🛡️ All-Defense-Tool

首先恭喜你发现了宝藏。本项目集成了全网优秀的开源攻防武器项目，包含信息收集工具（自动化利用工具、资产发现工具、目录扫描工具、子域名收集工具、指纹识别工具、端口扫描工具、各种插件....etc...），漏洞利用工具（各大CMS、OA利用工具、中间件利用工具、反序列化利用工具、数据库利用工具等项目........），内网渗透工具（隧道代理、密码提取、木马免杀、域渗透.....）、应急响应工具、甲方运维工具、等其他安全攻防资料整理，供攻防双方使用。

🔄 更新：本项目每周自动更新，自动获取并填充项目的最新更新时间，能够快速发现活跃工具。

⚠️ 工欲善其事必先利其器

不知道有哪些工具，不会用工具，不懂工具原理，怎么写出适合自己的工具？

免责声明

重点提醒：本项目工具来源于互联网，是否含带木马及后门请自行甄别！！请大家提高警惕！！！

> 1. 本项目所有内容,仅供学习和研究使用,请勿使用项目的技术手段用于非法用途,任何人造成的任何负面影响,与本人无关.

2. 本文档所有内容、新闻皆不代表本人态度、立场,如果有建议或方案,欢迎提交 issues，不受理Pull request

3. 不会收取任何广告费用,展示的所有工具链接与本人无任何利害关系

> 温馨提醒：不要沉迷于攻防而忘了吃饭喔~ 🍚

> - 在家做饭方法指南：HowToCook

📚 目录

• AI安全攻防项目

• 🛠️ 半/全自动化利用工具
• 🔍 信息收集工具

• 💣 漏洞利用工具

• 🏰 内网渗透工具

• 🏗️ 基础设施搭建

• 🛡️ 运维&甲方&防守方工具

• 📚 其他安全资料整理

AI安全攻防项目

AI 安全攻防相关框架

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------- | ---------- | | Strix 是自主运行的 AI 代理，它们的行为就像真正的黑客一样——动态运行您的代码，发现漏洞，并通过实际的概念验证进行验证。 | https://github.com/usestrix/strix | 2026-10-05 | | redamon 是一款由AI驱动的redteam框架，能够全自动地执行各种攻击性安全操作——从信息收集、漏洞利用到后渗透，完全不需要人工干预。 | https://github.com/samugit83/redamon | 2026-10-03 | | Shannon 是一款用于 Web 应用和 API 的完全自主 AI 渗透测试工具。 | https://github.com/KeygraphHQ/shannon | 2026-10-01 |

AI 安全攻防相关Plugins/Skill/MCP

实际上不太建议高级模型装载一些所谓的skills，基本上都是给AI降智，限制了发挥，属于大专生/本科生教博士生做事。AI见过的漏洞类型你或许都没见过。skill重点是思维。

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------------ | ---------- | | 可以反编译Android APK/XAPK/JAR/AAR文件，并提取应用程序使用的HTTP API——改装端点、OkHttp调用、硬编码URL、身份验证模式 | https://github.com/SimoneAvogadro/android-reverse-engineering-skill | 2026-09-30 | | 结合chrome-devtools-mcp的能力并加上Skill的规范，实现JSRPC+Flask+autoDecoder方案的前端JS逆向自动化分析，提升JS逆向的效率 | https://github.com/Fausto-404/js-reverse-automation--skill | 2026-09-18 | | WooYun Legacy 是一个 Claude Code 插件，基于 WooYun（2010-2016）收录的 22,132 个业务逻辑漏洞案例，为 Claude 的安全测试输出注入真实公司案例引用、量化统计数据和数据驱动的测试优先级排序。 | https://github.com/tanweai/wooyun-legacy | 2026-07-14 | | 基于 Claude Code 的免杀技术研究与 Shellcode Loader 生成框架。 | https://github.com/JDArmy/Evasion-SubAgents | 2026-04-09 | | MCP-SecurityTools 是一个专注于收录和更新网络安全领域 MCP 的开源项目，旨在汇总、整理和优化各类与 MCP 相关的安全工具、技术及实战经验。 | https://github.com/Ta0ing/MCP-SecurityTools | 2025-04-07 |

AI 应用安全

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | -------------------------------------------------- | ---------- | | 面向基于MCP的AI工具的综合安全检查清单。由SlowMist构建，以保障大语言模型插件生态系统的安全。 | https://github.com/slowmist/MCP-Security-Checklist | 2025-04-28 | | MCP-SecurityTools 是一个专注于收录和更新网络安全领域 MCP 的开源项目，旨在汇总、整理和优化各类与 MCP 相关的安全工具、技术及实战经验。 | https://github.com/Ta0ing/MCP-SecurityTools | 2025-04-07 | | Ai迷思录（应用与安全指南） | https://github.com/Acmesec/theAIMythbook | 2025-03-24 | | Prompt越狱手册 | https://github.com/Acmesec/PromptJailbreakManual/ | 2024-12-17 |

