

Web安全

Awesome Web Security ¶

>精选的Web安全性材料和资源列表.

不用说，大多数网站都遭受各种错误，最终可能导致漏洞. 为什么这种情况经常发生？可能会涉及许多因素，包括配置错误，工程师的安全技能不足等.为解决此问题，这里有一份精选的Web安全材料和资源列表，用于学习最先进的渗透技术，我强烈建议您阅读本文“So you want to be a web security researcher?首先.

请阅读 contribution guidelines 在捐款之前.

想增强您的渗透能力吗？
我建议玩一些awesome-ctf .

如果您喜欢这个很棒的清单并想支持它，请查看我 Patreon 页面:)
另外，别忘了检查我 repos 或对我说“嗨” Twitter!

Digests¶

Hacker101 -撰写者 hackerone.
The Daily Swig - Web security digest -撰写者 PortSwigger.
Web Application Security Zone by Netsparker -撰写者 Netsparker.
Infosec Newbie -撰写者 Mark Robinson.
The Magic of Learning -撰写者 @bitvijays.
CTF Field Guide -撰写者 Trail of Bits.
PayloadsAllTheThings -撰写者 @swisskyrepo.
tl;dr sec -顶级安全工具，博客文章和安全研究的每周摘要.

Forums¶

Phrack Magazine -由和为黑客编写的电子杂志.
The Hacker News -认真对待安全问题.
Security Weekly -安全播客网络.
The Register -咬住喂养IT的手.
Dark Reading -连接信息安全社区.
HackDig -为黑客挖掘高质量的网络安全文章.

Introduction¶

Relative Path Overwrite¶

Open Redirect¶

Open Redirect Vulnerability -撰写者 s0cket7.
payloadbox/open-redirect-payload-list -撰写者 @payloadbox.
PayloadsAllTheThings - Open Redirect -撰写者 @swisskyrepo.

Security Assertion Markup Language (SAML)¶

How to Hunt Bugs in SAML; a Methodology - Part I -撰写者 epi.
How to Hunt Bugs in SAML; a Methodology - Part II -撰写者 epi.
How to Hunt Bugs in SAML; a Methodology - Part III -撰写者 epi.
PayloadsAllTheThings - SAML Injection -撰写者 @swisskyrepo.

Upload¶

File Upload Restrictions Bypass -撰写者 Haboob Team.
PayloadsAllTheThings - Upload Insecure Files -撰写者 @swisskyrepo.

Rails¶

Rails Security - First part -撰写者 @qazbnm456.
Zen Rails Security Checklist -撰写者 @brunofacca.
Rails SQL Injection -撰写者 @presidentbeef.
Official Rails Security Guide -撰写者 Rails team.

AngularJS¶

XSS without HTML: Client-Side Template Injection with AngularJS -撰写者 Gareth Heyes.
DOM based Angular sandbox escapes -撰写者 @garethheyes

ReactJS¶

XSS via a spoofed React element -撰写者 Daniel LeCheminant.

SSL/TLS¶

SSL & TLS Penetration Testing -撰写者 APTIVE.
Practical introduction to SSL/TLS -撰写者 @Hakky54.

Webmail¶

Why mail() is dangerous in PHP -撰写者 Robin Peraglie.

NFS¶

NFS | PENETRATION TESTING ACADEMY -撰写者 PENETRATION ACADEMY.

AWS¶

PENETRATION TESTING AWS STORAGE: KICKING THE S3 BUCKET -由Dwight Hohnstein撰写，来自 Rhino Security Labs.
AWS PENETRATION TESTING PART 1. S3 BUCKETS -撰写者 VirtueSecurity.
AWS PENETRATION TESTING PART 2. S3, IAM, EC2 -撰写者 VirtueSecurity.
Misadventures in AWS -由克里斯蒂安·德姆科（Christian Demko）撰写

Azure¶

Common Azure Security Vulnerabilities and Misconfigurations -撰写者 @rhinobenjamin.
Cloud Security Risks (Part 1): Azure CSV Injection Vulnerability -撰写者 @spengietz.

Fingerprint¶

Sub Domain Enumeration¶

A penetration tester’s guide to sub-domain enumeration -撰写者 Bharath.
The Art of Subdomain Enumeration -撰写者 Patrik Hudak.

Crypto¶

Applied Crypto Hardening -撰写者 The bettercrypto.org Team.
What is a Side-Channel Attack ? -撰写者 J.M Porup.

Web Shell¶

Hunting for Web Shells -撰写者 Jacob Baines.
Hacking with JSP Shells -撰写者 @_nullbind.

