免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

项目介绍

Copier 是 Burp Suite 的一个扩展，允许用户轻松复制请求和回复，同时使用自定义规则进行自动修改。使得请求和响应可以轻松复制到报告中，无需编辑去大 Cookie 值、多余的头部或敏感数据

原项目仅支持Copy清理后的报文，但没有提供文件保存功能，在原项目的基础下，实现了批量报文保存功能。

我的使用主要是实现一些批量报文的保存。

扩展功能

1、允许正则替换内容框为空
2、增加 LocateRule, 用于标记仅提取 Location部分报文
3、增加 EnabledBase64, 用于确定是否对报文内容进行Base64编码
4、增加 jsonFormat框 , 用于确定是否输出Json格式的结果
5、支持多种方式保存【剪贴板、单文件、多文件】

常用配置：复制请求行和响应体

原项目地址

https://github.com/Tib3rius/Copier

https://github.com/winezer0/Copier-Branch

注意：该插件使用的是高版本 montoya-api Jdk 较高版本语法 需要使用新版burp (2024+)

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非由全部本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

功能特点

批量检测: 支持批量验证 OpenAI 和 Anthropic API Key 的有效性

模型获取: 自动获取每个有效 API Key 可用的模型列表

智能测试: 测试模型的智能度并缓存结果

安全存储: 使用机器码或用户自定义密码加密存储配置，确保敏感信息安全

聊天调试: 内置聊天窗口，可直接与模型对话进行调试

快速复制: 双击表格单元格快速复制 API Key 或 Base URL

多协议支持: 支持 OpenAI、Anthropic 及兼容 OpenAI API 格式的自定义 API

提示词配置: 可自定义测试提示词，用于智能度测试

启动密码保护: 可设置启动密码，防止未授权访问 API Key

支持的协议

OpenAI

Anthropic

兼容 OpenAI API 、Anthropic API格式的自定义 API

安全说明

API Key 使用 AES-GCM 加密算法进行加密存储，加密密钥为空时由机器码派生，只有在当前机器上才能解密查看 API Key 内容，其他情况下由用户自定义的启动密码作为加密密钥，从而实现不同机器的配置迁移。

项目地址：

apichecker: ai api checker or simple clm client · GitHub:
https://github.com/winezer0/apichecker

注：当前仅测试了Qwen等类openai接口的实现。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

虽然现在已经有很多动态的加解密插件项目，但是部分项目下还是需要将算法修改代码写入到单个插件中，方便下次直接复用。

最近遇到了这个需求，因此又开启了以前停止更新的EditHttpMsg项目，并添加实现了常用的UI过滤配置。

使用方式：

1. 下载项目代码 并使用idea加载
2. 实现 ProcessAction.java 中的 updateBodyData 函数
3. 重命名 config.java中的EXTENSION_NAME信息
4. 使用 mvn 命令或 idea maven插件进行编译打包 
5. 使用 Burp 进行加载调试

EditHttpMsgDemoWithUI 项目地址：

https://github.com/winezer0/EditHttpMsgDemoWithUI

提示：该项目只是一个便于实际场景中打开即用的空白架构，因此还携带了一些IDEA信息，具体的修改内容还需要用户去实现。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

忙碌是生活的代名词，有很多东西想写，但是想想还要润稿，就只能缓缓了。

revsuit是一款多协议的oob log记录器，在我的VPS上一般都会部署一个revsuit用于手动dns测试。

revsuit的优点是支持多种协议，缺点就是功能比较复杂，更高阶的SSE使用我也咩有用过。 

如果有更高阶的使用方案，欢迎大家投稿。

最近在新的VPS上进行部署时，发现qqwry的下载链接已经失效，上一次更新也好几年了，然后手动进行些修复，并且准备接手对进行维护。

项目地址：

https://github.com/winezer0/revsuit/releases

历史文章：

DNSlog搭建-单域名单接管部署RevSuit

配置afrog的RevSuit

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，本文所推荐内容为内部项目，由本团队开源实现。本系列文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

xcanvas

轻量级、无依赖、可嵌入的代码画像引擎，面向 DevSecOps 场景，提供标准化的项目技术栈识别能力。

核心价值

✅ 快速构建项目画像：输出语言、框架、组件三元组

✅ 规则驱动：新增框架/组件仅需更新 YAML 配置，无需重新编译

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

PrivacyCheckGo是之前开源的一个敏感信息检测工具，目标是快速检查出文件中的敏感信息，并希望能够完全兼容HAE规则格式。

历史文章【工具】PrivacyCheckGo：轻量级敏感信息检测工具

由于Go中对Java的一些正则规则不支持，导致部分规则会验证不通过，仔细搜寻发现也没有完美的方案解决规则兼容性的问题。

error regexp: invalid or unsupported Perl syntax: (?!