🛠️ 半/全自动化利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | --------------------------------------------- | --- | | 自动化侦查框架 | https://github.com/yogeshojha/rengine | 2026-10-04 | | 单兵作战武器库，你值得拥有 | https://github.com/yaklang/yakit | 2026-09-30 | | 密探渗透测试工具包含资产信息收集，子域名爆破，搜索语法，资产测绘（FOFA，Hunter，quake, ZoomEye），指纹识别，敏感信息采集，文件扫描、端口扫描、批量信息权重查询、密码字典等功能 | https://github.com/kkbo8005/mitan | 2026-09-30 | | Nemo是用来进行自动化信息收集的一个简单平台，通过集成常用的信息收集工具和技术，实现对内网及互联网资产信息的自动收集，提高隐患排查和渗透测试的工作效率。 | https://github.com/hanc00l/nemo_go | 2026-08-15 | | CyberEdge 是一款精心设计的互联网资产测绘工具，为网络安全专业人士提供精准、高效的扫描体验。 | https://github.com/Symph0nia/CyberEdge | 2026-08-12 | | ScopeSentry-网络空间测绘、子域名枚举、端口扫描、敏感信息发现、漏洞扫描、分布式节点 | https://github.com/Autumn-27/ScopeSentry-Scan | 2026-06-10 | | 安全服务集成化工具平台 | https://github.com/qiwentaidi/Slack | 2026-04-29 | | 自动化巡航扫描框架（可用于红队打点评估） | https://github.com/b0bac/ApolloScanner | 2026-02-05 | | 一个辅助平常渗透测试项目或者攻防项目快速打点的综合工具 | https://github.com/P1-Team/AlliN | 2025-08-22 | | 一款GUI界面的渗透工具，将部分人工经验转换为自动化，集成了渗透过程中常用到的一些功能，目前集成了端口扫描、端口爆破、web指纹扫描、漏洞扫描、漏洞利用以及编码转换功能，后续会持续更新。 | https://github.com/lz520520/railgun | 2025-01-17 | | dddd是一款使用简单的批量信息收集,供应链漏洞探测工具，旨在优化红队工作流，减少伤肝的机械性操作。支持从Hunter、Fofa批量拉取目标 | https://github.com/SleepingBag945/dddd | 2024-08-02 | | 一条龙服务，只需要输入根域名即可全方位收集相关资产，并检测漏洞。也可以输入多个域名、C段IP等，具体案例见下文。 | https://github.com/0x727/ShuiZe_0x727 | 2024-06-13 | | DarkAngel 是一款全自动白帽漏洞扫描器，从hackerone、bugcrowd资产监听到漏洞报告生成、企业微信通知。 | https://github.com/Bywalks/DarkAngel | 2023-08-17 | | 分布式资产信息收集和漏洞扫描平台 | https://github.com/1in9e/gosint | 2023-03-03 | | 从子域名、端口服务、漏洞、爬虫等一体化的资产管理系统 | https://github.com/CTF-MissFeng/bayonet | 2022-11-22 |

🔍 信息收集工具

资产发现工具

| 项目简介 | 项目地址 | 最近更新 | | ---------------------------------------- | ----------------------------------------------- | --- | | 一款基于各大企业信息API的工具 | https://github.com/wgpsec/ENScan_GO | 2026-03-30 | | 从多个网站提取目标相关信息 | https://github.com/lc/gau | 2026-03-20 | | 一个简单实用的FOFA客户端 By flashine | https://github.com/wgpsec/fofa_viewer | 2025-12-26 | | 基于斗象灯塔ARL修改后的版本。相比原版，增加了OneForAll、中央数据库，修改了altDns | https://github.com/ki9mu/ARL-plus-docker | 2025-06-26 | | 从第三方平台获取目标网页内容 | https://github.com/tomnomnom/waybackurls | 2024-05-01 | | 集合了多个网络测绘平台，可以快速在多个网络测绘平台搜索信息并且合并展示及导出。 | https://github.com/ExpLangcn/InfoSearchAll | 2023-11-29 | | 集成多个网络资产测绘平台的搜索工具 | https://github.com/Kento-Sec/AsamF | 2023-08-24 | | 资产无限巡航扫描系统 | https://github.com/awake1t/linglong | 2022-04-19 | | 快速侦察与目标关联的互联网资产，构建基础资产信息库。 | https://github.com/TophantTechnology/ARL | - | | 集成GoogleHacking语法来进行信息收集 | https://github.com/TebbaaX/GRecon | - |

子域名收集工具

| 项目简介 | 项目地址 | 最近更新 | | ---------------------------------------- | ----------------------------------------------- | --- | | 通过使用被动在线资源来发现网站的有效子域 | https://github.com/projectdiscovery/subfinder | 2026-09-25 | | 一款功能强大的子域收集工具 | https://github.com/shmilylty/OneForAll | 2026-05-11 | | 从 github 上发现子域名 | https://github.com/gwen001/github-subdomains | 2023-03-28 | | ksubdomain 无状态子域名爆破工具 | https://github.com/knownsec/ksubdomain | 2022-03-16 | | 好用且强大的子域名扫描工具 | https://github.com/yunxu1/dnsub | 2021-04-08 | | src子域名监控 | https://github.com/LangziFun/LangSrcCurise | 2021-01-14 | | Layer子域名挖掘机 | https://github.com/euphrat1ca/LayerDomainFinder | 2019-07-17 |

目录扫描工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------- | --- | | Web path scanner 目录扫描工具 | https://github.com/maurosoria/dirsearch | 2026-10-04 | | katana 是 projectdiscovery 项目中的一个网页链接抓取工具，可以自动解析js文件。新一代爬行框架。 | https://github.com/projectdiscovery/katana | 2026-09-29 | | 用Go编写的模糊测试工具 | https://github.com/ffuf/ffuf | 2026-09-26 | | 一个高级web目录、文件扫描工具 | https://github.com/H4ckForJob/dirmap | 2026-09-16 | | Directory/File, DNS and VHost busting tool written in Go | https://github.com/OJ/gobuster | 2026-09-09 | | 用Rust编写的快速，简单，递归的内容发现工具 | https://github.com/epi052/feroxbuster | 2026-09-05 | | Next Generation HTTP Dir/File Fuzz Tool | https://github.com/chainreactors/spray | 2026-07-19 | | dontgo403 是一个绕过 40X 错误的工具。 | https://github.com/devploit/dontgo403 | 2026-06-21 | | 通过提取自动加载和静态地址中的JS和页面内容，解析Webpack打包和使用正则匹配技术，发现API接口及Base URL。 | https://github.com/0x727/ChkApi_0x727 | 2025-01-20 | | 御剑目录扫描专业版 | https://github.com/foryujian/yjdirscan | 2020-10-25 | | 御剑后台扫描工具珍藏版 | https://www.fujieace.com/hacker/tools/yujian.html | - |

