StriveBen

small white of cyber security

[0xor0ne @0xor0ne]

How to use LLMs for vulnerability research by @0xAsm0d3us

https://t.co/mwF0LBTaJx

#infosec #llm

[Burp Suite @Burp_Suite]

Welcome to Burp Extensibility Month!

#BurpExtensibility #BurpSuite #BApps

[Perplexity @perplexity_ai]

Today we're open-sourcing Bumblebee, a read-only scanner for macOS and Linux.

It checks developer machines for risky packages, extensions, and AI tool configs.

Connected to Computer, it can trigger deeper scans whenever a new supply-chain risk emerges.

https://t.co/FOaWnF1yQy

[StriveBen @striveben]

https://t.co/G3OnZNwbaZ

[StriveBen @striveben]

🚀 Claude 用户狂喜！Anthropic 黑客马拉松冠军直接甩出「Everything Claude Code」——38个专业子代理 + 156个技能 + 72个斜杠命令！

把 Claude Code 直接变成你的资深工程团队：
✅ 一键 TDD / 代码审查 / 安全扫描
✅ 自动持续学习，越用越聪明
✅ 生产级钩子 + 记忆持久化

[tiantian @wherecall1]

AI 换脸门槛降到零了

一个开源项目，只要一张照片，就能实时换脸做视频 deepfake

不需要训练，不需要技术，下载就能用

#AI #视频生成

87k star，这玩意传播速度比我想象的快

仓库地址:
https://t.co/2e5XKhYhz6

[TheOuts1derX @TheOuts1derX]

GitHub repos for bug bounty hunters:

1. https://t.co/tiVuKOZiMJ
2. https://t.co/rXVnH8A4M7
3. https://t.co/qsNefMh7ca
4. https://t.co/wBw9INq4C0
5. https://t.co/qQUxXtm6Wl
6. https://t.co/Uy8DYZmotk
7. https://t.co/uNJIJMb09G
8. https://t.co/mBG8g4kOAH
9. https://t.co/u3tvgRGI82
10. https://t.co/XPeD7l69tL
11. https://t.co/7rxOE4mn3H
12. https://t.co/vncIFEpoaH
13. https://t.co/azotc3cWAp
14. https://t.co/s0WXLdKYrz
15. https://t.co/KF4E9xKbPU
16. https://t.co/T25lwIcmO3
17. https://t.co/7zNTRGndJw
18. https://t.co/8vrqvBWsh3
19. https://t.co/HU8KTOelUK
20. https://t.co/kaE4hX3Qhl
21. https://t.co/UT8FZGxhzF
22. https://t.co/LEuw8peVII
23. https://t.co/aqaHFL34Hn
24. https://t.co/ss0soKwgVa
25. https://t.co/GZmT8SHGzI
26. https://t.co/JWJUNJoGxk
27. https://t.co/hne7nBtgHo
28. https://t.co/RKtjSar9Be
29. https://t.co/AFNt3oGGO0
30. https://t.co/TH6XbMrad8
31. https://t.co/kcSNdd4aMF

Drop the ones I'm missing or the ones you find most useful in your hunting workflow.

#BugBounty #BugBountyTips #WebSec

[Shino @ShinoLeah]

发了个新 release，整了个能用 eBPF 技术来动态调试的 mcp 工具，理论上可以给大模型一个轻量化的 不需要大战反调试的 动态分析的能力，欢迎试用喵⭐

https://t.co/W8NBe7A7eV

[Het Mehta @hetmehtaa]

JWT Security Resources

1. JWT Introduction - https://t.co/sJGKgtmoPE

2. JWT Attacks - https://t.co/vzsIM5a5OV

3. OWASP JWT Cheat Sheet - https://t.co/8R3ck6fP8t

4. JWT Vulnerabilities Guide - https://t.co/zxLVmIrXfV

5. JWT Best Practices - https://t.co/HlDetz2hdw

6. Exploiting JWT - https://t.co/OnlDJfphyJ

7. JWT Attacks Writeup - https://t.co/61urO2Ub5s

#CyberSecurity #JWT #WebSecurity #BugBounty

[OpenClaw🦞 @openclaw]

how to set up live Chrome sessions:

