sylhetyhackvenger/HelloSpecter

# HelloSpecter - HelloTalk 专业安全扫描器 + OSINT 套件 # ⚠️ 开发中 - 此工具目前正在积极开发中。功能可能不完整或随时更改。

HelloSpecter is a comprehensive cybersecurity reconnaissance and vulnerability assessment tool designed for the HelloTalk social learning platform. It combines OSINT capabilities, security testing, and vulnerability scanning into a single unified framework. 📋 目录 · 概述 · 功能 · 架构 · 安装说明 · 使用指南 · 安全测试模块 · OSINT 能力 · 数据模型 · 报告与导出 · 免责声明 · 许可证 🔍 概述 HelloSpecter 是一款专业级安全评估工具，可执行： · 档案情报收集 - 全面提取公开的档案数据 · 漏洞评估 - 检测安全缺陷，包括身份验证问题、API 利用、不安全存储和注入漏洞 · OSINT 侦察 - 具备自动清理功能的多平台用户名追踪 · IP 情报 - 收集地理位置、ISP 和网络信息 · 手机号码情报 - 运营商、位置和有效性分析（即将推出） 该工具专为安全研究人员、渗透测试人员和网络安全专业人员设计，用于识别和记录 HelloTalk 平台中的安全弱点。 🚀 功能 🎯 档案情报 · 完整的档案数据提取（姓名、简介、位置、语言） · 统计数据分析（粉丝数、对话数、评分、活跃度） · 验证与高级会员状态检测 · 数据完整度评分 🛡️ 安全测试 测试类别 描述 身份验证缺陷 Session 泄露、弱身份验证模式、2FA 绕过、Session 劫持 API 利用 数据泄露、过度数据暴露、未经授权的访问 不安全存储 本地存储分析、Cookie 安全性、缓存漏洞 服务端注入 SQL Injection、Command Injection、NoSQL Injection 🕵️ OSINT 能力 · 支持 80+ 平台：Facebook、Instagram、Twitter/X、LinkedIn、GitHub、TikTok 等 · 自动用户名清理：移除 cv_、cd_、we_、ht_ 等前缀 · 变体生成：自动测试常见的用户名模式 · 多线程扫描：高性能的并发平台检测 🌐 IP 情报 · IP 追踪：地理位置、ISP、ASN、时区、坐标及地图链接 🏗️ 架构 ``` ┌─────────────────────────────────────────────────────────────────────┐ │ HelloSpecter Framework │ ├─────────────────────────────────────────────────────────────────────┤ │ │ │ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ ┌───────────┐│ │ │ Profile │ │ Security │ │ OSINT │ │ Data ││ │ │ Scanner │ │ Tester │ │ Hunter │ │ Export ││ │ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘ └─────┬─────┘│ │ │ │ │ │ │ │ ┌──────▼────────────────▼────────────────▼───────────────▼─────┐│ │ │ Core Engine ││ │ │ - Session Management - Rate Limiting - Error Handling ││ │ │ - Thread Pool - User Agent Rotation ││ │ └───────────────────────────────────────────────────────────────┘│ │ │ │ ┌───────────────────────────────────────────────────────────────┐│ │ │ Output Layer ││ │ │ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ ││ │ │ │ JSON │ │ CSV │ │ Terminal │ │ Report │ ││ │ │ └──────────┘ └──────────┘ └──────────┘ └──────────┘ ││ │ └───────────────────────────────────────────────────────────────┘│ └─────────────────────────────────────────────────────────────────────┘ ``` 📦 安装说明 前置条件 · Python 3.8 或更高版本 · pip 包管理器 快速安装 ``` # Clone repository git clone https://github.com/sylhetyhackvenger/HelloSpecter cd HelloSpecter # Install required packages pip install -r requirements.txt # 运行 the tool first run tor in other session sudo python hellospecter.py ``` 依赖项 ``` requests>=2.28.0 beautifulsoup4>=4.11.0 fake-useragent>=1.4.0 colorama>=0.4.6 phonenumbers>=8.13.0 urllib3>=1.26.0 ```

