016-4622 - 撰写者 https://github.com/qazbnm456/awesome-web-security/blob/master/phrack@saelo.net.
Three roads lead to Rome - 撰写者 @holynop.
Exploiting a V8 OOB write. - 撰写者 @halbecaf.
SSD Advisory – Chrome Turbofan Remote Code Execution - 撰写者 SecuriTeam Secure Disclosure (SSD).
Look Mom, I don't use Shellcode - Browser Exploitation Case Study for Internet Explorer 11 - 撰写者 @moritzj.
PUSHING WEBKIT'S BUTTONS WITH A MOBILE PWN2OWN EXPLOIT - 撰写者 @wanderingglitch.
A Methodical Approach to Browser Exploitation - 撰写者 RET2 SYSTEMS, INC.
CVE-2017-2446 or JSC::JSGlobalObject::isHavingABadTime. - 撰写者 Diary of a reverse-engineer.
CLEANLY ESCAPING THE CHROME SANDBOX - 撰写者 @tjbecker_.
A Methodical Approach to Browser Exploitation - 撰写者 @PatrickBiernat, @gaasedelen 和 @itszn13.

PoCs¶

Database¶

js-vuln-db - 通过 PoC 收集 JavaScript 引擎 CVE @tunz.
awesome-cve-poc - 精选的 CVE PoC 列表 @qazbnm456.
Some-PoC-oR-ExP - 各种漏洞poc、Exp的收集或编写 by @coffeehb.
uxss-db - 通过 PoC 收集 UXSS CVE @Metnew.
SPLOITUS - 利用和工具搜索引擎 @i_bo0om.
Exploit Database - 漏洞利用、Shellcode 和安全文件的最终存档 Offensive Security.

Cheetsheets¶

XSS Cheat Sheet - 2018 Edition - 撰写者 @brutelogic.
Capture the Flag CheatSheet - 撰写者 @uppusaikiran.

Tools¶

Auditing¶

prowler - 用于 AWS 安全评估、审计和强化的工具 @Alfresco.
slurp - 通过以下方式评估 S3 存储桶的安全性 @hehnope.
A2SV - 自动扫描到 SSL 漏洞 @hahwul.

Command Injection¶

commix - 自动化的多合一操作系统命令注入和利用工具 @commixproject.

Reconnaissance¶

OSINT - Open-Source Intelligence¶

Shodan - Shodan 是世界上第一个用于互联网连接设备的搜索引擎 @shodanhq.
Censys - Censys 是一个搜索引擎，它允许计算机科学家通过以下方式询问有关组成互联网的设备和网络的问题 University of Michigan.
urlscan.io - 分析网站及其请求的资源的服务 @heipei.
ZoomEye - 网络空间搜索引擎 @zoomeye_team.
FOFA - 网络空间搜索引擎 BAIMAOHUI.
NSFOCUS - NSFOCUS GLOBAL 的威胁情报门户.
Photon - 为 OSINT 设计的令人难以置信的快速爬虫 @s0md3v.
FOCA - FOCA（Fingerprinting Organizations with Collected Archives）是一种主要用于在其扫描的文档中查找元数据和隐藏信息的工具 ElevenPaths.
SpiderFoot - 开源足迹和情报收集工具 @binarypool.
xray - XRay 是一种用于从公共网络收集侦察、制图和 OSINT 的工具 @evilsocket.
gitrob - GitHub 组织的侦察工具 @michenriksen.
GSIL - Github Sensitive Information Leakage（Github敏感信息泄露）by @FeeiCN.
raven - raven 是一个 Linkedin 信息收集工具，渗透测试人员可以使用它来收集有关使用 Linkedin 的组织员工的信息 @0x09AL.
ReconDog - 侦察瑞士军刀 @s0md3v.
Databases - start.me - 可用于 OSINT 研究的各种数据库 @technisette.
peoplefindThor - 通过以下方式在 Facebook 上找到人的简单方法 postkassen.
tinfoleak - 最完整的 Twitter 情报分析开源工具 @vaguileradiaz.
Raccoon - 用于侦察和漏洞扫描的高性能攻击性安全工具 @evyatarmeged.
Social Mapper - Jacob Wilkin（Greenwolf）的社交媒体枚举和关联工具 @SpiderLabs.
espi0n/Dockerfiles - 用于各种 OSINT 工具的 Dockerfiles @espi0n.