1️⃣ open chrome://inspect/#remote-debugging
2️⃣ toggle it on
3️⃣ that's it. your agent can now see your tabs, cookies, logins — everything

uses Chrome DevTools MCP under the hood, no extensions needed

📖 https://t.co/gPA1hswM8L
📖 https://t.co/cU8rK3aVN8

[芒果刀🥭 @ThirteenYizuka]

XIAOMI BootLoader Unlock Leak (XIAOMI 17 Series)

只需要您在MT管理器终端输入"su", 以及输入以下命令即可解锁小米设备的bl

adb shell service call miui.mqsas.IMQSNative 21 i32 1 s16 "dd" i32 1 s16 "if=/data/local/tmp/gbl of=/dev/block/by-name/efisp" s16 "/data/mqsas/log.txt" i32 60

[Cos(余弦)😶‍🌫️ @evilcos]

我基于过去差不多一个月和 OpenClaw 的安全对话、相关漏洞挖掘与验证、几百个已披露的有关漏洞的学习，我们 @SlowMist_Team 的历史安全实践经验，结合我自己的使用场景，输出了这个：

OpenClaw 极简安全实践指南（Root 权限 + 最大能力场景）

我的场景：OpenClaw 拥有目标机器的 Root 权限，会安装各种 Skills/MCP，追求能力最大化。

核心原则：不限制能力，只守住三道关卡——事前确认、事中拦截、事后巡检。

这个安全实践内部已经在使用验证了，舒服后再公开。因为如果不舒服，可能会带来安全与体验冲突的问题，严重的可能导致你的 OpenClaw 被束手束脚。当然，你其实也可以自己打造适合自己的，不管是一个 Skill 还是插件还是可能就我说这这句提示词：

“嘿，记住，执行一切风险命令之前，问我是不是我期望的。”

只要开心就好😌

[Enox @csenox1]

GitLab deserializes session data from Redis using Marshal.load without integrity verification. If an attacker can write to Redis, they can achieve RCE on the Gittlab instance.

- Tested on CE 18.8.4

https://t.co/0EDdPnpkkJ

[Viking @vikingmute]

昨天，网易有道悄悄开源了一个非常有意思的国产 AI Agent —— LobsterAI 。 体验完后最大的感慨：这简直就是带 GUI 的中国版 OpenClaw，但门槛被拉低到了普通人也能轻松把玩的程度。

现在的 AI 产品有两个痛点：要么纯云端（常遇延迟和断网），要么纯聊天（没法进行深度的交互和操作）。而 LobsterAI 是一个基于 Electron + React 的本地优先 Agent。你只需用自然语言聊天，它就能直接在本地电脑上操作你的文件系统和终端，
同时支持最全的主流国内外的聊天软件（飞书，钉钉，Telegram，Discord）去远程控制，比别的工具都丰富，内置 memory 长记忆，会记住你的偏好，跨 session 自动复用。

这是官网，可以试试：
https://t.co/aclHuGLTWo

结合我自己的需求，直接用它跑通了 3 个刚需场景：

1 每天手动刷 HackerNews 并且找有趣的内容比较浪费时间，我让它给我每天早上九点精选 HackerNews 上有趣的十篇文章进行摘要和翻译，生成 Word 文档，然后每天定时发送到我的指定邮箱，这样吃早餐的时候就可以浏览汇总的文章了。

2 简单简历一直在更新最新的简历范本，也是网站 SEO 很重要的一部分，之前需要脚本的方式，经常会出现问题，现在我让它按照每天一次按照热度生成不同的简历职位，然后生成这些职位的简历范本数据，用文件持久化进度，同时将简历数据直接插入到本地数据库中，在我确认之后直接推送到线上数据库。

