跳到主要内容
极客日志极客日志面向AI+效率的开发者社区
首页博客我的书AI学习GitHub 精选镜像AI工具UI配色美学关于
搜索内容 / 工具 / 仓库 / 镜像...⌘K搜索
注册
博客列表
PythonNode.jsjava

网络安全常用工具汇总：从漏洞扫描到渗透测试实战指南

详细整理了网络安全领域的常用工具，涵盖漏洞练习平台、信息搜集、Web 攻击、域渗透、Fuzz 测试、漏洞利用框架、二进制分析及综合扫描器等类别。内容包含各工具的 GitHub 链接及功能简介，旨在为安全研究人员提供实用的技术参考。文章强调工具使用的合法性与道德规范，建议结合原理深入学习并持续跟进安全动态。

GopherDev发布于 2025/2/7更新于 2026/10/2489 浏览
网络安全常用工具汇总：从漏洞扫描到渗透测试实战指南

网络安全常用工具汇总

在网络安全领域，掌握高效的工具是进行安全评估、漏洞挖掘及防御体系建设的关键。本文整理了一份详尽的网络安全常用工具清单，涵盖漏洞练习平台、信息搜集、Web 攻击、域渗透、Fuzz 测试、漏洞利用框架等多个维度。所有工具均基于开源社区项目，旨在帮助安全研究人员和开发者理解攻击原理，从而更好地构建防御体系。

重要提示：本文所列工具仅供授权的安全测试与学习研究使用。未经授权对他人系统进行扫描或攻击属于违法行为，请严格遵守相关法律法规。

1. 漏洞及渗透练习平台

为了安全地学习和测试漏洞利用技术，搭建本地练习环境是必不可少的环节。以下平台提供了各种常见的 Web 漏洞场景。

WebGoat 漏洞练习环境

  • 项目地址: https://github.com/WebGoat/WebGoat
  • 说明: OWASP 官方维护的故意存在漏洞的 Web 应用，用于教学和学习。
  • Legacy 版本: https://github.com/WebGoat/WebGoat-Legacy

Damn Vulnerable Web Application (DVWA)

  • 项目地址: https://github.com/RandomStorm/DVWA
  • 说明: 一个非常流行的 PHP/MySQL Web 应用程序，包含多种安全漏洞等级设置。

数据库注入练习平台

  • SQLi Labs: https://github.com/Audi-1/sqli-labs
    • 专注于 SQL 注入漏洞的练习环境。
  • Vulnerable Node: https://github.com/cr0hn/vulnerable-node
    • 用 Node.js 编写的漏洞练习平台，类似 OWASP Node Goat。

网络与路由扫描器

  • 本地网络扫描器: https://github.com/SkyLined/LocalNetworkScanner
    • 用于发现局域网内的活跃主机和设备。
  • 子域名扫描器: https://github.com/lijiejie/subDomainsBrute
    • 经典的子域名爆破枚举脚本。
  • 漏洞路由扫描器: https://github.com/jh00nbr/Routerhunter-2.0
    • 针对路由器设备的漏洞扫描工具。
  • 迷你批量信息泄漏扫描脚本: https://github.com/lijiejie/BBScan
    • 快速检测常见信息泄露点。

WAF 类型检测

  • Wafw00f: https://github.com/EnableSecurity/wafw00f
    • 用于识别 Web 应用防火墙（WAF）类型的工具。

2. 信息搜集工具

信息搜集是渗透测试的第一步，旨在收集目标系统的公开信息。

  • 社工插件 (Sreg): https://github.com/n0tr00t/Sreg
    • 可查找以 email、phone、username 注册的所有网站账号信息。
  • Github 信息搜集 (Gitscan): https://github.com/sea-god/gitscan
    • 实时扫描查询 Git 最新上传有关邮箱账号密码信息。
  • Repo 信息搜集 (GitHarvester): https://github.com/metac0rtex/GitHarvester
    • 专门针对 GitHub 仓库信息的深度搜集工具。

