一、5 大开源安全工具总览

工具 领域 星标数 部署难度 一句话描述
SecGuide 安全编码 12k+ ⭐ 大厂出品，6语言安全编码规范
Vulhub 漏洞验证 15k+ ⭐ 328个Docker化漏洞靶场
Lynis 系统审计 13k+ ⭐ 448项Linux安全检查
PSC 个人安全 5k+ ⭐ 200+条个人数字安全建议
PhoneInfoga OSINT情报 13k+ ⭐⭐ 手机号开源情报收集

二、SecGuide — 安全编码规范

工具简介

项目 内容
来源 腾讯安全团队
覆盖语言 Java、Python、Go、JavaScript/Node.js、C/C++
规则数 200+ 条
等级体系 【必须】+ 【建议】
许可 CC BY 4.0

核心价值

  • API 级别的安全风险梳理（不是泛泛而谈）
  • 每条规则都有 ❌错误/✅正确 代码对比
  • 可直接作为代码审查 CheckList
  • 可编写自动化扫描规则

部署教程

# 克隆仓库
git clone https://github.com/Tencent/secguide.git

# 查看指南
cd secguide
ls
# C,C++安全指南.md  Go安全指南.md  Java安全指南.md
# JavaScript安全指南.md  Python安全指南.md  README.md

# 集成到 VS Code — 将规则配置为实时检查
code --install-extension sonarsource.sonarlint-vscode

适用场景

角色 用法
开发者 编码参考，避免安全陷阱
安全工程师 Code Review 检查清单
DevSecOps 编写 SAST 扫描策略的输入
培训讲师 安全编码培训教材

三、Vulhub — 漏洞验证靶场

工具简介

项目 内容
漏洞场景 328 个
覆盖组件 110+
漏洞类型 19 种
部署方式 Docker Compose 一键启动
许可 MIT

核心价值

  • 零基础可用：docker compose up -d 即可启动
  • 完整复现步骤：每个环境都有详细 README
  • 覆盖面广：从 Log4j 到 Fastjson，从 Shiro 到 WebLogic
  • 持续更新：紧跟最新 CVE

部署教程

# 1. 安装 Docker
curl -fsSL https://get.docker.com | sh
systemctl enable docker && systemctl start docker

# 2. 安装 Docker Compose
pip install docker-compose

# 3. 克隆仓库
git clone https://github.com/vulhub/vulhub.git
cd vulhub

# 4. 启动漏洞环境（以 Log4j 为例）
cd log4j/CVE-2021-44228
docker compose up -d

# 5. 访问环境
curl http://your-ip:8983

# 6. 使用完毕后清理
docker compose down -v

热门漏洞环境 TOP 10

排名 漏洞 类型 热度
1 Log4j2 CVE-2021-44228 RCE ★★★★★
2 Fastjson 1.2.24 反序列化 ★★★★★
3 Shiro CVE-2016-4437 反序列化 ★★★★★
4 WebLogic CVE-2020-14882 认证绕过+RCE ★★★★
5 Struts2 S2-045 RCE ★★★★
6 Redis 未授权访问 RCE ★★★★
7 ElasticSearch CVE-2014-3120 RCE ★★★
8 Django SQL注入 SQL注入 ★★★
9 Drupal CVE-2018-7600 RCE ★★★
10 Confluence OGNL注入 RCE ★★★

四、Lynis — 系统安全审计

工具简介

项目 内容
版本 3.1.6
检查项 448+ 项
审计领域 39 个
合规标准 ISO27001 / PCI-DSS / HIPAA
许可 GPLv3

核心价值

  • 一条命令完成 448 项安全检查
  • 硬化指数量化安全水平（0-100）
  • 合规对照直接映射等保/ISO/PCI
  • 持续监控支持 cron 定时执行

部署教程

# 方式一：包管理器安装
apt install lynis       # Debian/Ubuntu
yum install lynis       # RHEL/CentOS

# 方式二：Git 克隆
git clone https://github.com/CISOfy/lynis.git
cd lynis

# 执行审计
sudo ./lynis audit system --quick

# 查看硬化指数
grep "hardening_index" /var/log/lynis-report.dat

# 设置定时审计
sudo lynis generate systemd-units
systemctl enable lynis.timer

审计结果示例

[+] Hardening index : 62 [############        ]
[+] Tests performed : 448
[+] Plugins enabled : 2

Warnings (3):
  - Firewalls: No active firewall [FIRE-4590]
  - SSH: Root login permitted [SSH-7408]
  - Packages: Vulnerable packages found [PKGS-7390]

Suggestions (47):
  - Configure a firewall package [FIRE-4590]
  - Set default umask to 027 [AUTH-9328]
  - Disable unnecessary services [INSE-8000]
  ...