指纹识别工具

| 项目简介 | 项目地址 | 最近更新 | | -------------------------------------------------------- | ------------------------------------------------ | --- | | Golang实现Wappalyzer 指纹识别 | https://github.com/projectdiscovery/wappalyzergo | 2026-10-04 | | 红队行动下的重点资产指纹识别工具 | https://github.com/P001water/P1finger | 2026-09-27 | | 一个web应用程序指纹识别工具 | https://github.com/urbanadventurer/WhatWeb | 2026-04-02 | | 【暂未开源】一个Go版(更强大)的TideFinger指纹识别工具，可对web和主机指纹进行识别探测，整合梳理互联网指纹2.3W余条，在效率和指纹覆盖面方面进行了平衡和优化。 | https://github.com/TideSec/TideFinger_Go | 2025-02-07 | | 红队重点攻击系统指纹探测工具 | https://github.com/EdgeSecurityTeam/EHole | 2024-04-02 | | EHole(棱洞)魔改。可对路径进行指纹识别；支持识别出来的重点资产进行漏洞检测(支持从hunter和fofa中提取资产)支持对ftp服务识别及爆破 | https://github.com/lemonlove7/EHole_magic | 2024-03-06 | | Resources一款红队在大量的资产中存活探测与重点攻击系统指纹探测工具 | https://github.com/EASY233/Finger | 2023-12-22 | | TideFinger——指纹识别小工具，汲取整合了多个web指纹库 | https://github.com/TideSec/TideFinger | 2023-05-23 | | 功能齐全的Web指纹识别和分享平台，内置了一万多条互联网开源的指纹信息。 | https://github.com/b1ackc4t/14Finger | 2022-07-17 | | Glass是一款针对资产列表的快速指纹识别工具 | https://github.com/s7ckTeam/Glass | 2022-01-26 |

端口扫描工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ----------------------------------------------------- | --- | | naabu 用 go 编写的快速端口扫描器 | https://github.com/projectdiscovery/naabu | 2026-09-28 | | MX1014 是一个遵循 “短平快” 原则的灵活、轻便和快速端口扫描器 (满足红队需求的出网测试、网段探测和快速高危端口扫描等需求) | https://github.com/L-codes/MX1014 | 2026-08-11 | | masnmapscan 一款端口扫描器。整合了masscan和nmap两款扫描器 | https://github.com/hellogoldsnakeman/masnmapscan-V1.0 | 2026-02-06 | | 使用Golang开发的高并发网络扫描、服务探测工具 | https://github.com/Adminisme/ServerScan | 2024-06-16 | | TXPortMap 实用型的端口扫描、服务识别工具 | https://github.com/4dogs-cn/TXPortMap | 2023-10-27 |

前端加解密工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------- | --- | | 一个想让你测试加密流量像测试明文一样简单高效的 Burp 插件。 | https://github.com/outlaws-bai/Galaxy | 2026-08-24 | | 一款利用爬虫技术实现前端JS加密自动化绕过的渗透测试工具 | https://github.com/LiChaser/SpiderX | 2026-06-24 | | 远程调用(rpc)浏览器方法，免去抠代码补环境 | https://github.com/jxhczhl/JsRpc | 2026-06-08 | | 快速调试前端 js 代码工具包 | https://github.com/cilame/v_jstools | 2026-04-27 | | 根据自定义来达到对数据包的处理（适用于加解密、爆破等），类似mitmproxy，不同点在于经过了burp中转 | https://github.com/f0ng/autoDecoder | 2026-04-14 | | 浏览器内存漫游解决方案 | https://github.com/JSREI/ast-hook-for-js-RE | 2024-05-07 | | 基于CDP实现的远程JS debug工具 | https://github.com/1oid/remotejs | 2023-09-06 | | 一款支持多种加密算法、或直接执行浏览器JS代码的BurpSuite插件。 | https://github.com/whwlsfb/BurpCrypto | 2023-08-04 |

Burp插件

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------- | --- | | domain_hunter_pro 一个资产管理类的Burp插件 | https://github.com/bit4woo/domain_hunter_pro | 2026-09-24 | | 一个集成的BurpSuite漏洞探测插件2 | https://github.com/kN6jq/gatherBurp | 2026-09-22 | | HaE 请求高亮标记与信息提取的辅助型 BurpSuite 插件 | https://github.com/gh0stkey/HaE | 2026-09-20 | | 有关burpsuite的插件(非商店),文章以及使用技巧的收集 | https://github.com/Mr-xn/BurpSuite-collections | 2026-08-15 | | 自动探测请求走私漏洞 | https://github.com/portswigger/http-request-smuggler | 2026-08-13 | | 一个集成的BurpSuite漏洞探测插件 | https://github.com/Tsojan/TsojanScan | 2026-07-20 | | 添加一些右键菜单让burp用起来更顺畅 | https://github.com/bit4woo/knife | 2026-06-26 | | 分析、拆解HTTP协议报文，提取HTTP协议报文中的参数、路径、文件、参数值等信息，并统计出现的频次，帮助用户构建出具有实战应用价值的Fuzzing字典。 | https://github.com/gh0stkey/CaA | 2026-05-25 | | 对权限绕过自动化bypass的burpsuite插件 | https://github.com/0x727/BypassPro | 2026-05-10 | | HopLa 自动补全 Payload 的 BurpSuite插件 | https://github.com/synacktiv/HopLa | 2026-04-01 | | 解析提取接口路径+参数 | https://github.com/xnl-h4ck3r/GAP-Burp-Extension | 2026-01-08 | | 验证码识别 | https://github.com/f0ng/captcha-killer-modified | 2025-08-26 | | OneScan是递归目录扫描的BurpSuite插件。 | https://github.com/vaycore/OneScan | 2025-06-24 | | 攻防演练过程中，我们通常会用浏览器访问一些资产，但很多未授权/敏感信息/越权隐匿在已访问接口过html、JS文件等，该插件能让我们发现未授权/敏感信息/越权/登陆接口等。 | https://github.com/shuanx/BurpAPIFinder | 2024-10-03 | | BurpSuite插件实现被动指纹识别+网站提取链接+OA爆破，可帮助我们发现更多资产。 | https://github.com/shuanx/BurpFingerPrint | 2024-09-05 | | 提取参数插件 | https://github.com/goddemondemongod/god_param | 2023-11-27 | | 用于Outlook用户信息收集，在已登录Outlook账号后，可以使用该插件自动爬取所有联系人的信息 | https://github.com/KrystianLi/OutLook | 2023-05-23 | | 这是一款burp插件，用于Outlook 网页版用户信息收集，在已登录Outlook 网页版账号后，可以使用该 | https://github.com/KrystianLi/ExchangeOWA | 2023-05-23 | | 主要用于简化和解决Burpsuite对Http的一些操作. | https://github.com/MaskCyberSecurityTeam/BurpHttpHelper | 2023-01-22 | | 一款基于BurpSuite的被动式shiro检测插件 | https://github.com/pmiaowu/BurpShiroPassiveScan | 2022-12-14 | | 新一代子域名主/被动收集工具 | https://github.com/Acmesec/Sylas | 2022-10-09 | | 一款基于BurpSuite的被动式FastJson检测插件 | https://github.com/pmiaowu/BurpFastJsonScan | 2022-10-01 | | 伪造ip地址 | https://github.com/TheKingOfDuck/burpFakeIP | 2022-09-29 | | fastjson利用，支持tomcat、spring回显，哥斯拉内存马；回显利用链为dhcp、ibatis、c3p0 | https://github.com/skisw/fastjson-exp | 2022-03-15 |

