📱Raptor.

Raptor— новый open-source инструмент для автономного анализа безопасности кода.

Raptor объединяет классические security-инструменты со смарт-автоматизацией: понимает ваш код, демонстрирует возможность эксплуатации уязвимостей и даже предлагает патчи.

❓Что делает Raptor уникальным:

🔘Агентный анализ + традиционные security-инструменты.

🔘Полностью модульная архитектура.

🔘Поддержка расширений (пакеты Raptor).

🔘Автоматический запуск Semgrep, CodeQL, AFL++, rr, Playwright и других инструментов.

🔘Работает через Claude Code или Python CLI.

#security #infosec #appsec #opensource #forensics #codeql #semgrep #fuzzing #devops #python #claudecode #raptor

📱Ссылка на репозиторий:
https://github.com/gadievron/raptor

📱Apkfile.

Apkfile - это мощная Python-библиотека и удобный CLI-инструмент для чтения метаданных, глубокого аудита безопасности и установки Android-приложений любых форматов (.apk, .apkm, .xapk, .apks, .apkv).

Библиотека парсит AndroidManifest.xml и resources.arsc напрямую через чистый Python (на базе androguard). Чтение метаданных происходит «лениво» прямо из байтов архива без распаковки на диск, а для работы больше не требуется утилита aapt.

🔹Главные фичи и возможности:

🔘Поддержка всех форматов пакетов: Читает классические .apk, сплиты и бандлы (.apkm, .xapk, .apks), а также формат .apkv (включая зашифрованные архивы).

🔘Полный срез метаданных: Извлекает название пакета, версию, поддерживаемые ABI (ARM64, x86 и т.д.), языки, плотность экранов, структуру DEX-файлов и иконки всех разрешений (adaptive/anydpi/nodpi).

🔘Аудит безопасности манифеста:

✔️Находит незащищенные экспортированные компоненты (Activities, Services, Providers без разрешений).

✔️Подсвечивает опасные разрешения (dangerous permissions) и неявные доступы (implied permissions).

✔️Проверяет сертификаты подписи (схемы v1-v4, sha256-хеши, отладочную подпись debug_signed).

✔️Diff двух версий приложения: Умеет сравнивать старый и новый APK/бандл, возвращая разницу в правах, объеме кода, DEX-составе и изменениях в сертификатах.

✔️Параллельная установка через ADB: Устанавливает APK и бандлы на все подключенные устройства одновременно, автоматически подгружает OBB-файлы расширений (/sdcard/Android/obb/), проверяет совместимость ABI и умеет сразу запускать указанную Activity.

🔻Примеры использования:

В коде Python:

from apkfile import ApkFile

apk = ApkFile("app.apk")

# Базовая информация
print(apk.package_name, apk.version_name, apk.version_code)

# Безопасность и компоненты
print("Опасные разрешения:", apk.security.dangerous_permissions)
print("Незащищенный экспорт:", apk.security.unprotected_exported_components)

# Сравнение двух версий приложения
old_apk, new_apk = ApkFile("v1.apk"), ApkFile("v2.apk")
diff = old_apk.diff(new_apk)
print("Добавленные права:", diff.permissions_added)

# Установка через ADB с последующим запуском
apk.install(upgrade=True, launch=True)

Через командную строку (CLI):

# Получить полную JSON-сводку о приложении
apkfile info app.apk --full

# Сравнить две версии APK
apkfile diff old.apk new.apk

# Установить и сразу запустить на устройстве
apkfile install app.xapk --launch

📦Установка:

pip install -U apkfile
# или через uv:
uv add apkfile

#Python #Android #APK #MobileSecurity #AppSec #QA #Automation #DevTools #OpenSource #ADB

📱Ссылка на репозиторий:
https://github.com/david-lev/apkfile

📱Pentestkit.

Pentestkit - это мультиагентный фреймворк для автоматизированного проведения тестов на проникновение (пентестов) и решения CTF-задач, построенный на базе Claude Agent SDK.

Фреймворк объединяет команду специализированных ИИ-агентов, которые под управлением оркестратора исследуют цель, находят потенциальные уязвимости, подтверждают их реальным воспроизведением (PoC), оценивают критичность по стандарту CVSS v3.1 и формируют готовый клиентский отчет.

🔹Архитектура и пайплайн работы:

🔘Orchestrator: Проводит первичную разведку и формирует детальный план тестирования в общей базе знаний.

🔘Scope Agents: Набор узкопрофильных агентов для параллельного поиска по направлениям (разведка, аутентификация, инъекции, контроль доступа, SSRF/XXE, бизнес-логика и др.).