3. WEB 工具集

此部分包含 Webshell、攻击脚本、XSS/CSRF 工具及各类辅助小工具。

Webshell 与攻击脚本

  • Webshell 大合集: https://github.com/tennc/webshell
  • 渗透以及 Web 攻击脚本: https://github.com/brianwrf/hackUtils
  • Web 渗透小工具大合集: https://github.com/rootphantomer/hacktoolsfor_me

XSS 与 CSRF

  • XSS 数据接收平台: https://github.com/firesunCN/BlueLotus_XSSReceiver
  • XSS 与 CSRF 工具: https://github.com/evilcos/xssor

命令注入与数据库注入

  • Commix: https://github.com/stasinopoulos/commix
    • Web 向命令注入检测工具。
  • Sqlmap: https://github.com/sqlmapproject/sqlmap
    • 业界标准的自动化 SQL 注入工具。
  • SqlHunter: https://github.com/zt2/sqli-hunter
    • Web 代理，通过加载 sqlmap api 进行 sqli 实时检测。

其他实用工具

  • 新版中国菜刀: https://github.com/Chora10/Cknife
  • .git 泄露利用 EXP: https://github.com/lijiejie/GitHack
  • 浏览器攻击框架 (BeEF): https://github.com/beefproject/beef
  • 自动化绕过 WAF 脚本: https://github.com/khalilbijjou/WAFNinja
  • HTTP 命令行客户端 (Httpie): https://github.com/jkbrzt/httpie
  • 浏览器调试利器 (Firebug): https://github.com/firebug/firebug
  • 开源 WAF (ModSecurity): https://github.com/SpiderLabs/ModSecurity

4. Windows 域渗透工具

针对 Windows 域环境的渗透测试工具集合。

  • Mimikatz: https://github.com/gentilkiwi/mimikatz
    • Windows 渗透神器，用于提取明文密码、哈希等凭证。
  • PowerSploit: https://github.com/PowerShellMafia/PowerSploit
    • Powershell 渗透库合集。
  • Powershell Tools: https://github.com/clymb3r/PowerShell
    • Powershell 工具合集。

5. Fuzz 测试

模糊测试是发现未知漏洞的重要手段。

  • Web 向 Fuzz 工具 (Wfuzz): https://github.com/xmendez/wfuzz
  • HTTP 暴力破解 (htpwdScan): https://github.com/lijiejie/htpwdScan
    • HTTP 暴力破解，撞库攻击脚本。

6. 漏洞利用及攻击框架

综合性的渗透测试框架，支持模块化扩展。

  • Metasploit Framework (MSF): https://github.com/rapid7/metasploit-framework
    • 全球最知名的渗透测试框架。
  • Pocscan: https://github.com/erevus-cn/pocscan
    • Poc 调用框架，可加载 Pocsuite, Tangscan, Beebeeto 等。
  • Pocsuite: https://github.com/knownsec/Pocsuite
    • 360 推出的开源漏洞开发框架。
  • Beebeeto: https://github.com/n0tr00t/Beebeeto-framework
    • 漏洞扫描与利用框架。

7. 漏洞 POC & EXP

针对特定 CVE 的验证代码与利用脚本。

  • ExploitDB: https://github.com/offensive-security/exploit-database
    • ExploitDB 官方 git 版本。
  • PHP 漏洞代码分析: https://github.com/80vul/phpcodz
  • CVE-2016-2107: https://github.com/FiloSottile/CVE-2016-2107
  • CVE-2015-7547: https://github.com/fjserna/CVE-2015-7547
  • Java 反序列化 POC 生成工具 (Ysoserial): https://github.com/frohoff/ysoserial
  • Java 反序列化 EXP: https://github.com/foxglovesec/JavaUnserializeExploits
  • Jenkins CommonCollections EXP: https://github.com/CaledoniaProject/jenkins-cli-exploit
  • Windows 内核提权: https://github.com/vlad902/hacking-team-windows-kernel-lpe
  • Docker 漏洞演示: https://github.com/hxer/vulnapp
  • PHP7 缓存覆写漏洞 Demo: https://github.com/GoSecure/php7-opcache-override
  • XcodeGhost 木马样本: https://github.com/XcodeGhostSource/XcodeGhost