浏览器插件

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------- | --- | | 反调试+路由守卫绕过+js逆向加解密快速定位 | https://github.com/0xsdeo/AntiDebug_Breaker | 2026-09-21 | | mitaka 用于 OSINT 搜索的Chrome和Firefox扩展 | https://github.com/ninoseki/mitaka | 2026-09-17 | | Hack-Tools 适用于红队的浏览器扩展插件 | https://github.com/LasCC/Hack-Tools | 2025-01-05 | | SwitchyOmega 浏览器的代理插件 | https://github.com/FelisCatus/SwitchyOmega | 2024-12-27 | | superSearchPlus是聚合型信息收集插件，支持综合查询，资产测绘查询，信息收集 敏感信息提取 js资源扫描 目录扫描 vue组件扫描 整合了目前常见的资产测绘平台 同时支持数据导出 | https://github.com/dark-kingA/superSearchPlus | 2024-12-16 | | 基于chrome、firefox插件的被动式信息泄漏检测工具 | https://github.com/momosecurity/FindSomething | 2024-11-17 | | 一款可以检测WEB蜜罐并阻断请求的Chrome插件 | https://github.com/cnrstar/anti-honeypot | 2024-08-05 | | 一款完全被动监听的谷歌插件，用于高危指纹识别、蜜罐特征告警和拦截、机器特征对抗。 | https://github.com/graynjo/Heimdallr | 2023-01-19 | | Chrome插件.使用DevTools查找DOM XSS | https://github.com/filedescriptor/untrusted-types | 2022-07-04 | | FOFA Pro view 是一款FOFA Pro 资产展示浏览器插件 | https://github.com/fofapro/fofa_view | 2022-02-16 |

邮箱&钓鱼

| 项目简介 | 项目地址 | 最近更新 | | ---------------------------------------------- | ------------------------------------------------------ | --- | | 红蓝对抗：钓鱼演练资源汇总&备忘录 | https://github.com/tib36/PhishingBook | 2024-11-06 | | 拥有在线模板设计、发送诱骗广告等功能的钓鱼系统 | https://github.com/gophish/gophish | 2024-09-23 | | Swaks SMTP界的瑞士军刀 | https://github.com/jetmore/swaks | 2024-03-05 | | 批量检查邮箱账密有效的 Python 脚本 | https://github.com/rm1984/IMAPLoginTester | 2023-12-14 | | 一款适用于红蓝对抗中的仿真钓鱼系统 | https://github.com/xiecat/goblin | 2023-05-30 | | 通过搜索引擎爬取电子邮件 | https://github.com/Josue87/EmailFinder | 2023-03-09 | | 邮箱自动化收集爬取 | https://github.com/Taonn/EmailAll | 2022-03-04 | | 免杀宏生成器 | https://github.com/Inf0secRabbit/BadAssMacros | 2022-01-08 | | EwoMail是基于Linux的企业邮箱服务器 | https://github.com/gyxuehu/EwoMail | 2021-10-20 | | Coremail邮件系统组织通讯录导出脚本 | https://github.com/dpu/coremail-address-book | 2021-09-28 | | 剑指钓鱼基建快速部署自动化 | https://github.com/taielab/Taie-AutoPhishing | 2021-03-29 | | 图标提取 | https://github.com/JarlPenguin/BeCyIconGrabberPortable | 2019-06-30 | | 图标替换 | https://github.com/guitarfreak/SetIcon | 2018-08-20 |

社工个人信息收集类

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------ | ------------------------------------------------------------ | --- | | 从大量站点中收集用户个人信息 | https://github.com/soxoj/maigret | 2026-10-04 | | 社工字典密码生成 | https://github.com/Mebus/cupp | 2026-07-17 | | 根据邮箱自动搜索泄漏的密码信息 | https://github.com/D4Vinci/Cr3dOv3r | 2025-12-09 | | 社会工程学密码生成器，是一个利用个人信息生成密码的工具 | https://github.com/zgjx6/SocialEngineeringDictionaryGenerator | 2025-08-02 | | 输入人名或邮箱地址, 自动从互联网爬取关于此人的信息 | https://github.com/famavott/osint-scraper | 2022-12-07 | | 通过脉脉用户猜测企业邮箱 | https://github.com/Ridter/Mailget | 2020-05-07 | | 从部分站点中收集个人信息 | https://github.com/n0tr00t/Sreg | 2019-10-31 |