3 我用手机钉钉上让它调研了一个出行计划并且保存在我本地的 Obsidian。它在家里电脑上自动：浏览器搜索攻略/比价 → 整理成表格 → 生成Obsidian笔记 → 同步给我手机。手机随时指挥电脑，真正的跨端私人助理。

远程控制做的比较好：支持飞书、钉钉、Telegram、Discord 远程操控，手机随时指挥电脑。 内置长记忆 (Memory)：能记住你的已有信息和偏好，跨 session 自动复用，越用越顺手。 定时任务 & 沙盒环境：支持每天定点执行（极其实用）；对数据敏感可以开启沙盒，防止 AI 暴走破坏本地数据。

多模型兼容：支持市面上所有主流 Provider，跑本地模型（比如 Ollama）也没问题；内置丰富的 Skills，做视频、幻灯片、写文档全包揽。

大年初三刚开源，整体体验下来完成度挺高，集齐了各种功能，本地化做得极其贴心。受够了纯聊天 AI、想让 AI 真正帮你操作电脑“干活”的，强烈建议体验一下。

#AI #LobsterAI #Agent #youdao #netease

[Geek @geekbb]

你的 WAF 到底行不行，测了才知道。WAF-Checker 是由 Mickael Asseline 开发的一款全能 WAF 测试平台和防火墙检测工具，评估 WAF 保护效果。

🔥 19+ 攻击类别：SQL 注入、XSS、SSRF、XXE、SSTI... 你能想到的 OWASP Top 10 全都有
🔥 344+ 载荷：从 GitHub 实时拉取，跟病毒库一样自动更新
🔥 15+WAF 指纹识别：Cloudflare、AWS WAF、Imperva、ModSecurity... 一扫就知道你在用啥

免费，开源，部署在 Cloudflare Worker 上。
https://t.co/J5XJUxQC5E

[Geek @geekbb]

新梯子？把流量伪装成一封电子邮件，走的是 SMTP 587 端口，正经得不能再正经。甚至还模仿了 Postfix 的握手协议，就问你怕不怕。

SMTP Tunnel Proxy 一个“高速隐蔽隧道”，将任意 TCP 流量伪装成普通的 SMTP（电子邮件）通信，从而欺骗防火墙放行流量。

https://t.co/JvjUZCbnDN

[Nicolas Krassas @Dinosn]

GitHub - yashab-cyber/HackGpt: HackGPT Enterprise is a production-ready, cloud-native AI-powered penetration testing platform designed for enterprise security teams. https://t.co/TUfb215Xpk

[周览资源 @grgerwcwetwet]

推荐一款 开源全能视频下载工具


Hitomi Downloader 是一款基于 yt-dlp(基于 youtube-dl)的在线视频下载工具，也继承了 1200+ 在线视频网站的解析支持，拥有简洁的图形界面，即开即用。甚至还支持 M3U8、BT 种子和磁力链接。
主要用来下片太好使了。

https://t.co/88XEqDRyKG

[娜美知识库 @fhwofjow51260]

GitHub 上有位开发者整理了 ChinaTextbook 项目，收录了国内小学、初中、高中到大学的教材合集。

全部为高清无水印 PDF，可直接免费下载，目的就是替代某宝上那些带水印的付费教材资源。

github:https://t.co/8PZRkc8qSa

[枪十七 @Juu17__]

陆陆续续花了几个星期的时间自己搭建了一套指纹浏览器：

▅ 不依赖任何第三方软件，只用纯净的Chrome实例
▅ 各个Chrome实例通过不同的用户数据目录实现目录
▅ 安装这个我自己写的这个浏览器插件进行🫆混淆，开源给大家自取

手搓才是最不怕被市面上的指纹浏览器盗密码的

https://t.co/GkSaltXEB9