Sub Domain Enumeration¶

Sublist3r - Sublist3r 是一款用于渗透测试人员的多线程子域枚举工具 @aboul3la.
EyeWitness - EyeWitness 旨在获取网站的屏幕截图，提供一些服务器标头信息，并在可能的情况下识别默认凭据 @ChrisTruncer.
subDomainsBrute - 一个简单快速的子域暴力破解工具，由 @lijiejie.
AQUATONE - 域天桥工具 @michenriksen.
domain_analyzer - 通过查找所有可能的信息来分析任何域的安全性 @eldraco.
VirusTotal domain information - 通过搜索域信息 VirusTotal.
Certificate Transparency - Google 的证书透明度项目修复了 SSL 证书系统中的几个结构性缺陷 @google.
Certificate Search - 输入身份（域名、组织名称等）、证书指纹（SHA-1 或 SHA-256）或 crt.sh ID 以通过以下方式搜索证书 @crtsh.
GSDF - 名为 GoogleSSLdomainFinder 的域搜索器 @We5ter.

Code Generating¶

VWGen - 易受攻击的 Web 应用程序生成器 @qazbnm456.

Fuzzing¶

wfuzz - Web 应用程序 bruteforcer @xmendez.
charsetinspect - 检查多字节字符集以查找具有特定用户定义属性的字符的脚本 @hack-all-the-things.
IPObfuscator - 通过以下方式将 IP 转换为 DWORD IP 的简单工具 @OsandaMalith.
domato - DOM模糊器 @google.
FuzzDB - 用于黑盒应用程序故障注入和资源发现的攻击模式和原语字典.
dirhunt - 为搜索和分析网站目录结构而优化的网络爬虫 @nekmo.
ssltest - 对公共互联网上任何 SSL Web 服务器的配置进行深入分析的在线服务. 由...提供 Qualys SSL Labs.
fuzz.txt - 潜在的危险文件 @Bo0oM.

Scanning¶

wpscan - WPScan 是一个黑盒 WordPress 漏洞扫描器，由 @wpscanteam.
JoomlaScan - 用于查找安装在 Joomla CMS 中的组件的免费软件，由 Joomscan 的灰烬构建而成 @drego85.
WAScan - 是一种使用“黑盒”方法的开源 Web 应用程序安全扫描程序，由 @m4ll0k.
Nuclei - Nuclei 是一种基于模板的可配置目标扫描的快速工具，提供巨大的可扩展性和易用性 @projectdiscovery.

Penetration Testing¶

Burp Suite - Burp Suite 是一个集成平台，用于通过以下方式对 Web 应用程序进行安全测试 portswigger.
TIDoS-Framework - 一个全面的 Web 应用程序审计框架，涵盖从侦察和 OSINT 到漏洞分析的所有内容 @_tID.
Astra - REST API 的自动化安全测试 @flipkart-incubator.
aws_pwn - AWS 渗透测试垃圾合集 @dagrz.
grayhatwarfare - 公共桶 grayhatwarfare.

Offensive¶

XSS - Cross-Site Scripting¶

beef - 浏览器开发框架项目 beefproject.
JShell - 通过 XSS 获得一个 JavaScript shell @s0md3v.
XSStrike - XSStrike 是一个可以对 XSS 参数进行模糊测试和暴力破解的程序. 它还可以通过以下方式检测和绕过 WAF @s0md3v.
xssor2 - XSS'OR - 用 JavaScript 破解 @evilcos.
csp evaluator - 评估内容安全策略的工具 Csper.

SQL Injection¶

sqlmap - 自动 SQL 注入和数据库接管工具.

Template Injection¶

tplmap - 代码和服务器端模板注入检测和开发工具 @epinna.

XXE¶

dtd-finder - 列出 DTD 并使用这些本地 DTD 生成 XXE 有效载荷 @GoSecure.

Cross Site Request Forgery¶

XSRFProbe - Prime CSRF 审计和开发工具包，作者： @0xInfection.

Server-Side Request Forgery¶

Open redirect/SSRF payload generator - 打开重定向/SSRF 负载生成器 intigriti.