🎮 使用指南 交互模式 ``` sudo python hellospecter.py ``` 命令选项 ``` ╔═══════════════════════════════════════════════════════════════════════╗ ║ 🛡️ HELLOTALK SECURITY SCANNER + OSINT ║ ╠═══════════════════════════════════════════════════════════════════════╣ ║ 1. 🎯 Scan Profile + Security + Social ║ ║ 2. 🌐 IP Tracker ║ ║ 3. 📱 Phone Tracker (coming soon) ║ ║ 4. 🕵️ Username Hunter (Auto-Clean) ║ ║ 5. 📊 Generate Report ║ ║ 6. 💾 Export JSON ║ ║ 7. 🚪 Exit ║ ╚═══════════════════════════════════════════════════════════════════════╝ ``` 使用示例场景 1. 完整档案扫描 ``` scanner = HelloTalkProfileScanner() profile = scanner.scan_profile("username", test_security=True, hunt_social=True) print(scanner.generate_comprehensive_report(profile)) ``` 2. 仅社交媒体追踪 ``` hunter = UsernameHunter(auto_clean=True) results = hunter.hunt("username") print(hunter.format_hunt_results(results)) ``` 3. IP 情报 ``` ip_data = IPTracker.track_ip("8.8.8.8") print(IPTracker.format_ip_info(ip_data)) ``` # “我的目的从来不是损害 HelloTalk 平台。我不是来破坏别人建立的东西的。我是为了在弱点演变成灾难之前揭露它们。我发现的每一个漏洞都不是对付 HelloTalk 的武器——这是一个警告。我发现的每一个缺陷都是一次加强防御墙、保护用户并让平台变得更安全的机会。我不是在与平台作斗争。我是在对抗那些有朝一日可能威胁到它的危险。我的目的不是破坏。我的目的是保护。我不是 HelloTalk 的敌人。我是寻找裂缝的暗影……以便在真正的敌人发现它们之前将其封堵。” --- 🔬 安全测试模块 身份验证缺陷检测 测试 描述 严重程度 凭据泄露 HTML 中的 Session token 中等 弱身份验证 客户端代码中的弱身份验证模式 中等 2FA 绕过 可访问的 2FA endpoint 高 Session 劫持 客户端代码中的 Session 标识符 中等 API 利用测试 测试 描述 严重程度 数据泄露 通过 API 暴露敏感数据 高 过度数据 未经授权的大量数据响应 中等 身份验证绕过 没有身份验证的 API endpoint 高 注入测试 测试 Payload 示例 严重程度 SQL Injection ' OR '1'='1, '; DROP TABLE-- 严重 Command Injection ; ls -la, \| whoami 严重 NoSQL Injection {$gt: ""}, {$exists: true} 高 🕵️ OSINT 能力 支持的平台 (80+) 类别 平台 社交媒体 Facebook, Instagram, Twitter/X, LinkedIn, TikTok, Snapchat, Reddit 开发 GitHub, GitLab, HackerRank, LeetCode, CodeWars 语言学习 Duolingo, Memrise, Busuu, italki, Tandem, HelloTalk 网络安全 TryHackMe, HackTheBox, HackerOne, Bugcrowd, CTFtime 自由职业 Fiverr, Upwork, Freelancer, Toptal, 99designs 交易/金融 TradingView, eToro, ForexFactory, Robinhood 博客 Medium, Substack, DEV Community, Hashnode 用户名清理 该工具通过移除以下内容来自动清理 HelloTalk 用户名： · 前缀：cv_、cd_、we_、ht_、xx_ · 数字前缀：01_、02_ · 连字符模式：xx-username 变体生成 ``` # Original: "johndoe" # 生成的 Variants: johndoe realjohndoe officialjohndoe thejohndoe iamjohndoe imjohndoe johndoeofficial johndoe_real johndoe_live # ... 以及更多 ``` 📊 数据模型 HelloTalkProfile ``` @dataclass class HelloTalkProfile: username: str profile_url: str scraped_at: str name: Optional[str] bio: Optional[str] location: Optional[str] country: Optional[str] city: Optional[str] native_language: List[str] learning_language: List[str] learning_level: Optional[str] interests: List[str] profession: Optional[str] is_verified: bool is_premium: bool stats: ProfileStats cve_test_result: CVE202025900TestResult security_test_results: SecurityTestResults