8. 中间人攻击及钓鱼

此类工具用于模拟中间人攻击或 Wi-Fi 钓鱼，仅限实验室环境使用。

  • 中间人攻击框架:
    • The Backdoor Factory: https://github.com/secretsquirrel/the-backdoor-factory
    • BDFProxy: https://github.com/secretsquirrel/BDFProxy
    • MITMf: https://github.com/byt3bl33d3r/MITMf
  • Wi-Fi 相关:
    • LANs.py: https://github.com/DanMcInerney/LANs.py
    • Mallory: https://github.com/intrepidusgroup/mallory
    • WiPhisher: https://github.com/sophron/wifiphisher

9. 密码破解

  • John the Ripper (Johnny): https://github.com/shinnok/johnny
  • LaZagne: https://github.com/AlessandroZ/LaZagne
    • 本地存储的各类密码提取利器。

10. 二进制及代码分析工具

  • Binwalk: https://github.com/devttys0/binwalk
  • Binmap: https://github.com/quarkslab/binmap
  • ROP 序列查找 (rp++): https://github.com/0vercl0k/rp
  • Windows Exploit Development: https://github.com/lillypad/badger
  • 静态分析 (Amoco): https://github.com/bdcht/amoco
  • PEDA: https://github.com/longld/peda
  • Botnet 监控: https://github.com/ValdikSS/billgates-botnet-tracker
  • RAT 配置提取: https://github.com/kevthehermit/RATDecoders
  • Angr: https://github.com/angr/angr
  • Pysonar2: https://github.com/yinwang0/pysonar2
  • Shellcheck: https://github.com/koalaman/shellcheck
  • JS 反混淆: https://github.com/ChiChou/etacsufbo

11. EXP 编写框架及工具

  • ROP Tool: https://github.com/t00sh/rop-tool
  • Pwntools: https://github.com/Gallopsled/pwntools
  • Zio: https://github.com/zTrix/zio
  • Frida: https://github.com/frida/frida

12. 隐写相关工具

  • Stegdetect: https://github.com/abeluck/stegdetect

13. 各类安全资料与 CTF 资源

  • 域渗透教程: https://github.com/l3m0n/pentest_study
  • Python Security 教程: https://github.com/smartFlash/pySecurity
  • Mobile Security Wiki: https://github.com/exploitprotocol/mobile-security-wiki
  • Reverse Engineering Book: https://github.com/veficos/reverse-engineering-for-beginners
  • IT Security Standards: https://github.com/luyg24/IT_security
  • APT Notes: https://github.com/kbandla/APTnotes
  • KCon 资料: https://github.com/knownsec/KCon
  • CTF Writeups: https://github.com/ctfs/write-ups-2016
  • FBCTF Demo: https://github.com/facebook/fbctf
  • Awesome Awesomeness: https://github.com/bayandin/awesome-awesomeness
  • Python Resources: https://github.com/jobbole/awesome-python-cn
  • Impacket: https://github.com/CoreSecurity/impacket
  • Requests: https://github.com/kennethreitz/requests

14. 综合类扫描器

  • AZScanner: https://github.com/az0ne/AZScanner
  • Lalascan: https://github.com/blackye/lalascan
  • BkScanner: https://github.com/blackye/BkScanner
  • GourdScanV2: https://github.com/ysrc/GourdScanV2
  • Sn1per: https://github.com/1N3/Sn1per
  • POC-T: https://github.com/Xyntax/POC-T

