一、5 大开源安全工具总览 工具 领域 星标数 部署难度 一句话描述 SecGuide 安全编码 12k+ ⭐ 大厂出品，6语言安全编码规范 Vulhub 漏洞验证 15k+ ⭐ 328个Docker化漏洞靶场 Lynis 系统审计 13k+ ⭐ 448项Linux安全检查 PSC 个人安全 5k+ ⭐ 200+条个人数字安全建议 PhoneInfoga OSINT情报 13k+ ⭐⭐ 手机号开源情报收集
二、SecGuide — 安全编码规范 工具简介 项目 内容 来源 腾讯安全团队 覆盖语言 Java、Python、Go、JavaScript/Node.js、C/C++ 规则数 200+ 条 等级体系 【必须】+ 【建议】 许可 CC BY 4.0
核心价值 API 级别 的安全风险梳理（不是泛泛而谈）每条规则都有❌错误/✅正确 代码对比 可直接作为代码审查 CheckList 可编写自动化扫描规则 部署教程 # 克隆仓库 git clone https://github.com/Tencent/secguide.git# 查看指南 cd secguidels # C,C++安全指南.md Go安全指南.md Java安全指南.md # JavaScript安全指南.md Python安全指南.md README.md # 集成到 VS Code — 将规则配置为实时检查 code --install-extension sonarsource.sonarlint-vscode适用场景 角色 用法 开发者 编码参考，避免安全陷阱 安全工程师 Code Review 检查清单 DevSecOps 编写 SAST 扫描策略的输入 培训讲师 安全编码培训教材
三、Vulhub — 漏洞验证靶场 工具简介 项目 内容 漏洞场景 328 个 覆盖组件 110+ 漏洞类型 19 种 部署方式 Docker Compose 一键启动 许可 MIT
核心价值 零基础可用 ：docker compose up -d即可启动完整复现步骤 ：每个环境都有详细 README覆盖面广 ：从 Log4j 到 Fastjson，从 Shiro 到 WebLogic持续更新 ：紧跟最新 CVE部署教程 # 1. 安装 Docker curl -fsSL https://get.docker.com| sh systemctlenable docker && systemctl startdocker # 2. 安装 Docker Compose pipinstall docker-compose # 3. 克隆仓库 git clone https://github.com/vulhub/vulhub.gitcd vulhub# 4. 启动漏洞环境（以 Log4j 为例） cd log4j/CVE-2021-44228docker compose up-d # 5. 访问环境 curl http://your-ip:8983# 6. 使用完毕后清理 docker compose down-v 热门漏洞环境 TOP 10 排名 漏洞 类型 热度 1 Log4j2 CVE-2021-44228 RCE ★★★★★ 2 Fastjson 1.2.24 反序列化 ★★★★★ 3 Shiro CVE-2016-4437 反序列化 ★★★★★ 4 WebLogic CVE-2020-14882 认证绕过+RCE ★★★★ 5 Struts2 S2-045 RCE ★★★★ 6 Redis 未授权访问 RCE ★★★★ 7 ElasticSearch CVE-2014-3120 RCE ★★★ 8 Django SQL注入 SQL注入 ★★★ 9 Drupal CVE-2018-7600 RCE ★★★ 10 Confluence OGNL注入 RCE ★★★
四、Lynis — 系统安全审计 工具简介 项目 内容 版本 3.1.6 检查项 448+ 项 审计领域 39 个 合规标准 ISO27001 / PCI-DSS / HIPAA 许可 GPLv3
核心价值 一条命令 完成 448 项安全检查硬化指数 量化安全水平（0-100）合规对照 直接映射等保/ISO/PCI持续监控 支持 cron 定时执行部署教程 # 方式一：包管理器安装 apt install lynis# Debian/Ubuntu yuminstall lynis# RHEL/CentOS # 方式二：Git 克隆 git clone https://github.com/CISOfy/lynis.gitcd lynis# 执行审计 sudo ./lynis audit system--quick # 查看硬化指数 grep "hardening_index" /var/log/lynis-report.dat# 设置定时审计 sudo lynis generate systemd-units systemctlenable lynis.timer审计结果示例 [+] Hardening index : 62 [############ ] [+] Tests performed : 448 [+] Plugins enabled : 2 Warnings (3): - Firewalls: No active firewall [FIRE-4590] - SSH: Root login permitted [SSH-7408] - Packages: Vulnerable packages found [PKGS-7390] Suggestions (47): - Configure a firewall package [FIRE-4590] - Set default umask to 027 [AUTH-9328] - Disable unnecessary services [INSE-8000] ...五、Personal Security Checklist — 个人安全清单 工具简介 项目 内容 安全领域 12 大类 安全建议 200+ 条 优先级体系 Essential / Optional / Advanced 配套资源 Awesome-Privacy 软件库 许可 CC BY 4.0