social_media_presence: List[SocialMediaPresence] data_completeness: str raw_html_hash: str response_size: int ``` SecurityTestResults ``` @dataclass class SecurityTestResults: authentication_flaws: List[AuthenticationFlaw] api_exploitations: List[APIExploitation] insecure_storage: List[InsecureStorage] server_side_injections: List[ServerSideInjection] security_findings: List[SecurityFinding] cvss_scores: Dict[str, float] overall_risk: str # CRITICAL | HIGH | MEDIUM | LOW scan_timestamp: str verbose_output: List[str] ``` 📄 报告与导出 JSON 导出 ``` { "username": "johndoe", "profile_url": "https://www.hellotalk.com/en/partners/johndoe", "scraped_at": "2026-01-15T14:32:28.123456", "name": "John Doe", "bio": "Language enthusiast | Python developer", "native_language": ["English"], "learning_language": ["Spanish"], "stats": { "followers": 1234, "following": 567, "conversations": 89, "avg_rating": 4.8 }, "security": { "authentication_flaws": [...], "api_exploitations": [...], "overall_risk": "MEDIUM" }, "social_media": [...] } ``` CSV 导出 用户名 姓名 位置 总体风险 找到的社交媒体 johndoe John Doe New York 中等 12 janedoe Jane Doe London 低 8 ⚠️ 免责声明 ``` ┌─────────────────────────────────────────────────────────────────────┐ │ ⚠️ LEGAL AND ETHICAL DISCLAIMER │ ├─────────────────────────────────────────────────────────────────────┤ │ │ │ This tool is intended for EDUCATIONAL and SECURITY RESEARCH │ │ purposes only. │ │ │ │ ▪ Do NOT use this tool to: │ │ - Violate terms of service │ │ - Extract data without authorization │ │ - Perform unauthorized testing │ │ - Infringe on privacy rights │ │ - Engage in illegal activities │ │ │ │ ▪ Always obtain proper authorization before: │ │ - Scanning any platform │ │ - Testing security controls │ │ - Collecting user data │ │ │ │ ▪ The developers assume NO responsibility for: │ │ - Misuse of this tool │ │ - Any legal consequences │ │ - Data obtained through unauthorized use │ │ │ │ By using this tool, you agree to: │ │ ✅ Use it responsibly and legally │ │ ✅ Respect platform terms of service │ │ ✅ Protect user privacy and data │ │ ✅ Report vulnerabilities responsibly │ └─────────────────────────────────────────────────────────────────────┘ ``` 📝 许可证 该项目基于 MIT 许可证授权 - 有关详细信息，请参阅 LICENSE 文件。 📬 联系方式 对于报告漏洞的安全研究人员：请遵循负责任的披露实践。 ⭐ 致谢 · requests - HTTP 库 · BeautifulSoup4 - HTML 解析 · phonenumbers - 电话号码验证 · fake-useragent - User agent 轮换 · colorama - 终端颜色 ``` ┌──────────────────────────────────────────────────────────── │ │ │ 🔍 HelloSpecter v2.0 (Under Development) │ │ │ │ "Security is not a product, but a process." │ │ - Bruce Schneier │ │ │ └──────────────────────────────────────────────────────────── ```

标签：AES-256, ESC4, OSINT, 安全测试, 实时处理, 攻击性安全, 数据泄露, 漏洞评估, 逆向工具