APP/公众号/小程序相关工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------- | --- | | Resources移动端(Android、iOS、WEB、H5、静态网站)信息收集扫描工具 | https://github.com/kelvinBen/AppInfoScanner | 2026-09-29 | | 一款适用于以APP病毒分析、APP漏洞挖掘、APP开发、HW行动/红队/渗透测试团队为场景的移动端(Android、iOS)辅助分析工具 | https://github.com/sulab999/AppMessenger | 2026-09-12 | | 全自动化，微信小程序 wxapkg 包 源代码还原工具, 线上代码安全审计 | https://github.com/biggerstar/wedecode | 2026-08-27 | | WMPFDebugger 二开，微信小程序安全调试工具 | https://github.com/Spade-sec/First.git | 2026-07-10 | | 微信小程序辅助渗透-自动化 | https://github.com/eeeeeeeeee-code/e0e1-wx | 2026-05-26 | | 用于存取记录以前的基址和小程序文件 | https://github.com/eeeeeeeeee-code/wx-hook | 2026-05-04 | | （推荐）微信小程序反编译工具，.wxapkg 文件扫描 + 解密 + 解包工具 | https://github.com/wux1an/wxapkg | 2026-04-28 | | 安卓应用层抓包通杀脚本 | https://github.com/r0ysue/r0capture | 2026-03-09 | | apk爬虫工具可提取包内url等信息 | https://github.com/dwisiswant0/apkleaks | 2025-08-20 | | 自动化反编译微信小程序，小程序安全评估工具，发现小程序安全问题，自动解密，解包，可还原工程目录，支持Hook，小程序修改 | https://github.com/Ackites/KillWxapkg | 2024-09-20 | | WeChatOpenDevTool 微信小程序强制开启开发者工具py | https://github.com/JaveleyQAQ/WeChatOpenDevTools-Python | 2024-09-15 | | WeChatOpenDevTool 微信小程序强制开启开发者工具 | https://github.com/x0tools/WeChatOpenDevTools | 2024-05-09 | | 微信小程序信息在线收集，wxapkg源码包内提取信息 | https://github.com/moyuwa/wechat_appinfo_wxapkg | 2023-12-28 | | 一个反编译微信小程序的工具，仓库也收集各种微信小程序/小游戏.wxapkg文件 | https://github.com/ezshine/wxapkg-convertor | 2023-07-06 | | 微信小程序主包解密工具 | https://github.com/BlackTrace/pc_wxapkg_decrypt | 2020-08-06 | | 微信小程序反编译 | https://github.com/qwerty472123/wxappUnpacker | 2020-04-18 |

常用小工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ---------------------------------------------- | --- | | 视觉侦查工具，用于信息收集屏幕截图 | https://github.com/sensepost/gowitness | 2026-09-16 | | 一个 CLASS 文件混淆工具，支持方法名/字段名/参数名引用分析和重命名混淆方式，支持字符串提取/整型异或混淆/垃圾代码花指令混淆/等方式，支持方法和字段的隐藏，配置简单，容易上手 | https://github.com/jar-analyzer/class-obf | 2026-01-26 | | Xtools 是一款 Sublime Text 插件，同时是一款简单的资产处理、命令行调用工具。 | https://github.com/chasingboy/Xtools | 2025-11-25 | | 参数FUZZ小工具 | https://github.com/s0md3v/Arjun | 2025-02-20 | | 对Web渗透项目资产进行快速存活验证 | https://github.com/AabyssZG/Web-SurvivalScan | 2024-12-09 | | 一款用于快速导出URL、Domain和IP的小工具 | https://github.com/mstxq17/MoreFind | 2024-09-02 | | 二进制文件切割&合并工具 | https://github.com/AabyssZG/BinaryCutting-Tool | 2024-08-26 | | 好用的去重对比工具 | https://github.com/tomnomnom/anew | 2024-01-12 | | 一款jar包分析小工具 | https://github.com/4ra1n/jar-analyzer | 2023-11-30 | | 命令执行写任意文件，主要用于命令执行但不出网情况 | https://github.com/Ar3h/putter | 2023-09-09 |

💣 漏洞利用工具

漏洞扫描框架/工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------------ | --- | | 基于简单 YAML 的 DSL 的快速且可定制的漏洞扫描器。 | https://github.com/projectdiscovery/nuclei | 2026-10-04 | | afrog 是一款性能卓越、快速稳定、PoC 可定制化的漏洞扫描工具 | https://github.com/zan8in/afrog | 2026-10-03 | | 一个应用于web安全领域的漏洞批量扫描框架 | https://github.com/bigblackhat/oFx | 2025-10-24 | | 开源的远程漏洞测试框架 | https://github.com/knownsec/pocsuite3 | 2025-02-28 | | EZ是一款集信息收集、端口扫描、服务暴破、URL爬虫、指纹识别、被动扫描为一体的跨平台漏洞扫描器。 | https://github.com/m-sec-org/EZ | 2025-01-17 | | 一款功能强大的安全评估工具 | https://github.com/chaitin/xray | 2024-10-29 | | 自动整合全网Nuclei的漏洞POC，实时同步更新最新POC！ | https://github.com/ExpLangcn/NucleiTP | 2024-08-23 | | 一款全面而强大的漏洞扫描和利用工具 | https://github.com/yhy0/Jie | 2024-07-05 | | 网络安全测试工具 | https://github.com/gobysec/Goby | 2024-02-29 | | 全新的开源在线 poc 测试框架 | https://github.com/jweny/pocassist | 2023-10-30 | | 是一款 web 漏洞扫描和验证工具 | https://github.com/zhzyker/vulmap | 2023-04-26 | | 高危漏洞精准检测与深度利用框架 | https://github.com/woodpecker-framework/woodpecker-framwork-release | 2023-01-08 | | | | - |