12 大安全领域 领域 Essential 建议数 核心关注点 认证 3 密码管理器 + 2FA 浏览 3 隐私浏览器 + 广告拦截 邮件 2 加密邮箱 + 别名 通讯 2 端到端加密 社交 2 隐私设置 + EXIF清理 网络 3 VPN + DNS-over-HTTPS 手机 6 加密 + 权限 + SIM PIN 电脑 3 全盘加密 + 防火墙 智能家居 2 IoT隔离 + 固件更新 金融 2 信用冻结 + 虚拟卡 人为因素 3 防钓鱼 + 社工防御 物理安全 5 文档销毁 + 反监控
部署教程 # 克隆仓库 git clone https://github.com/Lissy93/personal-security-checklist.git# 在线访问 # https://digital-defense.io/ # 查看精简版 cd personal-security-checklist/articlescat 2_TLDR_Short_List.md六、PhoneInfoga — OSINT 情报收集 工具简介 项目 内容 扫描器数 5 个 接口方式 CLI + Web UI + REST API 部署方式 Docker / 二进制 / Homebrew 插件系统 Go Plugin 可扩展 许可 GPLv3
五大扫描器 扫描器 功能 需要 API Local 离线号码解析 ❌ Numverify 运营商/线路类型 ✅ GoogleSearch Dork 搜索链接生成 ❌ GoogleCSE 自动化搜索 ✅ OVH VoIP 号码检测 ❌
部署教程 # Docker 一键部署 docker run--rm -it -p 5000 :5000\ -e NUMVERIFY_API_KEY = your-key\ sundowndev/phoneinfoga:latest serve# 访问 Web UI # http://localhost:5000 # CLI 扫描 docker run--rm -it sundowndev/phoneinfoga:latest\ scan-n "+14155552671" # REST API 调用 curl -X POST http://localhost:5000/api/v2/numbers\ -H "Content-Type: application/json" \ -d '{"number": "+14155552671"}' 七、一键部署全家桶 Docker Compose 全家桶 # security-toolbox.yml version : '3.8' services : # Vulhub（按需启动单个环境） # 使用: cd vulhub/xxx && docker compose up -d # Lynis（主机直接安装） # 使用: sudo lynis audit system # PhoneInfoga phoneinfoga : image : sundowndev/phoneinfoga: latestports : [ "5000:5000" ] command : serveenvironment : - GIN_MODE=release# Kibana（结果可视化） kibana : image : kibana: 8.10.0ports : [ "5601:5601" ] environment : - ELASTICSEARCH_HOSTS=http: //elasticsearch: 9200 elasticsearch : image : elasticsearch: 8.10.0environment : - discovery.type=single- node- xpack.security.enabled=falsevolumes : - es_data: /usr/share/elasticsearch/datavolumes : es_data : # 启动全家桶 docker compose-f security-toolbox.yml up-d # 状态检查 docker compose-f security-toolbox.ymlps 八、工具选型决策树 你的需求是什么？ │ ├─ 编码阶段避免漏洞 → SecGuide ├─ 测试阶段验证漏洞 → Vulhub ├─ 运维阶段审计加固 → Lynis ├─ 个人数字安全防护 → PSC ├─ OSINT情报收集 → PhoneInfoga │ └─ 全流程安全体系 → 五个一起用场景 推荐工具组合 开发团队安全培训 SecGuide + Vulhub 企业安全基线检查 Lynis + SecGuide 渗透测试 Vulhub + PhoneInfoga 个人隐私保护 PSC DevSecOps 流水线 SecGuide + Lynis 全栈安全 五个全上
九、总结 5 个开源工具，覆盖安全生命周期全阶段：
阶段 工具 投入 产出 编码 SecGuide 0元 安全代码 测试 Vulhub 0元 漏洞验证 运维 Lynis 0元 安全基线 个人 PSC 0元 安全习惯 OSINT PhoneInfoga 0元 情报收集
全部开源，零成本起步，今天就行动！
三连支持，关注后续更多安全工具深度教程！
标签 ：#网络安全工具 #开源安全 #Vulhub #Lynis #SecGuide
