三季度最新开源黑客工具清单

三季度涌现了一批优秀的开源黑客工具，对于 DevOps 或安全团队来说也是不可错过的天赐之物，这些工具能够简化工作流程，通过自动化解决人为错误，并发现其他难以发现的缺陷。

以下是我们对 2021 年第三季度可供渗透测试人员、安全团队和 DevOps 人员使用的最新黑客工具的汇总：

VSCode 与 Miter ATT&CK 框架集成简化了代码编辑工作

VSCode-ATT&CK 是一个插件，安全分析师和研究人员可以通过它与 Miter ATT&CK 框架进行交互，而无需离开他们的 Visual Studio Code (VSCode) 环境。

该工具由托管检测和响应供应商 Red Canary 开发和开源，微软流行代码编辑器的扩展与 Miter ATT&CK 框架集成，并提供集成的 ATT&CK 技术搜索命令等功能。

该工具还可帮助安全团队“在 VSCode 内保持专注，而无需离开应用程序并通过浏览器访问有关 ATT&CK 的信息”。

Jenkins Attack Framework 帮助红队强化CI/CD环境中的“软目标”

Jenkins Attack Framework (JAF) 帮助渗透测试人员和红队人员发现流行的自动化服务器可能被滥用的方式。

该工具由埃森哲发布，自动化并简化了许多常见的和一些不太常见的 Jenkins 攻击技术。
Jenkins 是一个开源CI/CD 管道，通常存储强大的凭据和专有代码，但没有默认安全配置，经常使其成为“软目标”，前埃森哲的 JAF 开发人员谢尔比斯宾塞介绍道。

Deadshot ：在将代码上传到 GitHub 时显示常见 DevOps 错误

通信技术公司 Twilio 的安全专家推出了一款免费工具，当开发人员在代码上传到存储库之前无意中在代码中包含敏感信息时，该工具会发出警告。
Deadshot 监视器 GitHub实时拉取请求并标记代码中出现的潜在敏感数据，以及“对敏感功能的更改”。
这是一个“部署后忘记”的工具，它在每次提交中运行，并且应该在任何数据离开组织之前提醒项目所有者——这是一个极为有价值的功能，因为大多数泄漏的秘密来自“毫无戒心的开发人员，他们在不知不觉中滥用了GitHub”。

DIY 恶意 USB 电缆，只需 30 美元

根据德国网络安全公司 r-tec 的信息安全顾问 Daniel Scheidt的博客文章，黑客——无论是道德的还是不道德的——都可以大约 30 美元的价格制作他们自己的键盘注入攻击 USB 电缆。
Scheidt将 UNIFY 接收器植入到一条看起来很“清白”的 USB 电缆中——顺便说一下，它仍然可以为你的手机充电——以注入击键。

可以规避俄罗斯勒索软件攻击的西里尔文模拟键盘

Unit221B 创始人 Lance James 发布了一个 Windows 批处理脚本，以帮助组织欺骗俄罗斯勒索软件，以为它们位于俄语地区，从而避免受到攻击。
这段简短的、可点击的脚本在 Windows 注册表项中添加了俄语键盘参数，使 Windows PC 看起来安装了俄语键盘，从而避免了从 Microsoft 下载相关脚本库的需要。
如果检测到俄语或乌克兰语键盘，大多数勒索软件类型将无法安装，这是因为与俄罗斯有关联的网络犯罪团伙会避免对本土目标的攻击，从而不引起俄罗斯执法部门不必要的关注。