Leaking¶

HTTPLeaks - 网站可以通过所有可能的方式泄露 HTTP 请求 @cure53.
dvcs-ripper - Rip web 可访问（分布式）版本控制系统：SVN/GIT/HG... by @kost.
DVCS-Pillage - 掠夺可通过网络访问的 GIT、HG 和 BZR 存储库 @evilpacket.
GitMiner - 用于 Github 上内容的高级挖掘工具 @UnkL4b.
gitleaks - 通过以下方式搜索秘密和密钥的完整回购历史 @zricethezav.
CSS-Keylogging - 利用 CSS 的键盘记录功能的 Chrome 扩展和 Express 服务器 @maxchehab.
pwngitmanager - 渗透测试人员的 Git 管理器 @allyshka.
snallygaster - 用于扫描 HTTP 服务器上的秘密文件的工具 @hannob.
LinkFinder - 在 JavaScript 文件中查找端点的 Python 脚本 @GerbenJavado.

Detecting¶

sqlchop - SQL注入检测引擎 chaitin.
xsschop - XSS检测引擎 chaitin.
retire.js - 检测使用具有已知漏洞的 JavaScript 库的扫描器 @RetireJS.
malware-jail - 用于半自动 Javascript 恶意软件分析、去混淆和有效载荷提取的沙箱 @HynekPetrak.
repo-supervisor - 扫描您的代码是否存在安全配置错误，搜索密码和秘密.
bXSS - bXSS 是一个简单的盲 XSS 应用程序，改编自 cure53.de/m 经过 @LewisArdern.
OpenRASP - 由百度公司积极维护的开源 RASP 解决方案.使用上下文感知检测算法，该项目几乎没有误报. 在服务器负载较重的情况下，性能下降不到 3%.
GuardRails - 在 Pull Requests 中提供安全反馈的 GitHub 应用程序.

Preventing¶

DOMPurify - 用于 HTML、MathML 和 SVG 的仅 DOM、超快、超级容忍的 XSS 消毒器 Cure53.
js-xss - 使用白名单指定的配置清理不受信任的 HTML（以防止 XSS） @leizongmin.
Acra - SQL 数据库的客户端加密引擎，具有强大的选择性加密、SQL 注入防护和入侵检测功能 @cossacklabs.
Csper - 一组用于构建/评估/监控内容安全策略的工具，以防止/检测跨站点脚本 Csper.

Proxy¶

Charles - HTTP 代理/HTTP 监视器/反向代理，使开发人员能够查看他们的机器和 Internet 之间的所有 HTTP 和 SSL/HTTPS 流量.
mitmproxy - 为渗透测试人员和软件开发人员提供交互式 TLS 拦截 HTTP 代理 @mitmproxy.

Webshell¶

nano - 代码家族通过 PHP shell @s0md3v.
webshell - 这是一个webshell开源项目 @tennc.
Weevely - 武器化的网络外壳 @epinna.
Webshell-Sniper - 通过终端管理您的网站 @WangYihang.
Reverse-Shell-Manager - 通过终端反向 Shell 管理器@WangYihang.
reverse-shell - 反向 Shell 即服务 @lukechilds.
PhpSploit - 功能齐全的 C2 框架，通过邪恶的 PHP oneliner 默默地存在于网络服务器上 @nil0x42.

Disassembler¶

plasma - Plasma 是一个用于 x86/ARM/MIPS 的交互式反汇编程序 @plasma-disassembler.
radare2 - 类 Unix 逆向工程框架和命令行工具 @radare.
Iaitō - 用于 radare2 逆向工程框架的 Qt 和 C++ GUI @hteso.

Decompiler¶

CFR - 另一个java反编译器 @LeeAtBenf.

DNS Rebinding¶

DNS Rebind Toolkit - DNS Rebind Toolkit 是一个前端 JavaScript 框架，用于开发针对局域网 (LAN) 上易受攻击的主机和服务的 DNS 重新绑定攻击 @brannondorsey
dref - DNS 重新绑定利用框架. Dref 通过以下方式完成 DNS 重新绑定的繁重工作 @mwrlabs
Singularity of Origin - 它包括必要的组件，用于将攻击服务器 DNS 名称的 IP 地址重新绑定到目标机器的 IP 地址，并提供攻击有效载荷以利用目标机器上的易受攻击的软件 @nccgroup
Whonow DNS Server - 用于执行 DNS 重新绑定攻击的恶意 DNS 服务器 @brannondorsey

Others¶

Dnslogger - DNS 记录器 @iagox86.
CyberChef - The Cyber Swiss Army Knife - a web app for encryption, encoding, compression and data analysis - by @GCHQ.
ntlm_challenger - 通过 HTTP 质询消息解析 NTLM @b17zr.
cefdebug - 通过以下方式连接到 CEF 调试器的最少代码 @taviso.
ctftool - 交互式 CTF 探索工具 @taviso.

haveibeenpwned - 检查您的帐户是否因数据泄露而受到损害 Troy Hunt.