Regexp2引擎 是一个功能丰富的 Go 常规 Exp 引擎。它不像内置包那样有恒定时间保证，但允许回溯，并且兼容 Perl5 和 .NET。

https://github.com/dlclark/regexp2
基于.NET引擎的纯Go正则表达式的完整引擎

最后的解决方案：使用Go内置RE引擎和Go第三方regexp2引擎实现多引擎功能，从而能够支持全部的GO语言正则规则和大部分的.Net Java语言正则规则。再添加规则测试样例代码和测试报告机制，让用户能够快速发现错误的规则，并进行修复。

更新记录：

规则引擎增强：为所有规则添加 engine 字段，支持指定正则引擎

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

X-SAST 是当前公开的第一款基于规则的多语言GUI代码审计工具。

具体功能信息可以查看历史文章: 

X-SAST 轻量、快速、多语言、代码审计工具

开源地址

https://github.com/winezer0/XSAST-Python

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容作者开源项目。

注：本系列文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

osslist是一款OSS分析工具，目标是在安全检查过程中实现预览oss存储中的所有文件，发现其中的敏感信息。

功能介绍

连接阿里云OSS并列出指定存储空间中的所有文件
支持指定Bucket名称，可选择列出所有Bucket或特定Bucket
支持指定自定义Endpoint
支持自定义并发工作线程数，提高列举速度


注意：目前暂时只支持AliYunOSS

命令行参数

项目地址

https://github.com/winezer0/osslist

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

累积了大半年的Code债务终于结束了

感谢大佬们对XSAST的支持，新版的XSAST-Go已经发布。

新版XSAST使用GO语言编写，其实程序早就立项并且也写的差不多了，但是在语法解析这里总是感觉存在缺陷，如果直接发布的话和旧版的XSAST-PY并没有什么大的区别。

最近又耗时一周对语法解析功能进行重构，开始手写，然后让AI写，越写代码越丑，一言难尽。

新XSASTGO功能介绍：

1、支持语法解析 asp/aspx/c#/go/java/js/ts/php/python

由于不确定实际解析效果是否达到预期，因此没有添加调用链分析，但已经添加了漏洞代码函数获取、本函数调用的方法、调用本函数的方法。

这些数据会作为AI提示词用于进行漏洞分析，并且也会填充到扫描结果中，可以通过审计器UI进行查看。

2、新的跨平台规则编辑器 XrulesUI

使用go wails重新编写规则编辑器UI

拥有更友好的显示和交互方式

并实现中英双语显示。

3、新的跨平台Xauditor 审计器UI

使用go wails重新编写规则编辑器UI

拥有更友好的显示和交互方式，

并实现中英双语显示。

4、多供应商多模型支持

运行使用不同模型对同一漏洞信息进行分析，避免单点AI故障，

当然也会对模型进行基础的识别能力测试。

相同漏洞的不同分析结果会在审计器UI中合并显示

xscanner 基于正则规则的分析引擎 （内置）

bearer 开源规则引擎 （需要用户安装）

semgrep 开源规则引擎 （需要用户安装）

codeql 开源规则引擎（ 需要用户安装）

xaiscan 纯AI分析引擎 只依赖大模型进行漏洞分析（内置）

xaiscan模式下使用--pa 会额外启用内置的十多个独立漏洞的提示词，不建议全部启用，价格太贵

目前XSASTGO没有开源，且其中的SAST审计命令行还需要License.