OSINT¶

Hacking Cryptocurrency Miners with OSINT Techniques -撰写者 @s3yfullah.
OSINT x UCCU Workshop on Open Source Intelligence -撰写者 Philippe Lin.
102 Deep Dive in the Dark Web OSINT Style Kirby Plessas -由 @kirbstr.
The most complete guide to finding anyone’s email -撰写者 Timur Daudpota.

DNS Rebinding¶

Attacking Private Networks from the Internet with DNS Rebinding -撰写者 @brannondorsey
Hacking home routers from the Internet -撰写者 @radekk

Deserialization¶

What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability. -撰写者 @breenmachine.
Attacking .NET deserialization -撰写者 @pwntester.
.NET Roulette: Exploiting Insecure Deserialization in Telerik UI -撰写者 @noperator.
How to exploit the DotNetNuke Cookie Deserialization -撰写者 CRISTIAN CORNEA.
HOW TO EXPLOIT LIFERAY CVE-2020-7961 : QUICK JOURNEY TO POC -撰写者 @synacktiv.

OAuth¶

Introduction to OAuth 2.0 and OpenID Connect -撰写者 @PhilippeDeRyck.
What is going on with OAuth 2.0? And why you should not use it for authentication. -撰写者 @damianrusinek.

JWT¶

Hardcoded secrets, unverified tokens, and other common JWT mistakes -撰写者 @ermil0v.

Evasions¶

XXE¶

Bypass Fix of OOB XXE Using Different encoding -撰写者 @SpiderSec.

CSP¶

Any protection against dynamic module import? -撰写者 @shhnjk.
CSP: bypassing form-action with reflected XSS -撰写者 Detectify Labs.
TWITTER XSS + CSP BYPASS -撰写者 Paulos Yibelo.
Neatly bypassing CSP -撰写者 Wallarm.
Evading CSP with DOM-based dangling markup -撰写者 portswigger.
GitHub's CSP journey -撰写者 @ptoomey3.
GitHub's post-CSP journey -撰写者 @ptoomey3.

WAF¶

Web Application Firewall (WAF) Evasion Techniques -撰写者 @secjuice.
Web Application Firewall (WAF) Evasion Techniques #2 -撰写者 @secjuice.
Airbnb – When Bypassing JSON Encoding, XSS Filter, WAF, CSP, and Auditor turns into Eight Vulnerabilities -撰写者 @Brett Buerhaus.
How to bypass libinjection in many WAF/NGWAF -撰写者 @d0znpp.

JSMVC¶

JavaScript MVC and Templating Frameworks -撰写者 Mario Heiderich.

Authentication¶

Trend Micro Threat Discovery Appliance - Session Generation Authentication Bypass (CVE-2016-8584) -撰写者 @malerisch 和 @steventseeley.

Tricks¶

CSRF¶

Neat tricks to bypass CSRF-protection -撰写者 Twosecurity.
Exploiting CSRF on JSON endpoints with Flash and redirects -撰写者 @riyazwalikar.
Stealing CSRF tokens with CSS injection (without iFrames) -撰写者 @dxa4481.
Cracking Java’s RNG for CSRF - Javax Faces and Why CSRF Token Randomness Matters -撰写者 @rramgattie.
If HttpOnly You Could Still CSRF… Of CORS you can! -撰写者 @GraphX.

Clickjacking¶

Clickjackings in Google worth 14981.7$ -撰写者 @raushanraj_65039.

Remote Code Execution¶

CVE-2019-1306: ARE YOU MY INDEX? -撰写者 @yu5k3.
WebLogic RCE (CVE-2019-2725) Debug Diary -由Badcode @ Knownsec 404团队撰写.
What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability. -撰写者 @breenmachine.
Exploiting Node.js deserialization bug for Remote Code Execution -撰写者 OpSecX.
DRUPAL 7.X SERVICES MODULE UNSERIALIZE() TO RCE -撰写者 Ambionics Security.
How we exploited a remote code execution vulnerability in math.js -撰写者 @capacitorset.
GitHub Enterprise Remote Code Execution -撰写者 @iblue.
Evil Teacher: Code Injection in Moodle -撰写者 RIPS Technologies.
How I Chained 4 vulnerabilities on GitHub Enterprise, From SSRF Execution Chain to RCE! -撰写者 Orange.
$36k Google App Engine RCE -撰写者 Ezequiel Pereira.
Poor RichFaces -撰写者 CODE WHITE.
Remote Code Execution on a Facebook server -撰写者 @blaklis_.