中间件/应用漏洞利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------------ | --- | | Spring漏洞综合利用工具 | https://github.com/savior-only/Spring_All_Reachable | 2026-06-26 | | shiro反序列化漏洞综合利用,包含（回显执行命令/注入内存马）修复原版中NoCC的问题 | https://github.com/SummerSec/ShiroAttack2 | 2026-06-04 | | 一款java漏洞集合工具 | https://github.com/pureqh/Hyacinth | 2026-01-13 | | 针对SpringBoot的开源渗透框架，以及Spring相关高危漏洞利用工具 | https://github.com/AabyssZG/SpringBoot-Scan | 2025-11-09 | | Struts2全版本漏洞检测工具 by:ABC_123 | https://github.com/abc123info/Struts2VulsScanTools | 2025-11-03 | | Vcenter综合渗透利用工具包-GUI | https://github.com/W01fh4cker/VcenterKit | 2025-10-24 | | Dubbo反序列化一键快速攻击测试工具 | https://github.com/threedr3am/dubbo-exp | 2025-06-30 | | shiro 反序列 命令执行辅助检测工具 | https://github.com/wyzxxz/shiro_rce_tool | 2024-05-21 | | 一款针对Vcenter的综合利用工具，包含目前最主流的CVE-2021-21972、CVE-2021-21985以及CVE-2021-22005以及log4j，提供一键上传webshell，命令执行或者上传公钥使用SSH免密连接 | https://github.com/Schira4396/VcenterKiller | 2024-04-25 | | 一款Jenkins的综合漏洞利用工具 | https://github.com/TheBeastofwar/JenkinsExploit-GUI | 2024-03-20 | | 复杂请求下的Shiro反序列化利用工具 | https://github.com/sma11new/Pyke-Shiro | 2024-03-12 | | log4j漏洞利用工具 | https://github.com/kozmer/log4j-shell-poc | 2024-02-12 | | Confluence CVE 2021，2022，2023 利用工具，支持命令执行，哥斯拉，冰蝎 内存马注入 | https://github.com/Lotus6/ConfluenceMemshell | 2024-02-01 | | weblogic 漏洞扫描工具。包含2020 | https://github.com/0xn0ne/weblogicScanner | 2023-11-24 | | WeblogicTool，GUI漏洞利用工具，支持漏洞检测、命令执行、内存马注入、密码解密等（深信服深蓝实验室天威战队强力驱动） | https://github.com/KimJun1010/WeblogicTool | 2023-11-01 | | Nacos JRaft Hessian 反序列化 RCE 加载字节码 注入内存马 不出网利用 | https://github.com/c0olw/NacosRce | 2023-07-07 | | Weblogic一键漏洞检测工具，V1.5，更新时间：20200730 | https://github.com/rabbitmask/WeblogicScan | 2023-05-22 | | Fastjson扫描器，可识别版本、依赖库、autoType状态等。 | https://github.com/a1phaboy/FastjsonScan | 2022-10-07 | | Confluence-OGNL一键注入内存shell | https://github.com/BeichenDream/CVE-2022-26134-Godzilla-MEMSHELL | 2022-06-07 | | Weblogic漏洞利用图形化工具 支持注入内存马、一键上传webshell、命令执行 | https://github.com/sp4zcmd/WeblogicExploit-GUI | 2022-04-20 | | woodpecker框架weblogic信息探测插件 | https://github.com/woodpecker-appstore/weblogic-infodetector | 2022-03-23 | | STS2G Struts2漏洞扫描利用工具 - Golang版 | https://github.com/xwuyi/STS2G | 2022-01-10 | | ResourcesYApi接口管理平台远程命令执行 | https://github.com/Tas9er/YApiRCE | 2021-07-28 | | Struts2-Scan Struts2全漏洞扫描利用工具 | https://github.com/HatBoy/Struts2-Scan | 2021-07-12 | | Jboss（和 Java 反序列化漏洞）验证和利用工具 | https://github.com/joaomatosf/jexboss | 2020-01-21 |

重点cms利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | --------------------------------------------- | --- | | OA漏洞利用工具，基于Apt-T00ls二次开发工具 | https://github.com/R4gd0ll/I-Wanna-Get-All | 2025-12-11 | | 漏洞POC基本适用ThinkPHP全版本漏洞 | https://github.com/zangcc/Aazhen-RexHa | 2025-05-09 | | 高危漏洞利用工具 | https://github.com/White-hua/Apt_t00ls | 2025-02-12 | | 帆软bi反序列化漏洞利用工具 | https://github.com/yecp181/Frchannel | 2025-01-25 | | 支持自定义Poc文件的图形化漏洞利用工具 | https://github.com/bcvgh/daydayEXP | 2024-11-05 | | OA综合利用工具，集合将近20款OA漏洞批量扫描 | https://github.com/LittleBear4/OA-EXPTOOL | 2023-10-28 | | 泛微oa漏洞利用工具 | https://github.com/TD0U/WeaverScan | 2023-01-04 | | OAExploit一款基于产品的一键扫描工具。 | https://github.com/achuna33/MYExploit | 2022-09-20 | | ThinkPHP 漏洞 综合利用工具, 图形化界面, 命令执行, 一键getshell, 批量检测, 日志遍历, session包含, 宝塔绕过 | https://github.com/bewhale/thinkphp_gui_tools | 2022-07-02 | | Thinkphp(GUI)漏洞利用工具，支持各版本TP漏洞检测，命令执行，getshell。 | https://github.com/Lotus6/ThinkphpGUI | 2022-06-01 | | 致远OA综合利用工具GUI-V1.0 | https://github.com/God-Ok/SeeyonExploit-GUI | 2021-07-07 | | 致远OA综合利用工具 | https://github.com/Summer177/seeyon_exp | 2021-06-03 | | 通达OA综合利用工具 | https://github.com/xinyu2428/TDOA_RCE | 2021-03-17 |

信息泄露利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | --------------------------------------------------------- | --- | | git-dumper 从网站转储git存储库的工具 | https://github.com/arthaud/git-dumper | 2026-09-06 | | HeapDump敏感信息提取工具 | https://github.com/whwlsfb/JDumpSpider | 2026-08-20 | | 云资产管理工具 目前工具定位是云安全相关工具，目前是两个模块 云存储工具、云服务工具， 云存储工具主要是针对oss存储、查看、删除、上传、下载、预览等等 云服务工具主要是针对rds、服务器的管理，查看、执行命令、接管等等 | https://github.com/dark-kingA/cloudTools | 2026-02-26 | | swagger-hack 自动化爬取并测试所有swagger-ui.html接口 | https://github.com/jayus0821/swagger-hack | 2025-12-01 | | 六大云存储，泄露利用检测工具 | https://github.com/UzJu/Cloud-Bucket-Leak-Detection-Tools | 2025-03-28 | | AK资源管理工具，阿里云/腾讯云 AccessKey AccessKeySecret | https://github.com/wyzxxz/aksk_tool | 2025-02-13 | | 一个小程序、公众号、企业微信、飞书、钉钉等泄露secert后利用工具 | https://github.com/mrknow001/API-Explorer | 2024-10-15 | | 互联网厂商API利用工具。 | https://github.com/pykiller/API-T00L | 2024-09-13 | | GitDorker 通过使用大型的dorks库来从GitHub抓取敏感信息 | https://github.com/obheda12/GitDorker | 2024-08-03 | | .cvs源代码泄露利用工具 | https://github.com/kost/dvcs-ripper.git | 2024-07-19 | | swagger-exp Swagger REST API 信息泄露利用工具 | https://github.com/lijiejie/swagger-exp | 2024-06-07 | | 从JavaScript文件中提取敏感信息 | https://github.com/m4ll0k/SecretFinder | 2024-05-26 | | Packer Fuzzer 针对Webpack等前端打包工具所构造的网站进行检测的扫描工具 | https://github.com/rtcatc/Packer-Fuzzer | 2024-05-24 | | heapdump敏感信息查询工具 | https://github.com/wyzxxz/heapdump_tool | 2024-05-21 | | 混合盘APP - 网盘搜索、磁力搜索 - 搜索20个百度网盘、阿里网盘、夸克网盘以及磁力资源 | https://github.com/misiai/hunhepan | 2024-03-13 | | 子域名接管漏洞检测工具，支持30+云服务托管检测 | https://github.com/Ice3man543/SubOver | 2023-10-17 | | 功能比较多的一个JavaScript侦查自动化脚本 | https://github.com/KathanP19/JSFScan.sh | 2023-09-09 | | .DS_store文件泄露利用工具 | https://github.com/lijiejie/ds_store_exp | 2023-05-06 | | SvnExploit支持SVN源代码泄露全版本Dump源码 | https://github.com/admintony/svnExploit | 2022-12-20 | | 阿里云accesskey利用工具 | https://github.com/mrknow001/aliyun-accesskey-Tools | 2022-04-08 | | .git源代码泄露利用工具 | https://github.com/BugScanTeam/GitHack | 2020-02-25 |