Blogs¶

Orange - 台湾天才网络渗透者.
leavesongs - 中国天才网络渗透者.
James Kettle - 研究主管 PortSwigger Web Security.
Broken Browser - 浏览器漏洞的乐趣.
Scrutiny - 通过 Web 浏览器实现互联网安全，作者 Dhiraj Mishra.
BRETT BUERHAUS - 漏洞披露和应用程序安全漫谈.
n0tr00t - ~# n0tr00t Security Team.
OpnSec - 开放的心态安全！
RIPS Technologies - 对 PHP 漏洞的评论.
0Day Labs - 很棒的错误赏金和挑战文章.
Blog of Osanda - 安全研究和逆向工程.

Twitter Users¶

@HackwithGitHub - 为黑客和渗透测试者展示开源黑客工具的倡议
@filedescriptor - 活跃的渗透者经常发推文和写有用的文章
@cure53berlin - Cure53 是一家德国网络安全公司.
@XssPayloads - JavaScript 意外用法的仙境，等等.
@kinugawamasato - 日本网络渗透器.
@h3xstream - 安全研究员，对网络安全、加密、渗透测试、静态分析感兴趣，但最重要的是，samy 是我的英雄.
@garethheyes - 英语网络渗透者.
@hasegawayosuke - 日本 javascript 安全研究员.
@shhnjk - 网络和浏览器安全研究员.

Practices¶

Application¶

OWASP Juice Shop - 可能是最现代和最复杂的不安全网络应用程序 - 作者 @bkimminich 和 @owasp_juiceshop 团队.
BadLibrary - 用于训练的易受攻击的 Web 应用程序 - 作者 @SecureSkyTechnology.
Hackxor - 逼真的网络应用黑客游戏 - 作者 @albinowax.
SELinux Game - 边做边学 SELinux. 解决难题，展示技能 - 作者 @selinuxgame.
Portswigger Web Security Academy - 免费培训和实验室 - 作者 PortSwigger.

AWS¶

FLAWS - 亚马逊 AWS CTF 挑战赛 - 作者 @0xdabbad00.
CloudGoat - Rhino 安全实验室的“设计易受攻击”AWS 基础设施设置工具 - 作者 @RhinoSecurityLabs.

XSS¶

XSS game - 谷歌 XSS 挑战 - 由谷歌撰写.
prompt(1) to win - 2014 年夏季举行的复杂 16 级 XSS 挑战赛（+4 个隐藏级别） - 作者 @cure53.
alert(1) to win - 一系列 XSS 挑战 - 作者 @steike.
XSS Challenges - XSS 挑战系列 - 由 yamagata21 撰写.

ModSecurity / OWASP ModSecurity Core Rule Set¶

ModSecurity / OWASP ModSecurity Core Rule Set - 安装、配置和调整 ModSecurity 和核心规则集的系列教程 - 作者 @ChrFolini.

