# 漏洞利用与安全 PoC 资源 (2026 Checklist)

> [!WARNING]
> **安全警示**: 本文档列出的工具仅限用于**合法合规**的安全测试、授权渗透测试及学术研究。严禁用于任何非法攻击行为，使用者需自行承担因违规使用而产生的法律后果。

> [!TIP]
> **Indie Hacker Insight**: 对于独立开发者，了解常见的漏洞 PoC 是保护自己产品的最佳方式。
> - **补丁优先**：关注核心依赖（如 Log4j, Spring, Fastjson）的 CVE，第一时间更新版本。
> - **防御优于检测**：与其折腾复杂的安全工具，不如在初期就集成 **OpenRASP** 这样的主动防御库。

---

## 🛑 关键 CVE 漏洞利用与 PoC (Critical CVEs)

- [ ] [**JNDI-Injection-Exploit-Plus**](https://github.com/XiaomingX/JNDI-Injection-Exploit-plus) - 针对 Log4j2、Fastjson 等引发的 JNDI 注入漏洞的综合利用工具。
- [ ] [**CVE-2022-1388-PoC**](https://github.com/XiaomingX/CVE-2022-1388-poc) - F5 BIG-IP 身份验证绕过漏洞的验证脚本。
- [ ] [**CVE-2026-23113-Exp**](https://github.com/XiaomingX/cve-2026-23113-exp) - 针对最新企业级防火墙配置缺陷的漏洞利用示例。
- [ ] [**ysoserial-plus**](https://github.com/XiaomingX/ysoserial-plus) - Java 反序列化 Payload 生成神器，安全测试人员的必备工具。
- [ ] [**marshalsec-plus**](https://github.com/XiaomingX/marshalsec-plus) - 专注于各种 Java 框架（Jackson, SnakeYAML 等）的反序列化研究。

---

## 🛡️ 防御、审计与扫描工具 (Defense & Scanning)

- [ ] [**OpenRASP-Plus**](https://github.com/XiaomingX/openrasp-plus) - 百度开源的自适应安全防护方案，通过注入 Runtime 实时阻断攻击。
- [ ] [**BruteForce-Subdomains**](https://github.com/XiaomingX/BruteForce-Subdomains) - 高性能子域名爆破工具，用于资产发现与信息搜集。
- [ ] [**GitHub-Sensitive-Hack**](https://github.com/XiaomingX/github-sensitive-hack) - 专门用于扫描 GitHub 仓库中泄露的敏感信息（Key, Token, Password）。
- [ ] [**Awesome-Webshell**](https://github.com/XiaomingX/awesome-webshell) - 各种编程语言的 Webshell 集合，用于渗透测试后的权限维持研究。

---

## 🧩 自动化与反爬虫安全 (Automation Security)

- [ ] [**Awesome-Spiders**](https://github.com/XiaomingX/awesome-spiders) - 汇集了各种反爬虫对抗技巧与爬虫框架。
- [ ] [**Awesome-Captcha-Plus**](https://github.com/XiaomingX/awesome-captcha-plus) - 验证码识别与绕过技术研究合集。
- [ ] [**OpenAI-Captcha-Detection**](https://github.com/XiaomingX/openai-captcha-detection) - 利用大模型能力进行图形验证码识别的安全实验项目。

---

## 💡 选型与防御建议
1. **开发者自测**：在上线前使用 **GitHub-Sensitive-Hack** 检查是否有 API Key 泄露。
2. **系统防御**：Java 应用务必集成 **OpenRASP** 以防御反序列化和 SQL 注入。
3. **资产保护**：定期运行 **BruteForce-Subdomains** 确认是否有未受监控的测试环境暴露在公网。
4. **时效性**：订阅 **CVE 官方预警**，2026 年的漏洞爆发周期已缩短至小时级。