五、Personal Security Checklist — 个人安全清单

工具简介

项目 内容
安全领域 12 大类
安全建议 200+ 条
优先级体系 Essential / Optional / Advanced
配套资源 Awesome-Privacy 软件库
许可 CC BY 4.0

12 大安全领域

领域 Essential 建议数 核心关注点
认证 3 密码管理器 + 2FA
浏览 3 隐私浏览器 + 广告拦截
邮件 2 加密邮箱 + 别名
通讯 2 端到端加密
社交 2 隐私设置 + EXIF清理
网络 3 VPN + DNS-over-HTTPS
手机 6 加密 + 权限 + SIM PIN
电脑 3 全盘加密 + 防火墙
智能家居 2 IoT隔离 + 固件更新
金融 2 信用冻结 + 虚拟卡
人为因素 3 防钓鱼 + 社工防御
物理安全 5 文档销毁 + 反监控

部署教程

# 克隆仓库
git clone https://github.com/Lissy93/personal-security-checklist.git

# 在线访问
# https://digital-defense.io/

# 查看精简版
cd personal-security-checklist/articles
cat 2_TLDR_Short_List.md

六、PhoneInfoga — OSINT 情报收集

工具简介

项目 内容
扫描器数 5 个
接口方式 CLI + Web UI + REST API
部署方式 Docker / 二进制 / Homebrew
插件系统 Go Plugin 可扩展
许可 GPLv3

五大扫描器

扫描器 功能 需要 API
Local 离线号码解析 ❌
Numverify 运营商/线路类型 ✅
GoogleSearch Dork 搜索链接生成 ❌
GoogleCSE 自动化搜索 ✅
OVH VoIP 号码检测 ❌

部署教程

# Docker 一键部署
docker run --rm -it -p 5000:5000 \
  -e NUMVERIFY_API_KEY=your-key \
  sundowndev/phoneinfoga:latest serve

# 访问 Web UI
# http://localhost:5000

# CLI 扫描
docker run --rm -it sundowndev/phoneinfoga:latest \
  scan -n "+14155552671"

# REST API 调用
curl -X POST http://localhost:5000/api/v2/numbers \
  -H "Content-Type: application/json" \
  -d '{"number": "+14155552671"}'

七、一键部署全家桶

Docker Compose 全家桶

# security-toolbox.yml
version: '3.8'

services:
  # Vulhub（按需启动单个环境）
  # 使用: cd vulhub/xxx && docker compose up -d

  # Lynis（主机直接安装）
  # 使用: sudo lynis audit system

  # PhoneInfoga
  phoneinfoga:
    image: sundowndev/phoneinfoga:latest
    ports: ["5000:5000"]
    command: serve
    environment:
      - GIN_MODE=release

  # Kibana（结果可视化）
  kibana:
    image: kibana:8.10.0
    ports: ["5601:5601"]
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200

  elasticsearch:
    image: elasticsearch:8.10.0
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
    volumes:
      - es_data:/usr/share/elasticsearch/data

volumes:
  es_data:

# 启动全家桶
docker compose -f security-toolbox.yml up -d

# 状态检查
docker compose -f security-toolbox.yml ps

八、工具选型决策树

你的需求是什么？
│
├─ 编码阶段避免漏洞 → SecGuide
├─ 测试阶段验证漏洞 → Vulhub
├─ 运维阶段审计加固 → Lynis
├─ 个人数字安全防护 → PSC
├─ OSINT情报收集     → PhoneInfoga
│
└─ 全流程安全体系 → 五个一起用
场景 推荐工具组合
开发团队安全培训 SecGuide + Vulhub
企业安全基线检查 Lynis + SecGuide
渗透测试 Vulhub + PhoneInfoga
个人隐私保护 PSC
DevSecOps 流水线 SecGuide + Lynis
全栈安全 五个全上

九、总结

5 个开源工具，覆盖安全生命周期全阶段：

阶段 工具 投入 产出
编码 SecGuide 0元 安全代码
测试 Vulhub 0元 漏洞验证
运维 Lynis 0元 安全基线
个人 PSC 0元 安全习惯
OSINT PhoneInfoga 0元 情报收集

全部开源，零成本起步，今天就行动！

三连支持，关注后续更多安全工具深度教程！

标签：#网络安全工具 #开源安全 #Vulhub #Lynis #SecGuide

Logo
AtomGit开源社区

AtomGit 是由开放原子开源基金会联合 CSDN 等生态伙伴共同推出的新一代开源与人工智能协作平台。平台坚持“开放、中立、公益”的理念，把代码托管、模型共享、数据集托管、智能体开发体验和算力服务整合在一起，为开发者提供从开发、训练到部署的一站式体验。

更多推荐

cover

HarmonyOS ArkUI训练营入门-组件掌握系列-SideBar 侧边栏容器详解-PC版本

avatar AtomGit开源社区
cover

AI时代小白程序员必备：收藏这份高效学习大模型的“道法器”攻略！

avatar AtomGit开源社区
cover

RAG评估完全指南：别让你的知识库变成“垃圾回收站“

avatar AtomGit开源社区