XSS¶

Exploiting XSS with 20 characters limitation -撰写者 Jorge Lajara.
Upgrade self XSS to Exploitable XSS an 3 Ways Technic -撰写者 HAHWUL.
XSS without parentheses and semi-colons -撰写者 @garethheyes.
XSS-Auditor — the protector of unprotected and the deceiver of protected. -撰写者 @terjanq.
Query parameter reordering causes redirect page to render unsafe URL -撰写者 kenziy.
ECMAScript 6 from an Attacker's Perspective - Breaking Frameworks, Sandboxes, and everything else -撰写者 Mario Heiderich.
How I found a $5,000 Google Maps XSS (by fiddling with Protobuf) -撰写者 @marin_m.
DON'T TRUST THE DOM: BYPASSING XSS MITIGATIONS VIA SCRIPT GADGETS -撰写者 Sebastian Lekies, Krzysztof Kotowicz和 Eduardo Vela.
Uber XSS via Cookie -撰写者 zhchbin.
DOM XSS – auth.uber.com -撰写者 StamOne_.
Stored XSS on Facebook -撰写者 Enguerran Gillier.
XSS in Google Colaboratory + CSP bypass -撰写者 Michał Bentkowski.
Another XSS in Google Colaboratory -撰写者 Michał Bentkowski.
is filtered ? -撰写者 @strukt93.
$20000 Facebook DOM XSS -撰写者 @vinodsparrow.

SQL Injection¶

MySQL Error Based SQL Injection Using EXP -撰写者 @osandamalith.
SQL injection in an UPDATE query - a bug bounty story! -撰写者 Zombiehelp54.
GitHub Enterprise SQL Injection -撰写者 Orange.
Making a Blind SQL Injection a little less blind -撰写者 TomNomNom.
Red Team Tales 0x01: From MSSQL to RCE -撰写者 Tarlogic.
SQL INJECTION AND POSTGRES - AN ADVENTURE TO EVENTUAL RCE -撰写者 @denandz.

NoSQL Injection¶

GraphQL NoSQL Injection Through JSON Types -撰写者 Pete.

FTP Injection¶

XML Out-Of-Band Data Retrieval -撰写者 @a66at 和阿列克谢·奥西波夫（Alexey Osipov）.
XXE OOB exploitation at Java 1.7+ -撰写者 Ivan Novikov.

XXE¶

Evil XML with two encodings -撰写者 Arseniy Sharoglazov.
XXE in WeChat Pay Sdk ( WeChat leave a backdoor on merchant websites) -撰写者 Rose Jackcode.
XML Out-Of-Band Data Retrieval -由Timur Yunusov和Alexey Osipov撰写.
XXE OOB exploitation at Java 1.7+ (2014)：使用FTP协议进行渗透-撰写者 Ivan Novikov.
XXE OOB extracting via HTTP+FTP using single opened port -撰写者 skavans.
What You Didn't Know About XML External Entities Attacks -撰写者 Timothy D. Morgan.
Pre-authentication XXE vulnerability in the Services Drupal module -撰写者 Renaud Dubourguais.
Forcing XXE Reflection through Server Error Messages -撰写者 Antti Rantasaari.
Exploiting XXE with local DTD files -撰写者 Arseniy Sharoglazov.
Automating local DTD discovery for XXE exploitation -撰写者 Philippe Arteau.

SSRF¶

AWS takeover through SSRF in JavaScript -撰写者 Gwen.
SSRF in Exchange leads to ROOT access in all instances -撰写者 @0xacb.
SSRF to ROOT Access -$ 25,000的SSRF悬赏金可在所有情况下导致ROOT访问 0xacb.
PHP SSRF Techniques -撰写者 @themiddleblue.
SSRF in https://imgur.com/vidgif/url -撰写者 aesteral.
All you need to know about SSRF and how may we write tools to do auto-detect -撰写者 @Auxy233.
A New Era of SSRF - Exploiting URL Parser in Trending Programming Languages! -撰写者 Orange.
SSRF Tips -撰写者 xl7dev.
Into the Borg – SSRF inside Google production network -撰写者 opnsec.
Piercing the Veil: Server Side Request Forgery to NIPRNet access -撰写者 Alyssa Herrera.

Web Cache Poisoning¶

Bypassing Web Cache Poisoning Countermeasures -撰写者 @albinowax.
Cache poisoning and other dirty tricks -撰写者 Wallarm.

Header Injection¶

Java/Python FTP Injections Allow for Firewall Bypass -撰写者 Timothy Morgan.

URL¶

Some Problems Of URLs -撰写者 Chris Palmer.
Phishing with Unicode Domains -撰写者 Xudong Zheng.
Unicode Domains are bad and you should feel bad for supporting them -撰写者 VRGSEC. -[[dev.twitter.com] XSS]（http://blog.blackfan.ru/2017/09/devtwittercom-xss.html）-撰写者 Sergey Bobrov.