但过段时间XSAST-PY将在清理完代码中的敏感信息后进行完全开源，足够满足渗透测试时的快速代码审计需求。

XSASTGo获取和试用方式： 【纷传|WX】

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

早上看到 @whwlsfb 大佬发布了一款ViewState爆破工具，觉得确实在这方面的工具是比较缺少的，优先推荐给大家。

ViewState作为ASP.net用于在客户端和服务器之间维护状态信息的重要机制，一旦其密钥管理不当，会导致严重的安全漏洞，如未授权访问、数据篡改甚至远程代码执行。

ViewState-Cracker是一款开源的BurpSuite插件，能够自动提取请求/响应中的ViewState相关数据，检测无签名的ViewState，并通过字典爆破的方式尝试获取有效的MachineKey，帮助安全测试人员快速发现目标系统中的ViewState安全隐患。

核心功能

1. 无签名ViewState检测 自动识别未启用MAC（消息认证码）保护的ViewState。这类ViewState可被直接篡改，攻击者可通过构造恶意数据触发 deserialization漏洞，风险等级极高。

2. MachineKey爆破 利用内置的MachineKey字典（来源于Blacklist3r项目），对带有签名的ViewState进行密钥并发爆破。成功获取密钥后，可进一步解密和篡改ViewState数据。

3. 多算法支持：实现了完整的ViewState解析，支持多种数据类型和结构的解析，并且兼容常见的加密和签名算法（AES、3DES、DES、SHA1、HMACSHA512等）

4. 低资源占用：作为BurpSuite插件，采用被动扫描模式，不产生额外流量，适合在生产环境中使用

使用指南

• BurpSuite（建议版本≥2024.10）

• 插件JAR文件

• machineKeys.txt (放置于插件JAR文件的同一目录)

• 插件启用后会自动监控流量，无需额外配置

• 发现问题时会在Burp的"Scanner"面板生成Issue

• 可通过右键菜单"Send To ViewState-Cracker"手动触发检测

总结

ViewState-Cracker对于Web安全测试人员来说是一款值得纳入工具箱的实用工具。

https://github.com/whwlsfb/ViewState-Cracker

如果你在使用过程中发现任何问题或有功能改进建议，欢迎提交Issue或Pull Request参与项目贡献！

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

在渗透测试信息收集和代码审计场景中，配置文件是首先需要关注的重要文件，但大量的文件逐个查看过于缓慢，实战时需要有一个快速的轻量级工具用于提取文件中的需求信息。

面对这个敏感信息的审计需求，尝试过大量敏感信息审计工具后，例如（detect-secrets、Whispers、SecretKiller、gitleaks、earlybird、TruffleHog、Shhgit、noseyparker等），发现基本存在功能冗余、安装复杂、不再维护等问题。

我的需求较简单，因此实现了适用实战场景的敏感信息检测工具PrivacyCheckPrivacyCheck 开源敏感信息审计工具。

Python版本的PrivacyCheck在实践上发现由于结构设计问题，在面对多达几十万文件的项目时，运行时会存在卡顿问题。

最终决定重新开发了基于Go的PrivacyCheckGo，优化在大项目场景下的性能问题。

什么是PrivacyCheckGo？

PrivacyCheckGo 是一款基于Go语言开发的敏感信息检测工具，专注于快速扫描文件或目录中的敏感信息，帮助用户发现敏感数据泄漏风险。它通过预设的检测规则与灵活的自定义配置，能快速识别各类隐私数据，适用于开发者自查代码、企业安全审计等多种场景。

核心功能：精准捕捉敏感信息

PrivacyCheckGo 的核心价值在于其对敏感信息的“精准识别”与“高效扫描”，具体体现在：

1. 覆盖多类敏感数据类型工具内置了丰富的检测规则，能识别常见的隐私泄露风险，包括但不限于：

• 各类API密钥（如AWS、Azure、Google Cloud等云服务密钥）

• 数据库凭证（MySQL、PostgreSQL等数据库的账号密码）

• 加密密钥（RSA私钥、SSH密钥、JWT令牌等）

• 个人敏感信息（手机号、邮箱地址、身份证号等）

• 配置文件中的敏感参数（如密码、访问令牌）

  
  

2. 灵活适配不同场景支持对单个文件、目录甚至Git仓库进行扫描，满足不同场景的检测需求：

• 开发者可在提交代码前扫描本地项目，避免敏感信息流入代码库；

• 安全审计人员可批量扫描服务器配置文件，排查系统级隐私泄露风险；

• 团队管理者可将其集成到CI/CD流程中，实现代码提交环节的自动检测。

• 渗透测试人员也可用于快速搜集本机配置文件中的敏感信息。

  
  

