appsec

OWASP 社区页面是 OWASP 接受安全性相关内容社区贡献的地方。

大型语言模型应用程序的 OWASP Top 10（GenAI 安全项目的一部分）

vAPI 是一个可自托管的 API（Vulnerable Adversely Programmed Interface），通过练习模拟 OWASP API Top 10 场景。

收集链接至常见敏感 API、DevOps 内部机密、框架配置、已知错误配置、重要 API 等的特殊路径。可用于网页内容发现的一部分，以被动扫描高质量端点与快速漏洞。

Lonkero - 包裹您的攻击面。用于实际渗透测试的专业级扫描器。快速。模块化。Rust。

Black Hat 活动官方展示工具精选清单

基于 n8n 的安全自动化构想：超过 100 种红队/蓝队/应用安全工作流程、集成与即用型剧本。

ZAP 附加组件

遵循 OWASP Top 10 的 Rails 漏洞版本

由社区提供的 ZAP 脚本与技巧集合 - 欢迎提交 Pull Request！

:warning: 此仓库已不再使用。请参考 https://github.com/OWASP/www-project-vulnerable-web-applications-directory

用于测试网页应用程序漏洞的实时验证代理工具

DianXing - AI 驱动的端到端代码安全性审计

Datadog Go 库，包含 APM 追踪、性能分析与安全性监控。

一个用于在多种 web 框架中检测已知密钥的库

mobsfscan 是一个静态分析工具，可以找出 Android 与 iOS 源码中的不安全代码模式。支持 Java、Kotlin、Swift 与 Objective C 代码。mobsfscan 使用 MobSF 静态分析规则，并由 semgrep 与 libsast 模式匹配器驱动。

Spoofy 是一个根据 SPF 与 DMARC 记录来检查域名列表是否能被伪造的程序。

Autonomous Offensive Security, Bug Bounty & Red Teaming Agent Framework powered by Hermes Agent, specialized reasoning skills, and multi-model LLM orchestration.

The AI Agent for Cyber Security.

Oversecured 有漏洞的 Android 应用程序

将 Dependency-Check 报告整合至 SonarQube

高性能机密扫描器。包含 CLI、Go 库、Burp Suite 扩展与 Chrome 扩展。具备 487 个检测规则与实时凭证验证功能。

快速且对开发者友好的 JS/TS 依赖项漏洞扫描器，支持本地 lockfile 扫描、OSV 匹配、直接与传递可见性、--fix、JSON 输出及实用的修复指南。

开源静态扫描工具，用于检测代码中的数据流、寻找数据安全性漏洞，并生成准确的 Play Store 数据安全性报告。

攻击性 CI/CD 安全研究的实用资源。整理了自 2021 年以来我所见过最棒的资源

Datadog PHP 客户端

jshunter 是一个命令行工具，专为分析 JavaScript 文件并提取端点而设计。此工具专精于识别敏感数据，如 API 端点与潜在安全漏洞，是漏洞赏金猎人与安全研究人员的必备资源。

为移动设备提供威胁检测与安全监控的 SDK。支持 Flutter、React Native、Android 与 iOS。使用免费的 RASP 保护您的应用程序。检测逆向工程、Root (Magisk)、越狱、Frida、模拟器、机器人、篡改与完整性问题、混淆、VPN 使用、恶意软件，并监控设备识别与指纹。