Deserialization¶

ASP.NET resource files (.RESX) and deserialisation issues -撰写者 @irsdl.

OAuth¶

Facebook OAuth Framework Vulnerability -撰写者 @AmolBaikar.

Others¶

How I hacked Google’s bug tracking system itself for $15,600 in bounties -撰写者 @alex.birsan.
Some Tricks From My Secret Group -撰写者 phithon.
Inducing DNS Leaks in Onion Web Services -撰写者 @epidemics-scepticism.
Stored XSS, and SSRF in Google using the Dataset Publishing Language -撰写者 @signalchaos.

Browser Exploitation¶

Frontend (like SOP bypass, URL spoofing, and something like that)¶

The world of Site Isolation and compromised renderer -撰写者 @shhnjk.
The Cookie Monster in Your Browsers -撰写者 @filedescriptor.
Bypassing Mobile Browser Security For Fun And Profit -撰写者 @rafaybaloch.
The inception bar: a new phishing method -撰写者 jameshfisher.
JSON hijacking for the modern web -撰写者 portswigger.
IE11 Information disclosure - local file detection -由James Lee撰写.
SOP bypass / UXSS – Stealing Credentials Pretty Fast (Edge) -撰写者 Manuel.
Особенности Safari в client-side атаках -撰写者 Bo0oM.
How do we Stop Spilling the Beans Across Origins? -撰写者 aaj at google.com 和 mkwst at google.com.
Setting arbitrary request headers in Chromium via CRLF injection -撰写者 Michał Bentkowski.
I’m harvesting credit card numbers and passwords from your site. Here’s how. -撰写者 David Gilbertson.
Sending arbitrary IPC messages via overriding Function.prototype.apply -撰写者 @kinugawamasato.
Take Advantage of Out-of-Scope Domains in Bug Bounty Programs -撰写者 @Abdulahhusam.

Backend (core of Browser implementation, and often refers to C or C++ part)¶

Breaking UC Browser -撰写者 Доктор Веб.
Attacking JavaScript Engines - A case study of JavaScriptCore and CVE-2016-4622 -撰写者 https://github.com/qazbnm456/awesome-web-security/blob/master/phrack@saelo.net.
Three roads lead to Rome -撰写者 @holynop.
Exploiting a V8 OOB write. -撰写者 @halbecaf.
SSD Advisory – Chrome Turbofan Remote Code Execution -撰写者 SecuriTeam Secure Disclosure (SSD).
Look Mom, I don't use Shellcode - Browser Exploitation Case Study for Internet Explorer 11 -撰写者 @moritzj.
PUSHING WEBKIT'S BUTTONS WITH A MOBILE PWN2OWN EXPLOIT -撰写者 @wanderingglitch.
A Methodical Approach to Browser Exploitation -撰写者 RET2 SYSTEMS, INC.
CVE-2017-2446 or JSC::JSGlobalObject::isHavingABadTime. -撰写者 Diary of a reverse-engineer.
CLEANLY ESCAPING THE CHROME SANDBOX -撰写者 @tjbecker_.
A Methodical Approach to Browser Exploitation -撰写者 @PatrickBiernat, @gaasedelen 和 @itszn13.

PoCs¶

Database¶

js-vuln-db -通过PoC收集JavaScript引擎CVE @tunz.
awesome-cve-poc -整理的CVE PoC列表 @qazbnm456.
Some-PoC-oR-ExP - 各种漏洞poc、Exp的收集或编写 by @coffeehb.
uxss-db -通过PoC收集UXSS CVE @Metnew.
SPLOITUS -漏洞利用和工具搜索引擎 @i_bo0om.
Exploit Database -漏洞，Shellcode和安全文件的最终存档，作者： Offensive Security.

Cheetsheets¶

XSS Cheat Sheet - 2018 Edition -撰写者 @brutelogic.
Capture the Flag CheatSheet -撰写者 @uppusaikiran.

Tools¶

Auditing¶

prowler -通过以下工具进行AWS安全评估，审核和强化的工具 @Alfresco.
slurp -通过以下方式评估S3存储桶的安全性 @hehnope.
A2SV -通过自动扫描到SSL漏洞 @hahwul.

Command Injection¶

commix -自动化的多合一OS命令注入和利用工具 @commixproject.