3. 高效与可定制并存基于Go语言的特性，工具扫描速度快、资源占用低，即使面对大型项目也能高效完成检测。同时支持自定义规则（通过正则表达式扩展），用户可根据自身业务场景添加特定敏感信息的检测模式，让扫描更贴合实际需求。

   
   

工具优势

在同类隐私检测工具中，PrivacyCheckGo 的优势在于“轻量、简单、快速、实用”：

无依赖部署：使用纯Go编写，编译后为单文件可执行程序，无需额外安装依赖，直接运行即可；

与Python版本相比，Go版本在以下方面有显著提升：

项目地址

项目地址：

https://github.com/winezer0/PrivacyCheckGo

注：工具仅用于合法的隐私安全自查与审计，请勿用于未授权的信息收集。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

Nacos 是阿里巴巴推出的一款开源动态服务发现、配置管理和服务管理平台，已成为微服务架构中的核心组件。它主要提供两大核心功能：

• 服务发现与注册：支持 DNS 和 RPC 服务发现，帮助微服务之间实现高效通信

• 动态配置管理：集中管理应用配置，支持实时更新配置而无需重启服务

由于微服务架构广泛应用，Nacos 作为核心的服务发现与配置管理平台，被广泛应用于各类企业级系统。

Nacos 存在的安全风险

随着 Nacos 的普及，其安全问题也逐渐显现。由于设计缺陷和配置不当，Nacos 存在多类安全漏洞，主要可分为以下几类：

1. 默认配置缺陷：安装部署后默认开启某些危险配置，如默认关闭认证机制、使用弱密码（nacos/nacos）、默认密钥可被猜测等

2. 注入攻击漏洞：包括 Derby 数据库 SQL 注入等，攻击者可通过构造恶意请求执行任意 SQL 命令

3. 反序列化漏洞：如 Client Yaml 反序列化、Jraft Hessian 反序列化等，攻击者可利用这些漏洞执行远程代码

4. 权限控制问题：部分功能存在权限校验不严，可能导致敏感信息泄露或未授权操作

NacosExploit 介绍

NacosExploit 是由 hony (h0ny) 和 wh!te?be6ar 开发的针对 Nacos 的各类安全风险提供了全面检测能力，支持以下漏洞的检测与利用：

• 默认认证关闭漏洞

• 默认密码（nacos/nacos）漏洞

• 默认 server.identity 配置漏洞

• 默认 token.secret.key 配置漏洞

• 默认 User-Agent 漏洞

• Derby SQL 注入漏洞（AVD-2021-897468）

• Client Yaml 反序列化漏洞

• Jraft Hessian 反序列化漏洞（AVD-2023-1700159）

• Jraft Services 文件操作漏洞（AVD-2024-1743586）

经过笔者实战验证，相较于 NacosExploitGUI_v7.1（内部版）、HKEcho_Nacos、Conan924/NacosExploit 等同类工具，发现 NacosExploit覆盖范围更广，使用便捷度更高。

尽管优势显著，NacosExploit 仍存在一处小的缺陷：缺乏自定义认证头设置功能。

在实际测试场景中，部分 Nacos 部署会使用非标准认证向修复机制（如自定义 Token 头、Bearer 认证、认证方式优先级等），此时需要工具支持手动配置请求头信息才能正常访问。

而 NacosExploit 当前版本无法设置自定义认证头，在面对这类环境时会出现 “权限不足” 的误判，或无法完成漏洞检测流程。

当然，这个问题不只出现在这个工具中，基本上所有的同类工具都不支持。

项目地址

https://github.com/h0ny/NacosExploit

注：工具仅用于合法安全研究和授权测试，使用者需自行承担因不当使用造成的一切后果。

圈子咨询

最近还在尝试进行圈子内部程序开发 有兴趣可以查看 ISEC圈子资讯

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文为推荐系列文章，不代表由本团队开源实现，主要是用于分享一些优质项目热度，仅代表作者笔者自身观点，如果您有更好的替代项目项目，也欢迎大家进行留言推荐。