数据库利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ---------------------------------------------- | --- | | MDUT 2.0 数据库利用工具 | https://github.com/SafeGroceryStore/MDUT | 2026-07-23 | | ODAT：Oracle 数据库攻击工具 | https://github.com/quentinhardy/odat | 2026-03-31 | | Redis 漏洞利用工具 | https://github.com/yuyan-sec/RedisEXP | 2025-01-26 | | Redis未授权访问漏洞利用工具 | https://github.com/n0b0dyCN/redis-rogue-server | 2023-09-24 | | 一款用Go语言编写的数据库自动化提权工具 | https://github.com/Hel10-Web/Databasetools | 2023-08-30 | | redis主从复制rce的go版本 | https://github.com/zyylhn/redis_rce | 2022-04-18 | | 数据库综合利用工具 | https://github.com/Ryze-T/Sylas | 2022-02-16 | | 综合高危漏洞利用工具(包含各大数据库) | https://github.com/Liqunkit/LiqunKit_ | 2022-01-21 | | Redis未授权访问漏洞利用工具2 | https://github.com/Ridter/redis-rce | 2021-11-30 | | sqlserver利用工具，可上传下载文件，xp_cmdshell与sp_oacreate执行命令回显和clr加载程序集执行相应操作。 | https://github.com/uknowsec/SharpSQLTools | 2021-08-05 | | 通过套接字重用通过受损的 Microsoft SQL Server 在受限环境中执行横向移动 | https://github.com/blackarrowsec/mssqlproxy | 2021-02-16 |

爆破利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------ | --- | | 还是推荐fscan吧，还是还用，更新也快 | https://github.com/shadow1ng/fscan | 2026-10-01 | | zombie主要为了解决需要全场景(外网、内网、云)的服务的口令爆破功能 | https://github.com/chainreactors/zombie | 2026-08-09 | | 爆破神器，懂得都懂 | https://github.com/vanhauser-thc/thc-hydra | 2026-07-30 | | 爆破Azure, ADFS, OWA, O365, Teams，smtp | https://github.com/nodauf/GoMapEnum | 2025-09-24 | | FTP,SSH,MYSQL,MSSQL等弱口令爆破工具 | https://github.com/BBD-YZZ/week-passwd | 2025-06-24 | | Boom 是一款基于无头浏览器的智能 Web 弱口令（后台密码）爆破工具 | https://github.com/Fly-Playgroud/Boom | 2024-05-07 | | 一款面向企业的渗透测试字典生成工具。 | https://github.com/ccc-f/Fdict | 2022-12-20 | | 超级弱口令检查工具是一款Windows平台的弱口令审计工具 | https://github.com/shack2/SNETCracker | 2020-07-29 |

全网字典收集

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ---------------------------------------------------------- | --- | | 1337 Wordlists for Bug Bounty Hunting | https://github.com/0xPugazh/fuzz4bounty | 2026-10-04 | | 安全评估期间使用的多种类型列表的集合 | https://github.com/danielmiessler/SecLists | 2026-10-03 | | 实战沉淀字典 | https://github.com/SexyBeast233/SecDictionary | 2026-09-28 | | 渗透测试仪和Bug赏金猎人的 Payload 库 | https://github.com/sh377c0d3/Payloads | 2026-04-01 | | Web 模糊测试字典与一些Payloads | https://github.com/gh0stkey/Web-Fuzzing-Box | 2026-03-23 | | 一个字典列表生成框架 | https://github.com/glitchedgitz/cook | 2026-03-06 | | 用户名密码字典生成工具(将中文汉字姓名转成14种格式的拼音、IP地址处理、网络设备密码生成) | https://github.com/abc123info/UserNameDictTools | 2024-08-05 | | 各类漏洞的 TOP25 参数字典 | https://github.com/lutfumertceylan/top25-parameter | 2024-06-09 | | 该工具是使用javaFX开发的基于信息收集进行组合生成密码字典的工具，可以快速组成密码字典。 | https://github.com/kkbo8005/dicttools | 2024-04-21 | | Fuzz 字典,一个就够了 | https://github.com/TheKingOfDuck/fuzzDicts | 2023-11-13 | | 渗透测试、SRC漏洞挖掘、爆破、Fuzzing等字典收集项目 | https://github.com/insightglacier/Dictionary-Of-Pentesting | 2023-07-21 | | 提取收集以往泄露的密码中符合条件的强弱密码 | https://github.com/r35tart/RW_Password | 2019-04-01 |