Community¶

Miscellaneous¶

awesome-bug-bounty - 可用漏洞赏金和披露计划的综合精选列表以及作者的评论 @djadmin.
bug-bounty-reference - 按错误性质分类的错误赏金列表 @ngalongc.
Google VRP and Unicorns - 撰写者 Daniel Stelter-Gliese.
Brute Forcing Your Facebook Email and Phone Number - 撰写者 PwnDizzle.
Pentest + Exploit dev Cheatsheet wallpaper - 渗透测试和利用开发备忘单.
The Definitive Security Data Science and Machine Learning Guide - 由 JASON TROS 撰写.
EQGRP - 解密的 eqgrp-auction-file.tar.xz 内容 @x0rz.
notes - 一些公共笔记 @ChALkeR.
A glimpse into GitHub's Bug Bounty workflow - 撰写者 @gregose.
Cybersecurity Campaign Playbook - 撰写者 Belfer Center for Science and International Affairs.
Infosec_Reference - 不吸的信息安全参考 @rmusser01.
Internet of Things Scanner - 检查您家中的互联网连接设备是否在 Shodan 上公开 BullGuard.
The Bug Hunters Methodology v2.1 - 撰写者 @jhaddix.
$7.5k Google services mix-up - 撰写者 Ezequiel Pereira.
How I exploited ACME TLS-SNI-01 issuing Let's Encrypt SSL-certs for any domain using shared hosting - 撰写者 @fransrosen.
TL:DR: VPN leaks users’ IPs via WebRTC. I’ve tested seventy VPN providers and 16 of them leaks users’ IPs via WebRTC (23%) - 撰写者 voidsec.
Escape and Evasion Egressing Restricted Networks - 撰写者 Chris Patten, Tom Steele.
Be careful what you copy: Invisibly inserting usernames into text with Zero-Width Characters - 撰写者 @umpox.
Domato Fuzzer's Generation Engine Internals - 撰写者 sigpwn.
CSS Is So Overpowered It Can Deanonymize Facebook Users - 撰写者 Ruslan Habalov.
Introduction to Web Application Security - 撰写者 @itsC0rg1, @jmkeads 和 @matir.
Finding The Real Origin IPs Hiding Behind CloudFlare or TOR - 撰写者 Paul Dannewitz.
Why Facebook's api starts with a for loop - 撰写者 @AntoGarand.
How I could have stolen your photos from Google - my first 3 bug bounty writeups - 撰写者 @gergoturcsanyi.
An example why NAT is NOT security - 撰写者 @0daywork.
WEB APPLICATION PENETRATION TESTING NOTES - 撰写者 Jayson.
Hacking with a Heads Up Display - 撰写者 David Scrobonia.
Alexa Top 1 Million Security - Hacking the Big Ones - 撰写者 @slashcrypto.
The bug bounty program that changed my life - 撰写者 Gwen.
List of bug bounty writeups - 撰写者 Mariem.
Implications of Loading .NET Assemblies - 撰写者 Brian Wallace.
WCTF2019: Gyotaku The Flag - 撰写者 @t0nk42.
How we abused Slack's TURN servers to gain access to internal services - 撰写者 @sandrogauci.
DOS File Path Magic Tricks - 撰写者 @clr2of8.
How I got my first big bounty payout with Tesla - 撰写者 @cj.fairhead.

Code of Conduct¶

请注意，该项目随 Contributor Code of Conduct . 参与此项目即表示您同意遵守其条款.

License¶

在法律允许的范围内， @qazbnm456 已放弃该作品的所有版权和相关或邻接权.

Web安全

Awesome Web Security ¶

Digests¶

Forums¶

Introduction¶

XSS - Cross-Site Scripting¶

Prototype Pollution¶

CSV Injection¶

SQL Injection¶

Command Injection¶

ORM Injection¶

FTP Injection¶

XXE - XML eXternal Entity¶

CSRF - Cross-Site Request Forgery¶

Clickjacking¶

SSRF - Server-Side Request Forgery¶

Web Cache Poisoning¶

Relative Path Overwrite¶

Open Redirect¶

Security Assertion Markup Language (SAML)¶

Upload¶

Rails¶

AngularJS¶

ReactJS¶

SSL/TLS¶

Webmail¶

NFS¶

AWS¶

Azure¶

Fingerprint¶

Sub Domain Enumeration¶

Crypto¶

Web Shell¶

OSINT¶

DNS Rebinding¶

Deserialization¶

OAuth¶

JWT¶

Evasions¶

XXE¶

CSP¶

WAF¶

JSMVC¶

Authentication¶

Tricks¶

CSRF¶

Clickjacking¶

Remote Code Execution¶

XSS¶

SQL Injection¶

NoSQL Injection¶

FTP Injection¶

XXE¶

SSRF¶

Web Cache Poisoning¶

Header Injection¶

URL¶

Deserialization¶

OAuth¶

Others¶

Browser Exploitation¶

Frontend (like SOP bypass, URL spoofing, and something like that)¶

Backend (core of Browser implementation, and often refers to C or C++ part)¶

PoCs¶

Database¶

Cheetsheets¶

Tools¶

Auditing¶

Command Injection¶

Reconnaissance¶

OSINT - Open-Source Intelligence¶

Sub Domain Enumeration¶

Code Generating¶

Fuzzing¶

Scanning¶

Penetration Testing¶

Offensive¶

XSS - Cross-Site Scripting¶

SQL Injection¶

Template Injection¶