razazu/unpwned-cli

```markdown ``` npx unpwned scan yoursite.com ``` ## 为什么？ 每个网站都有安全盲点。大多数开发者在为时已晚之前都不会检查。 **unpwned** 在不到一秒的时间内从终端运行 8 个安全检查。无需账户、无需 API 密钥、无需设置。只需粘贴一个域名即可获得评分。 ## 检查内容 ``` Headers ███░░░░░░░ 25/100 [5 issues] SSL/TLS ██████████ 100/100 [PASS] DNS Security ██░░░░░░░░ 20/100 [3 issues] Cookies ██████████ 100/100 [PASS] CORS ███████░░░ 70/100 [1 issue] Sensitive Files ██████████ 100/100 [PASS] Tech Stack Next.js, Vercel Breaches 1 breach found! ``` | 检查项 | 发现的问题 | |:------|:-------------| | **安全标头** | 缺少 CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy | | **SSL/TLS** | 过期证书、弱协议、自签名证书、过期警告 | | **DNS 安全** | 缺少 SPF、DMARC、DKIM、DNSSEC | | **Cookie 安全** | 缺少 Secure、HttpOnly、SameSite 标志 | | **CORS 策略** | 通配符来源、凭证泄露、来源反射攻击 | | **敏感文件** | 暴露的 `.env`、`.git/config`、`package.json`、`wp-config.php` 等 | | **技术栈** | 检测 Next.js、React、Angular、WordPress、nginx、Cloudflare 等 | | **数据泄露** | 来自 Have I Been Pwned 数据库的已知泄露 | ## 安装 ``` # 直接运行（无需安装） npx unpwned scan example.com # 或全局安装 npm install -g unpwned unpwned scan example.com ``` **要求：** Node.js 18+ ## 用法 ``` # 基础扫描 unpwned scan example.com # JSON 输出（用于 CI/CD 流水线） unpwned scan example.com --json # 多站点 for site in site1.com site2.com site3.com; do npx unpwned scan $site done ``` ### 退出代码 | 代码 | 含义 | |:-----|:--------| | `0` | 评分 >= 50（通过） | | `1` | 评分 < 50（失败） | 在 CI 中使用此功能可在安全性低于阈值时 **失败构建**。 ## CI/CD 集成 ### GitHub Actions ``` name: Security Audit on: schedule: - cron: '0 9 * * 1' # Every Monday at 9am push: branches: [main] jobs: security: runs-on: ubuntu-latest steps: - name: Run security scan run: npx unpwned scan yoursite.com ``` ### GitLab CI ``` security_scan: image: node:22 script: - npx unpwned scan yoursite.com allow_failure: false ``` ### 预提交钩子 ``` # .husky/pre-push npx unpwned scan yoursite.com --json | jq '.overallScore >= 70' || exit 1 ``` ## 评分 所有检查的加权平均值： | 检查项 | 权重 | 原因 | |:------|:-------|:----| | 安全标头 | 25% | 防止 XSS、点击劫持、MIME 嗅探的第一道防线 | | SSL/TLS | 20% | 传输中的加密不可协商 | | DNS 安全 | 20% | 电子邮件欺骗防护（SPF/DMARC/DKIM） | | Cookie 安全 | 10% | 会话劫持防护 | | CORS 策略 | 10% | 跨域数据窃取防护 | | 敏感文件 | 10% | 暴露的配置和凭证 | | 技术栈 | 5% | 信息性（不扣分） | ### 等级 | 等级 | 评分 | 含义 | |:------|:------|:--------| | **A+** | 95-100 | 优秀的安全态势 | | **A** | 85-94 | 强大，有小幅改进空间 | | **B** | 70-84 | 良好，存在一些差距 | | **C** | 50-69 | 一般，需要显著改进 | | **D** | 30-49 | 较差，存在关键问题 | | **F** | 0-29 | 失败，需要立即采取行动 | ## 与其他工具对比 | 工具 | 标头 | SSL | DNS | Cookie | CORS | 文件 | 泄露 | 评分 | npx | 速度 | |:-----|:--------|:----|:----|:--------|:-----|:------|:---------|:------|:----|:------| | **unpwned** | 是 | 是 | 是 | 是 | 是 | 是 | 是 | 是 | 是 | <1s | | is-website-vulnerable | - | - | - | - | - | - | - | - | 是 | ~10s | | Mozilla Observatory | 是 | - | - | - | - | - | - | 是 | 停止维护 | - | | Lighthouse | 部分 | - | - | - | - | - | - | 是 | 是 | ~30s | | Nuclei | - | 是 | - | - | - | 是 | - | - | - | ~5s | ## 想要完整视图？ **unpwned** 从终端检查 8 个类别。 [**UNPWNED**](https://www.unpwned.io?ref=cli) 运行 **36 个安全扫描器**，包括： - AI 驱动的修复指令 - PDF 安全报告 - 持续监控 - GitHub 集成 - OWASP/SOC2/GDPR 合规性检查 ## 许可证 [MIT](LICENSE) © [Raz Azulay](https://github.com/razazu)

_{在 UNPWNED 构建}

```

标签：7 checks, Atomic Red Team, Cookie安全, CORS策略, DNS安全, Have I Been Pwned, HTTP头检查, MITM代理, Node.js安全, npx工具, One command scan, SEO安全, SSL/TLS检查, URL发现, 安全检测, 安全评分, 开发运维, 技术栈识别, 敏感文件检测, 数据泄露检测, 终端安全工具, 网站安全扫描, 网站审计, 网络安全, 自动化攻击, 隐私保护, 零配置