KE-NETIZEN-OOPS/lucid-scanner

# LucidScanner 多技术栈 Web 安全审计工具。基于真实审计经验构建——能够检测目标技术栈（WordPress、Next.js/Vercel、Astro、Rails/Devise）并运行相应的检查。 ## 安装（一次性） ``` cd C:\Users\Administrator\lucid-scanner pip install -r requirements.txt ``` ## 运行 ### 交互模式（最简单） ``` python lucid_scanner.py ``` 脚本会询问 URL，运行所有检查，并生成一份 Markdown 报告。 ### 将 URL 作为参数 ``` python lucid_scanner.py https://example.com ``` ### 隐藏进度噪音，同时保存 JSON ``` python lucid_scanner.py https://example.com -q --json findings.json ``` ### 使用浏览器 User-Agent（绕过你自己网站上的 Vercel/CF 机器人验证） ``` python lucid_scanner.py https://example.com --browser-ua ``` ### 授权模式（仅限于你自己拥有的网站——目前是未来写入测试的占位符） ``` python lucid_scanner.py https://example.com --authorized ``` ## 检查内容 | 阶段 | 内容 | |---|---| | 1 | DNS 记录（A/MX/TXT）、SPF、DMARC | | 2 | CT-log 子域名枚举（crt.sh + HackerTarget 后备） | | 3 | 绕过 Cloudflare/Vercel 的子域名（直接源站暴露） | | 4 | HTTP 安全标头（HSTS、CSP、X-Content-Type-Options、Referrer-Policy、X-Powered-By 泄漏） | | 5 | TLS 证书过期时间 | | 6 | 特定技术栈：WordPress（用户枚举、?author 泄漏、xmlrpc、密码重置漏洞）、Next.js/Vercel（env 泄漏、Vercel checkpoint）、Devise（注册开放、登录表单暴露） | | 7 | 暴露的配置 / 备份文件（.env、wp-config.php.bak、.git/config 等） | | 8 | 隐藏的管理 URL（对常见路径进行字典攻击） | | 9 | 安全的 SQL injection 探测（仅限基于错误的探测——不包含破坏性 payload） | | 10 | 客户端 JS 中的 secret 泄漏（Stripe、AWS、Google、GitHub token） | ## 输出 默认情况下，会在你的工作目录中生成 `report__.md`。 每项发现包含： - **严重程度**（Critical / High / Medium / Low / Info） - **证据**（触发标记的实际响应） - **影响**（攻击者可以做什么） - **修复**（具体的补救措施） 同时也会向 stdout 打印一行摘要，方便链式调用或编写脚本： ``` example.com | critical:1 high:3 medium:5 low:2 info:8 ``` ## 审计签名 每个请求都包含： - `User-Agent: Mozilla/5.0 (LucidScanner/1.0; +safe-probes; tag=LucidScanner-)` - `X-LucidScanner-Audit: LucidScanner-` 因此，你可以搜索你的访问日志 / Cloudflare 安全事件，以验证哪些请求来自扫描，哪些是真实流量。 ## 安全性 - **默认只读。** 仅使用 GET/HEAD/POST（用于密码重置漏洞检测）。 未经 `--authorized` 授权，绝不使用 PUT / PATCH / DELETE。 - 单一连接（没有可能触发 DDoS 保护的并行操作）。 - 静态 payload——绝不使用破坏性的 SQL（不含 `DROP`、`UPDATE`、`DELETE`）。 ## 请勿扫描你不拥有的网站 此工具的签名是可识别的。请在你自己的基础设施上使用，或在获得明确书面授权的情况下使用。未经授权的扫描可能会违反你所在司法管辖区的 CFAA（计算机欺诈和滥用法）/ 计算机滥用法或相关法律。

标签：Python, Web安全审计, 主机安全, 安全助手, 实时处理, 无后门, 自动化扫描器, 逆向工具