Reconnaissance¶

OSINT - Open-Source Intelligence¶

Shodan -Shodan是世界上第一个通过互联网连接设备的搜索引擎 @shodanhq.
Censys -Censys是一个搜索引擎，计算机科学家可以通过它搜索有关构成Internet的设备和网络的问题 University of Michigan.
urlscan.io -分析网站及其请求资源的服务 @heipei.
ZoomEye -网络空间搜索引擎 @zoomeye_team.
FOFA -网络空间搜索引擎 BAIMAOHUI.
NSFOCUS -绿盟科技全球威胁智能门户网站.
Photon -由OSINT设计的令人难以置信的快速搜寻器 @s0md3v.
FOCA -FOCA（具有收集档案的指纹组织）是一种工具，主要用于在其扫描所依据的文档中查找元数据和隐藏信息 ElevenPaths.
SpiderFoot -开源的足迹和情报收集工具 @binarypool.
xray -XRay是用于通过以下方式从公共网络进行侦查，映射和OSINT收集的工具： @evilsocket.
gitrob -由GitHub组织提供的侦察工具 @michenriksen.
GSIL - Github Sensitive Information Leakage（Github敏感信息泄露）by @FeeiCN.
raven -raven是Linkedin信息收集工具，渗透测试人员可以使用该工具收集有关使用Linkedin的组织员工的信息， @0x09AL.
ReconDog -侦察瑞士军刀 @s0md3v.
Databases - start.me -您可以通过以下各种数据库进行OSINT研究 @technisette.
peoplefindThor -通过以下方式在Facebook上找到人的简单方法 postkassen.
tinfoleak -由Twitter提供的最完整的开源情报分析工具 @vaguileradiaz.
Raccoon -用于侦察和漏洞扫描的高性能进攻安全工具 @evyatarmeged.
Social Mapper -社交媒体枚举和关联工具，作者：Jacob Wilkin（Greenwolf），作者： @SpiderLabs.
espi0n/Dockerfiles -用于各种OSINT工具的Dockerfile @espi0n.

Sub Domain Enumeration¶

Sublist3r -Sublist3r是用于渗透测试人员的多线程子域枚举工具， @aboul3la.
EyeWitness -EyeWitness旨在获取网站的屏幕截图，提供一些服务器标头信息，并在可能的情况下通过以下方式识别默认凭据： @ChrisTruncer.
subDomainsBrute -一种针对渗透测试者的简单快速的子域暴力破解工具 @lijiejie.
AQUATONE -的网域天桥工具 @michenriksen.
domain_analyzer -通过查找所有可能的信息来分析任何域的安全性 @eldraco.
VirusTotal domain information -通过搜索域名信息 VirusTotal.
Certificate Transparency -Google的“证书透明性”项目通过以下方式修复了SSL证书系统中的一些结构性缺陷： @google.
Certificate Search -输入身份（域名，组织名称等），证书指纹（SHA-1或SHA-256）或crt.sh ID，以通过以下方式搜索证书 @crtsh.
GSDF -名为GoogleSSLdomainFinder的域搜索者 @We5ter.

Code Generating¶

VWGen -易受攻击的Web应用程序生成器 @qazbnm456.

Fuzzing¶

wfuzz -Web应用程序通过 @xmendez.
charsetinspect -检查多字节字符集以查找具有特定用户定义属性的字符的脚本 @hack-all-the-things.
IPObfuscator -通过以下工具将IP转换为DWORD IP的简单工具 @OsandaMalith.
domato -DOM模糊测试者 @google.
FuzzDB -用于黑盒应用程序故障注入和资源发现的攻击模式和原语字典.
dirhunt -优化的网络爬虫，用于通过以下方式搜索和分析站点的目录结构 @nekmo.
ssltest -在线服务，对公共Internet上任何SSL Web服务器的配置进行深入分析. 由...提供 Qualys SSL Labs.
fuzz.txt -潜在的危险文件 @Bo0oM.

Scanning¶

wpscan -WPScan是黑匣子WordPress漏洞扫描程序，由 @wpscanteam.
JoomlaScan -免费软件，用于查找Joomla CMS的安装组件，这些组件是通过以下方式在Joomscan的基础上构建的： @drego85.
WAScan -是使用“黑匣子”方法创建的开源Web应用程序安全扫描程序，由 @m4ll0k.
Nuclei -Nuclei是基于模板的可配置目标扫描的快速工具，具有广泛的可扩展性和易用性，易于使用 @projectdiscovery.

Penetration Testing¶

Burp Suite -Burp Suite是一个集成平台，用于通过以下方式执行Web应用程序的安全性测试 portswigger.
TIDoS-Framework -全面的Web应用程序审核框架，涵盖了从侦察和OSINT到漏洞分析的所有内容， @_tID.
Astra -REST API的自动化安全测试 @flipkart-incubator.
aws_pwn -由以下人员收集的AWS渗透测试垃圾 @dagrz.
grayhatwarfare -公共水桶 grayhatwarfare.

