免责声明
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：baobeiaini_ya
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！
工具介绍
基于java fx写的一款支持加载自定义poc文件的、可扩展的的图形化渗透测试框架。支持批量漏洞扫描、漏洞利用、结果导出等功能。
主要模块
漏洞扫描
选择一级菜单可对所有该标签下的漏洞都进行检测，选择二级则对单个漏洞扫描。支持批量扫描url、导出扫描结果、设置线程数等。 同时也支持设置dnslog，使用该模块可减少命令执行、反序列漏洞无回显导致的误报、漏报。
（如需要设置dnslog，请在项目启动前设置好config.json中dnslog的api等参数）
漏洞利用
点击漏洞利用按钮，会根据当前漏洞的type类型动态生成相应的利用场景 目前支持的类型
exec
原理：匹配返回包中的命令执行回显。（无回显漏洞则需要自行验证）
例如命令执行、代码执行、SQL注入xpcmdshell等都归结到这一类
upload
原理：匹配返回包中的上传路径（非必要）后，拼接上传路径。
例如文件上传、任意文件写入、任意文件覆盖等都归结到这一类
deserialization（暂只支持jdk8版本）(最新版本已弃用)
原理：自行选择反序列化gadget构造payload发送利用。
custom
在无法通过上述3种类型构造payload时使用，可根据自己的思路构造此类poc。
(可参考帆软v10反序列化漏洞poc)
工具下载
点击关注下方名片进入公众号
回复关键字【241105】获取下载链接
往期精彩
一个想让你测试加密流量像明文一样简单高效的 Burp 插件
二开KillWxapkg，自动化监控实时点击打开的微信小程序进行反编译，辅助小程序渗透测试。
Vcenter综合渗透利用工具包
