补天漏洞平台发布最受白帽黑客喜爱的安全工具榜

9月17日，国内知名网络安全技术盛会2021第五届补天白帽大会在北京举行，首次设立Tools Collection论坛，为国内安全工具提供一个展示、交流和共享的舞台。

9大国产安全工具争锋，哥斯拉斩获第一

众所周知，一个好的工具能够大幅提高效率、降低门槛，推动某个细分领域进步。网络安全行业过去涌现过非常多的经典工具，比如反汇编软件IDA、网络扫描器Nmap、漏洞和渗透测试框架Metasploit、Web渗透测试工具Burpsuite、漏洞扫描器Nessus等等。这些工具引领着行业发展的潮流，是一代代安全技术从业者的必备神器。

本届Tools Collection论坛收集展示了9大国产安全工具，由作者在论坛上进行宣讲。这些工具经过论坛专家组审核，并且全部开源。其中涉及渗透测试、漏洞挖掘、安全防护、安全运营等多个类别，有对国际知名工具的能力改进，有对攻击链过程的完善，有对某方面能力的集大成者，还有利用大数据来改善安全效率等等。

工具名称	类别	简介
OpenRASP	安全防护	开源、免费的应用运行时自我保护产品
哥斯拉	渗透测试	集成了丰富功能和插件的WebShell管理工具
Cross C2	渗透测试	支持Linux/MacOS等多平台Cobalt Strike上线的安全评估框架
CDK	渗透测试	为云原生环境定制的渗透测试工具
SATC	漏洞挖掘	针对嵌入式系统的自动化漏洞挖掘工具
Bincraft	漏洞挖掘	基于Ghidra的二进制漏洞挖掘框架工具组
RapidDNS	安全数据	在线域名查询和IP反向查询的DNS数据开放网站
Kunyu	安全运营	基于ZoomEye开发的企业资产梳理工具
Pocassist	安全运营	Golang编写的在线漏洞测试框架

经过激烈的作者宣讲、现场交流、观众投票等环节后，在补天白帽大会之夜上，补天漏洞平台发布了“最受白帽黑客喜爱的安全工具”榜单，WebShell工具的集大成者哥斯拉斩获第一名。论坛主办方表示，期待评选机制，能够磨砺更多神兵利器，推动行业向前发展进步，未来能产生中国出品的IDA、Nmap、Metasploit等经典产品。

现场实录

论坛开场，由知名物理渗透黑客、奇安信星輿实验室Kevin2600带来《Access granted 101》的分享。他以锁的历史演变开讲，介绍了钥匙锁、密码锁、无线门禁/门闸、数字钥匙等各式各样的锁具，并讲解了相应的破解方式。在他看来，防御和攻击双方有着不对称性，防御必须做到天衣无缝，攻击只需突破一点。因此，物理安全必须重视全流程的防护，不能指望单个产品就能高枕无忧。

工具名称：Bincraft

工具作者：Anciety

工具介绍：基于Ghidra的二进制漏洞挖掘框架工具组

现场分享：Bincraft使得NSA开源的反汇编软件Ghidra更好用，它对Ghidra原有功能进行了全面的提升，包括问题修复（官方不接受的）、功能重构及改进等，其中有大量反汇编过程中的使用细节改良，并支持了字节码语言（如Python/nodejs/Rust）的反汇编。

工具名称：CDK

工具作者：neargle、cdxy_

工具介绍：为云原生环境定制的渗透测试工具

现场分享：CDK可以帮助攻击选手更好地发现和修复云原生环境的安全问题，它包括容器信息收集、容器利用、常用工具箱三个模块，CDK已经首家发布了多个容器、容器编排场景的自动化EXP。

工具名称：CrossC2

工具作者：hook

工具介绍：支持多平台CobaltStrike上线的安全评估框架

现场分享：渗透测试神器CobaltStrike的必备搭档。CobaltStrike目前只支持Windows平台，CrossC2为Cobalt Strike增加Linux、macOS等平台上线的能力，并添加了多项功能改进，比如无文件落地内存加载文件、通信流量自定义等。