Offensive¶

XSS - Cross-Site Scripting¶

beef -通过的浏览器开发框架项目 beefproject.
JShell -通过XSS获得JavaScript shell @s0md3v.
XSStrike -XSStrike是一个程序，可以模糊和暴力破解XSS的参数. 它还可以通过以下方式检测和绕过WAF： @s0md3v.
xssor2 -XSS'OR-使用JavaScript入侵 @evilcos.
csp evaluator -评估内容安全政策的工具 Csper.

SQL Injection¶

sqlmap -自动SQL注入和数据库接管工具.

Template Injection¶

tplmap -代码和服务器端模板注入检测和利用工具 @epinna.

XXE¶

dtd-finder -列出DTD并使用以下本地DTD生成XXE负载 @GoSecure.

Cross Site Request Forgery¶

XSRFProbe -的主要CSRF审核和开发工具包 @0xInfection.

Server-Side Request Forgery¶

Open redirect/SSRF payload generator -通过以下方式打开重定向/ SSRF有效负载生成器 intigriti.

Leaking¶

HTTPLeaks -所有可能的方式，网站可能通过以下方式泄漏HTTP请求 @cure53.
dvcs-ripper -Rip Web可访问（分布式）版本控制系统：SVN / GIT / HG ... @kost.
DVCS-Pillage -通过以下方式访问Pillage网站的GIT，HG和BZR存储库 @evilpacket.
GitMiner -由Github上的内容高级挖掘工具 @UnkL4b.
gitleaks -搜索完整的回购历史记录，以查找秘密和密钥 @zricethezav.
CSS-Keylogging -Chrome扩展程序和Express服务器，可利用CSS的按键记录功能 @maxchehab.
pwngitmanager -面向渗透测试者的Git经理 @allyshka.
snallygaster -通过以下工具扫描HTTP服务器上的秘密文件的工具 @hannob.
LinkFinder -通过以下方式在JavaScript文件中查找端点的Python脚本 @GerbenJavado.

Detecting¶

sqlchop -SQL注入检测引擎 chaitin.
xsschop -XSS检测引擎 chaitin.
retire.js -扫描程序通过以下方式检测对已知漏洞的JavaScript库的使用： @RetireJS.
malware-jail -沙箱，用于通过以下方式进行半自动的Javascript恶意软件分析，去混淆和有效载荷提取 @HynekPetrak.
repo-supervisor -扫描代码以检查安全性配置错误，搜索密码和机密.
bXSS -bXSS是一个简单的Blind XSS应用程序，适用于 cure53.de/m 通过 @LewisArdern.
OpenRASP -百度公司积极维护的开源RASP解决方案.借助上下文感知检测算法，该项目几乎没有出现误报. 在高服务器负载下，性能下降不到3％.
GuardRails -GitHub应用程序，可在请求请求中提供安全性反馈.

Preventing¶

DOMPurify -HTML，MathML和SVG的仅DOM，超快速，超容忍XSS消毒剂，由 Cure53.
js-xss -使用白名单指定的配置对不受信任的HTML进行清理（以防止XSS） @leizongmin.
Acra -用于SQL数据库的客户端加密引擎，具有强大的选择性加密，防止SQL注入和入侵检测功能 @cossacklabs.
Csper -一套用于构建/评估/监控内容安全策略的工具，以防止/检测跨站点脚本 Csper.

Proxy¶

Charles -HTTP代理/ HTTP监视器/反向代理，使开发人员可以查看其计算机与Internet之间的所有HTTP和SSL / HTTPS通信.
mitmproxy -面向渗透测试人员和软件开发人员的交互式TLS拦截HTTP代理功能 @mitmproxy.

Webshell¶

nano -代码族使用PHP打高尔夫球 @s0md3v.
webshell -这是一个Webshell开源项目，由 @tennc.
Weevely -武器化的网页壳 @epinna.
Webshell-Sniper -通过终端管理您的网站 @WangYihang.
Reverse-Shell-Manager -通过终端反向Shell Manager@WangYihang.
reverse-shell -通过将反向Shell即服务 @lukechilds.
PhpSploit -功能齐全的C2框架，通过邪恶的PHP oneliner静默地存在于Web服务器上 @nil0x42.

Disassembler¶

plasma -Plasma是x86 / ARM / MIPS的交互式反汇编程序，作者： @plasma-disassembler.
radare2 -类似于Unix的逆向工程框架和命令行工具 @radare.
Iaitō -用于Radar2逆向工程框架的Qt和C ++ GUI @hteso.

Decompiler¶

CFR -另一个Java反编译器 @LeeAtBenf.