常规漏洞利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------------ | --- | | 您将在其中找到我在 CTF、现实生活应用程序以及阅读研究和新闻中学到的每一个技巧 / 技巧 / 任何东西。 | https://github.com/HackTricks-wiki/hacktricks | 2026-10-05 | | DalFox 是一款功能强大的开源 XSS 扫描工具和参数分析器、实用工具 | https://github.com/hahwul/dalfox | 2026-10-04 | | jwt hack是jwt黑客/安全测试的工具。支持En/解码JWT，生成JWT攻击和非常快速破解的有效载荷（dict/brutefoce） | https://github.com/hahwul/jwt-hack | 2026-10-04 | | 很常用的XSS平台 | https://github.com/beefproject/beef | 2026-10-04 | | Web 渗透测试 /CTF 的有用的payload大全 | https://github.com/swisskyrepo/PayloadsAllTheThings | 2026-08-27 | | 具有交互式界面的自动 SSTI 检测工具 | https://github.com/vladko312/SSTImap | 2026-08-25 | | SSRFmap，利用它可检测与利用 SSRF 漏洞， 同时它也整合了一些常用漏洞可以结合 SSRF 去利用 | https://github.com/swisskyrepo/SSRFmap | 2026-08-10 | | 文件包含利用工具 | https://github.com/mzfr/liffy | 2026-05-19 | | 针对JWT渗透开发的漏洞验证/密钥爆破工具，针对CVE-2015-9235/空白密钥/未验证签名攻击/CVE-2016-10555/CVE-2018-0114/CVE-2020-28042的结果生成用于FUZZ，也可使用字典/字符枚举(包括JJWT)的方式进行爆破(JWT Crack) | https://github.com/z-bool/Venom-JWT | 2025-08-12 | | 用于测试、调整和破解JSON Web令牌的工具包 | https://github.com/ticarpi/jwt_tool | 2025-05-01 | | 文件包含自动化利用工具 | https://github.com/hansmach1ne/lfimap | 2024-12-31 | | xxe利用工具 | https://github.com/BuffaloWill/oxml_xxe | 2024-12-16 | | A simple SSRF-testing sheriff written in Go | https://github.com/teknogeek/ssrf-sheriff | 2024-10-31 | | 一款基于 Chromium的XSS检测工具 | https://github.com/v8blink/Chromium-based-XSS-Taint-Tracking | 2024-06-30 | | XSS spider - 66/66 wavsep XSS detected | https://github.com/DanMcInerney/xsscrapy | 2024-06-13 | | 用于查找常见的Nginx错误配置和漏洞。 | https://github.com/stark0de/nginxpwner | 2024-03-04 | | xxe利用工具2 | https://github.com/whitel1st/docem | 2024-01-28 | | Fast CRLF injection scanning tool | https://github.com/Nefcore/CRLFsuite | 2023-10-17 | | 基于DOM的快速XSS漏洞扫描程序 | https://github.com/dwisiswant0/findom-xss | 2022-09-30 | | UEditor编辑器批量GetShell / Code By:Tas9er | https://github.com/Tas9er/UEditorGetShell | 2022-07-10 | | 子域名接管工具 | https://github.com/michenriksen/aquatone | 2022-05-22 | | 快速 CORS 错误配置漏洞扫描程序 | https://github.com/chenjj/CORScanner | 2021-11-25 |

反序列化利用工具

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ------------------------------------------------------------ | --- | | 没什么讲的，其他的你可以不会用，Ar3h出品的你不能不会 | https://github.com/vulhub/java-chains | 2026-08-22 | | JYso是一个可以用于 jndi 注入攻击和生成反序列化数据流的工具。 | https://github.com/qi4L/JYso | 2026-06-14 | | ysoserial修改版，着重修改ysoserial.payloads.util.Gadgets.createTemplatesImpl使其可以通过引入自定义class的形式来执行命令、内存马、反序列化回显 | https://github.com/Y4er/ysoserial | 2026-05-26 | | 原版反序列化利用工具 | https://github.com/frohoff/ysoserial | 2025-12-04 | | TopicsYsomap是一款适配于各类实际复杂环境的Java反序列化利用框架，可动态配置具备不同执行效果的Java反序列化利用链payload。 | https://github.com/wh1t3p1g/ysomap | 2025-02-17 | | marshalsec是一款java反序列利用工具，其可以很方便的起一个ldap或rmi服务，通过这些服务来去访问攻击者准备好的恶意执行类来达到远程命令执行或入侵的目的。 | https://github.com/mbechler/marshalsec | 2025-01-09 | | 生成 Java 反序列化负载的概念验证 | https://github.com/Whoopsunix/PPPYSO | 2024-06-08 | | JNDI服务利用工具 RMI/LDAP，支持部分场景回显、内存shell，高版本JDK场景下利用等，fastjson rce命令执行，log4j rce命令执行 漏洞检测辅助工具 | https://github.com/wyzxxz/jndi_tool | 2024-05-21 | | 图形化Java反序列化利用工具，集成Ysoserial | https://github.com/0ofo/Deswing | 2024-05-08 | | 使用 agent 实现反序列化 utf8 overlong | https://github.com/Ar3h/utf8-overlong-agent | 2024-04-24 | | MySQL Fake Server (纯Java实现，内置常见Java反序列化Payload，支持GUI版和命令行版，提供Dockerfile) | https://github.com/4ra1n/mysql-fake-server | 2023-09-18 | | rmi打内存马工具，适用于目标用不了ldap的情况 | https://github.com/novysodope/RMI_Inj_MemShell | 2023-07-12 | | 解决FastJson、Jackson、Log4j2、原生JNDI注入漏洞的高版本JDKBypass利用，探测本地可用反序列化gadget达到命令执行、回显命令执行、内存马注入 | https://github.com/exp1orer/JNDI-Inject-Exploit | 2022-01-26 |

内存马注入工具

| 项目简介 | 项目地址 | 最近更新 | | ---------------------------------------- | ---------------------------------------------------------- | --- | | 最好用的内存马注入工具 | https://github.com/ReaJason/MemShellParty | 2026-10-01 | | 一款支持高度自定义的 Java 内存马生成工具 | https://github.com/pen4uin/java-memshell-generator-release | 2025-08-21 | | 多功能 java agent 内存马 | https://github.com/veo/vagent | 2023-10-08 | | 用Java agent实现内存马等功能 | https://github.com/ethushiroha/JavaAgentTools | 2023-07-27 | | Memory WebShell Generator | https://github.com/hosch3n/msmap | 2023-04-22 | | Java内存马注入工具 | https://github.com/WisteriaTiger/JundeadShell | 2022-09-13 | | 拿来即用的Tomcat内存马 | https://github.com/ce-automne/TomcatMemShell | 2022-08-31 |

代码审计辅助工具-通用

| 项目简介 | 项目地址 | 最近更新 | | ------------------------------------------------------------ | ----------------

... (README truncated for length)