🔘Verifier (Агент-валидатор): Ключевой шлюз верификации. Скептически проверяет каждую найденную кандидатуру и пытается её воспроизвести. Если уязвимость не подтверждается — она отклоняется, что сводит к минимуму ложные срабатывания (False Positives).

🔘CVSS Scorer & Reporter: Присваивает проверенным багам обоснованный вектор CVSS v3.1 и генерирует структурированный отчет report.md с описанием шагов воспроизведения.

🔻Ключевые возможности:

🔘100% на бенчмарках XBOW: Успешно решил 104 из 104 изолированных CTF веб-челленджей разной сложности с автоматическим захватом флагов.

🔘Scope Guard: Жесткий контроль области тестирования — каждый исходящий сетевой пакет проходит через единую точку фильтрации для предотвращения выхода за рамки согласованного скоупа.

🔘Встроенный OAST: Поддержка out-of-band коллбеков для надежной фиксации «слепых» уязвимостей (Blind SSRF, XXE, Blind SQLi, RCE).

🔘Воспроизводимые PoC: Сохранение всех запросов и ответов (evidence/), а также полный аудит каждого шага в context.json.

🔘Гибкость моделей: Из коробки настроен на работу с моделями kimi-k3 через API Moonshot, а также поддерживает всю линейку Claude (Anthropic).

💻Быстрый запуск:

# Проверка правил области видимости (Scope Guard)
python pentest.py check --engagement engagements/example.yaml --url http://127.0.0.1:3000/api

# Запуск полного аудита с интерактивным подтверждением авторизации
python pentest.py run --engagement engagements/example.yaml

# Запуск консоли мониторинга (Fleet, Benchmarks, Traces)
python pentest.py console --port 8500

⚠️Важно: Инструмент предназначен исключительно для аудита систем и инфраструктуры, на тестирование которых получено официальное разрешение владельца.

#Pentestkit #CyberSecurity #AppSec #Pentest #InfoSec #AIAgents #Claude #Python #OpenSource #DevSecOps #CTF

📱Ссылка на репозиторий:
https://github.com/lordx64/pentestkit

📱DeployProof.

DeployProof - это инструмент командной строки (CLI) для Python, предназначенный для верификации кода (в том числе сгенерированного ИИ) с помощью молниеносного мутационного тестирования AST прямо в оперативной памяти.

Нейросети вроде Copilot или ChatGPT легко генерируют тесты со 100% покрытием строк (line coverage), которые при этом не проверяют реальную логику и граничные условия: мутационный скор у такого сьюта часто близок к нулю. DeployProof решает эту проблему прямо перед коммитом или пушем в CI.

🧬 В чем отличие от Mutmut и Cosmic Ray?

🔘Классические мутационные фреймворки перезаписывают исходные файлы на диске и заново запускают тесты для каждого мутанта на всем проекте, что занимает минуты или часы.

🔘DeployProof компилирует все мутации в единое условное AST-дерево прямо в RAM (без дискового I/O) и анализирует только измененные файлы из текущего git diff. Проверка отрабатывает за пару секунд — буквально пока вы переключаете вкладку.

🔹Ключевые возможности:

🔘In-Memory AST Mutation: Мутирует операторы (>=, ==, and, or), константы, граничные значения строк, меняет аргументы местами и убирает await без перезаписи файлов на диске.

🔘Самоисцеление тестов (Self-Healing Tests): Флаг --heal-tests анализирует выживших мутантов и автоматически синтезирует готовые к запуску pytest-кейсы, закрывающие обнаруженные дыры в логике.

🔘Комплексные шлюзы безопасности (Security Gates):

🔘SAST: Проверка на инъекции, shell=True, небезопасную десериализацию (pickle, yaml.load) и обход путей.

🔘Поиск секретов: Анализ энтропии Шеннона в файлах и последних 50 коммитах Git (поиск API-ключей OpenAI, AWS, GitHub, Stripe).

🔘Защита от галлюцинаций ИИ: Проверяет установленные пакеты через PyPI API на предмет выдуманных нейросетью библиотек (slopsquatting) и сопоставляет с базой уязвимостей OSV (CVE).

🔘100% приватность: Код и результаты тестов не покидают вашу локальную машину (в сеть уходят только read-only запросы к PyPI и OSV).

💻Пример работы:

# Проверка изменений в git diff перед пушем
deployproof check

# Автоматическая генерация тестов под выжившие мутации
deployproof check --heal-tests

# Установка pre-push хука в один клик
deployproof init

📦Установка:

pip install deployproof
# или изолированно через pipx:
pipx install deployproof

#Python #DeployProof #MutationTesting #Testing #QA #Pytest #AICode #DevTools #OpenSource #AppSec #CICD

📱Ссылка на репозиторий:
https://github.com/SVSPraveen/deployproof