DNS Rebinding¶

DNS Rebind Toolkit -DNS Rebind Toolkit是一个前端JavaScript框架，用于开发针对局域网（LAN）上易受攻击的主机和服务的DNS Rebinding攻击，方法是： @brannondorsey
dref -DNS重新绑定开发框架. Dref为DNS重新绑定做了繁重的工作 @mwrlabs
Singularity of Origin -它包含必要的组件，以将攻击服务器DNS名称的IP地址重新绑定到目标计算机的IP地址，并提供攻击有效载荷以通过以下方式利用目标计算机上的易受攻击的软件 @nccgroup
Whonow DNS Server -恶意DNS服务器，用于通过以下方式即时执行DNS重新绑定攻击 @brannondorsey

Others¶

Dnslogger -DNS记录器 @iagox86.
CyberChef -网络瑞士军刀-用于加密，编码，压缩和数据分析的网络应用- @GCHQ.
ntlm_challenger -通过以下方式解析NTLM over HTTP质询消息 @b17zr.
cefdebug -通过以下方式连接到CEF调试器的代码最少 @taviso.
ctftool -的交互式CTF探索工具 @taviso.

haveibeenpwned -检查您的帐户是否因数据泄露而受到入侵 Troy Hunt.

Blogs¶

Orange -台湾的网络专家.
leavesongs -中国的网络专家.
James Kettle -研究主管 PortSwigger Web Security.
Broken Browser -有趣的浏览器漏洞.
Scrutiny -Dhiraj Mishra通过Web浏览器进行的Internet安全性.
BRETT BUERHAUS -漏洞披露和有关应用程序安全性的漫步.
n0tr00t - ~# n0tr00t Security Team.
OpnSec -放心安全！
RIPS Technologies -有关PHP漏洞的内容.
0Day Labs -出色的错误赏金并挑战撰写内容.
Blog of Osanda -安全研究和逆向工程.

Twitter Users¶

@HackwithGitHub -主动向黑客和渗透测试者展示开源黑客工具
@filedescriptor -主动的攻击者经常发推文并撰写有用的文章
@cure53berlin - Cure53 是一家德国网络安全公司.
@XssPayloads -JavaScript意外使用的仙境，还有更多.
@kinugawamasato -日本网络渗透者.
@h3xstream -安全研究员，对网络安全，加密，渗透测试，静态分析感兴趣，但最重要的是，萨米是我的英雄.
@garethheyes -英文网络穿透者.
@hasegawayosuke -日本javascript安全研究员.
@shhnjk -网络和浏览器安全研究员.

Practices¶

Application¶

OWASP Juice Shop -可能是最现代，最复杂的不安全Web应用程序-作者： @bkimminich 和 @owasp_juiceshop 球队.
BadLibrary -易受攻击的网络应用程序-撰写者 @SecureSkyTechnology.
Hackxor -现实的Web应用程序黑客游戏-撰写者 @albinowax.
SELinux Game -通过实践学习SELinux. 解决难题，显示技能-撰写者 @selinuxgame.
Portswigger Web Security Academy -免费培训和实验室-撰写者 PortSwigger.

AWS¶

FLAWS -Amazon AWS CTF挑战-作者： @0xdabbad00.
CloudGoat -Rhino Security Labs的“设计易受攻击” AWS基础设施设置工具-撰写人 @RhinoSecurityLabs.

XSS¶

XSS game -Google XSS Challenge-由Google撰写.
prompt(1) to win -2014年夏季举行的16级复杂XSS挑战赛（+4隐藏级别）-作者： @cure53.
alert(1) to win -XSS系列挑战-作者： @steike.
XSS Challenges -系列XSS挑战-由yamagata21撰写.

ModSecurity / OWASP ModSecurity Core Rule Set¶

ModSecurity / OWASP ModSecurity Core Rule Set -安装，配置和调整ModSecurity和核心规则集的一系列教程-撰写者 @ChrFolini.