15. 总结与建议

网络安全是一个不断发展的领域，工具只是辅助，核心在于对协议、系统架构及安全原理的理解。建议在学习过程中：

  1. 建立合法意识：始终在授权范围内使用工具，切勿触碰法律红线。
  2. 深入原理：不要仅满足于工具的使用，应阅读源码或文档理解其工作机制。
  3. 持续更新：关注 CVE 动态和新的攻击手法，保持知识库的更新。
  4. 参与社区：加入开源社区，分享研究成果，共同提升防御水平。

希望这份工具列表能为您的安全学习与工作提供实质性的帮助。

目录

  1. 网络安全常用工具汇总
  2. 1. 漏洞及渗透练习平台
  3. WebGoat 漏洞练习环境
  4. Damn Vulnerable Web Application (DVWA)
  5. 数据库注入练习平台
  6. 网络与路由扫描器
  7. WAF 类型检测
  8. 2. 信息搜集工具
  9. 3. WEB 工具集
  10. Webshell 与攻击脚本
  11. XSS 与 CSRF
  12. 命令注入与数据库注入
  13. 其他实用工具
  14. 4. Windows 域渗透工具
  15. 5. Fuzz 测试
  16. 6. 漏洞利用及攻击框架
  17. 7. 漏洞 POC & EXP
  18. 8. 中间人攻击及钓鱼
  19. 9. 密码破解
  20. 10. 二进制及代码分析工具
  21. 11. EXP 编写框架及工具
  22. 12. 隐写相关工具
  23. 13. 各类安全资料与 CTF 资源
  24. 14. 综合类扫描器
  25. 15. 总结与建议

更多推荐文章

查看全部
  • AI 绘画的商业应用、代码案例与版权探讨
  • 飞算 JavaAI 代码审查落地实践与关键细节
  • Xcode 7 中手动链接 .dylib 库的两种方案
  • Spring AI 实现多模型共存：基于 OpenAI 协议调用 ChatGPT 与千问
  • 逻辑回归算法详解：原理、代码与可视化
  • 十五五规划下 Java 程序员的职业机遇与行业新赛道
  • 用 UI UX Pro Max 驱动现代前端 UI 工作流
  • LangChain 基本概念与实战入门
  • 2026最强AI图像生成器测评！10款工具真实对比谁最强
  • C++ 内存布局、编译流程与关键字链接性
  • ROS 机器人开发第 1 天：Linux 终端命令与常用实践
  • 操作系统迁移至新 SSD 的两种实用方法
  • DeepSeek-R1 模型接入指南：微软、英伟达及 AWS 多平台替代方案
  • JavaScript 判断字符串是否包含指定子串的方法
  • 基于 Spring Boot 的考研培训管理系统设计与实现
  • 别再盲目追“智能”：我与机器人打交道的 3 年，藏着最真实的科技温度
  • 微软 365 发布同声翻译智能体：Teams 会议实现实时跨语言交流
  • OmniInsert：基于扩散变换器的无掩码视频插入技术解析
  • 动态规划算法实战：第 N 个泰波那契数与三步问题
  • 基于 XGBoost 算法的糖尿病数据集分类预测模型实践

相关免费在线工具

  • Keycode 信息

    查找任何按下的键的javascript键代码、代码、位置和修饰符。 在线工具，Keycode 信息在线工具，online

  • Escape 与 Native 编解码

    JavaScript 字符串转义/反转义；Java 风格 \uXXXX（Native2Ascii）编码与解码。 在线工具，Escape 与 Native 编解码在线工具，online

  • JavaScript / HTML 格式化

    使用 Prettier 在浏览器内格式化 JavaScript 或 HTML 片段。 在线工具，JavaScript / HTML 格式化在线工具，online

  • JavaScript 压缩与混淆

    Terser 压缩、变量名混淆，或 javascript-obfuscator 高强度混淆（体积会增大）。 在线工具，JavaScript 压缩与混淆在线工具，online

  • curl 转代码

    解析常见 curl 参数并生成 fetch、axios、PHP curl 或 Python requests 示例代码。 在线工具，curl 转代码在线工具，online

  • Base64 字符串编码/解码

    将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online