Community¶

Miscellaneous¶

awesome-bug-bounty -可用的漏洞赏金和披露计划以及撰写的全面精选清单 @djadmin.
bug-bounty-reference -按漏洞性质分类的漏洞赏金记录清单 @ngalongc.
Google VRP and Unicorns -撰写者 Daniel Stelter-Gliese.
Brute Forcing Your Facebook Email and Phone Number -撰写者 PwnDizzle.
Pentest + Exploit dev Cheatsheet wallpaper -渗透测试和开发Dev CheatSheet.
The Definitive Security Data Science and Machine Learning Guide -由JASON TROS撰写.
EQGRP -解密eqgrp-auction-file.tar.xz的内容 @x0rz.
notes -一些公共注释 @ChALkeR.
A glimpse into GitHub's Bug Bounty workflow -撰写者 @gregose.
Cybersecurity Campaign Playbook -撰写者 Belfer Center for Science and International Affairs.
Infosec_Reference - Information Security Reference That Doesn't Suck by @rmusser01.
Internet of Things Scanner -检查您的家用互联网连接设备是否在Shodan上公开 BullGuard.
The Bug Hunters Methodology v2.1 -撰写者 @jhaddix.
$7.5k Google services mix-up -撰写者 Ezequiel Pereira.
How I exploited ACME TLS-SNI-01 issuing Let's Encrypt SSL-certs for any domain using shared hosting -撰写者 @fransrosen.
TL:DR: VPN leaks users’ IPs via WebRTC. I’ve tested seventy VPN providers and 16 of them leaks users’ IPs via WebRTC (23%) -撰写者 voidsec.
Escape and Evasion Egressing Restricted Networks -撰写者 Chris Patten, Tom Steele.
Be careful what you copy: Invisibly inserting usernames into text with Zero-Width Characters -撰写者 @umpox.
Domato Fuzzer's Generation Engine Internals -撰写者 sigpwn.
CSS Is So Overpowered It Can Deanonymize Facebook Users -撰写者 Ruslan Habalov.
Introduction to Web Application Security -撰写者 @itsC0rg1, @jmkeads 和 @matir.
Finding The Real Origin IPs Hiding Behind CloudFlare or TOR -撰写者 Paul Dannewitz.
Why Facebook's api starts with a for loop -撰写者 @AntoGarand.
How I could have stolen your photos from Google - my first 3 bug bounty writeups -撰写者 @gergoturcsanyi.
An example why NAT is NOT security -撰写者 @0daywork.
WEB APPLICATION PENETRATION TESTING NOTES -撰写者 Jayson.
Hacking with a Heads Up Display -撰写者 David Scrobonia.
Alexa Top 1 Million Security - Hacking the Big Ones -撰写者 @slashcrypto.
The bug bounty program that changed my life -撰写者 Gwen.
List of bug bounty writeups -撰写者 Mariem.
Implications of Loading .NET Assemblies -撰写者 Brian Wallace.
WCTF2019: Gyotaku The Flag -撰写者 @t0nk42.
How we abused Slack's TURN servers to gain access to internal services -撰写者 @sandrogauci.
DOS File Path Magic Tricks -撰写者 @clr2of8.
How I got my first big bounty payout with Tesla -撰写者 @cj.fairhead.

Code of Conduct¶

请注意，此项目发布时带有 Contributor Code of Conduct . 通过参与该项目，您同意遵守其条款.

License¶

在法律允许的范围内， @qazbnm456 放弃了此作品的所有版权以及相关或邻近的权利.

Web安全

Awesome Web Security ¶

Digests¶

Forums¶

Introduction¶

XSS - Cross-Site Scripting¶

Prototype Pollution¶

CSV Injection¶

SQL Injection¶

Command Injection¶

ORM Injection¶

FTP Injection¶

XXE - XML eXternal Entity¶

CSRF - Cross-Site Request Forgery¶

Clickjacking¶

SSRF - Server-Side Request Forgery¶

Web Cache Poisoning¶

Relative Path Overwrite¶

Open Redirect¶

Security Assertion Markup Language (SAML)¶

Upload¶

Rails¶

AngularJS¶

ReactJS¶

SSL/TLS¶

Webmail¶

NFS¶

AWS¶

Azure¶

Fingerprint¶

Sub Domain Enumeration¶

Crypto¶

Web Shell¶

OSINT¶

DNS Rebinding¶

Deserialization¶

OAuth¶

JWT¶

Evasions¶

XXE¶

CSP¶

WAF¶

JSMVC¶

Authentication¶

Tricks¶

CSRF¶

Clickjacking¶

Remote Code Execution¶

XSS¶

SQL Injection¶

NoSQL Injection¶

FTP Injection¶

XXE¶

SSRF¶

Web Cache Poisoning¶

Header Injection¶

URL¶

Deserialization¶

OAuth¶

Others¶

Browser Exploitation¶

Frontend (like SOP bypass, URL spoofing, and something like that)¶

Backend (core of Browser implementation, and often refers to C or C++ part)¶

PoCs¶

Database¶

Cheetsheets¶

Tools¶

Auditing¶

Command Injection¶

Reconnaissance¶

OSINT - Open-Source Intelligence¶

Sub Domain Enumeration¶

Code Generating¶

Fuzzing¶

Scanning¶

Penetration Testing¶

Offensive¶

XSS - Cross-Site Scripting¶

SQL Injection¶

Template Injection¶