Cybersecurity Threats Vulnerabilities Guide：把 18 类常见威胁做成可复用脚本库

导语把“DDoS 检测”“MITM 检测”“SQL 注入扫描”“勒索软件行为监控”这些常见话题写在一份仓库里再配上 45 个可直接跑的 Python 脚本和 Next.js 前端这就是 s4ntrx 的 Cybersecurity Threats Vulnerabilities Guide。它不是教你怎么攻击而是把每类威胁的“检测 防御”样板代码摆出来方便蓝队做基线、红队做内训。一、项目概览仓库地址https://github.com/s4ntrx/Cybersecurity-Threats-Guide作者s4ntrxX/Twitter DinosnLicenseMIT统计6 个一级分类、18 主题、45 Python 脚本、2 个 Shell 脚本、74 文件技术栈Python 3.8 主体脚本Next.js 14 Tailwind CSS 的前端 Web Appcybersec-app/配套接口Flask 后端api/index.py实现健康检查、工具列表、扫描接口这套仓库走的是“教学 工具”双轮路线每个威胁子目录下都有 README.md 讲原理detection/ 放检测脚本prevention/ 放防御代码。结构高度一致几乎不用适应期就能上手。二、六大分类速览仓库把威胁切成六个一级目录每个目录下的子主题基本遵循 README.md detection/ prevention/ 三段式。2.1 Network Security网络层覆盖 DDoS、MITM、端口扫描、DNS Spoofing、ARP Poisoning。脚本示例01-network-security/ddos-attacks/detection/ddos_detection.py按阈值统计入向流量速率超阈值即告警。01-network-security/man-in-the-middle/prevention/certificate_pinning.py演示证书钉扎的标准写法。01-network-security/port-scanning/prevention/stealth_mode.py展示端口混淆思路注意合规使用。2.2 Web Application SecurityWeb 层覆盖 SQL 注入、XSS、CSRF、会话劫持。脚本示例02-web-application-security/sql-injection/detection/sql_injection_scanner.py启发式匹配常见 SQLi Payload。02-web-application-security/xss-attacks/prevention/csp_headers.py自动生成 CSP 头模板。02-web-application-security/csrf/prevention/same_site_cookies.py演示 SameSite Cookie 配置。2.3 Malware Analysis恶意软件覆盖勒索软件、木马、Rootkit、键盘记录器。脚本示例03-malware-analysis/ransomware/detection/file_monitor.py基于文件系统事件实时监控高频改写行为。03-malware-analysis/ransomware/prevention/backup_system.py3-2-1 备份策略模板。03-malware-analysis/rootkits/prevention/secure_boot.py模拟 UEFI Secure Boot 配置检查。2.4 Social Engineering社工覆盖钓鱼、Pretexting、Baiting、Tailgating。脚本示例04-social-engineering/phishing/detection/email_analyzer.py邮件头字段异常打分。04-social-engineering/phishing/prevention/email_filters.py示例 DMARC/SPF/DKIM 校验规则。2.5 Cryptography密码学覆盖对称加密、非对称加密、哈希、密钥管理。脚本示例05-cryptography/encryption/symmetric/aes_example.pyAES-GCM 加密标准写法。05-cryptography/encryption/asymmetric/rsa_example.pyRSA-OAEP 使用示例。05-cryptography/hashing/password_hashing.py演示 Argon2 / bcrypt 推荐用法。2.6 Incident Response应急响应覆盖数字取证、隔离策略、恢复流程、事后分析。脚本示例06-incident-response/forensics/memory_analyzer.py基于 Volatility 思路的内存镜像扫描骨架。06-incident-response/containment/isolation_script.py自动把失陷主机从交换机隔离。06-incident-response/containment/backup_recovery.py备份校验与回滚脚本。三、关键脚本用法挑两个最常用的脚本示范看完就能上手。3.1 DDoS 检测脚本git clone https://github.com/s4ntrx/Cybersecurity-Threats-Guide.gitcd Cybersecurity-Threats-Guide/01-network-security/ddos-attacks/detectionpython3 ddos_detection.py --interface eth0 --threshold 1000脚本会持续抓取网卡流量按秒统计入向包速率。阈值默认 1000 pps超过就在终端报警并把异常时间段写入日志。生产环境建议结合 Snort/Suricata 做二次确认。3.2 SQL 注入扫描脚本cd 02-web-application-security/sql-injection/detectionpython3 sql_injection_scanner.py --url https://target.example.com/login --param username脚本内置常见 SQLi Payload 字典’ OR 11 --、UNION SELECT NULL,NULL,…、SLEEP(5)对单参数做盲注/报错注入探测。扫描结果按漏洞等级排序输出。注意仅在取得书面授权的目标上跑。四、Next.js Web App 二次开发仓库自带一个独立 Web 前端cybersec-app/用 Next.js 14 App Router Tailwind CSS 写的字体走 JetBrains Mono Bebas Neue Orbitron部署目标是 Vercel。技术栈Next.js 14静态导出next.config.js 配 output: ‘export’Tailwind CSS工具类样式Google FontsJetBrains Mono / Bebas Neue / OrbitronVercel 部署vercel.json 一键导入即可启动方式cd cybersec-appnpm installnpm run dev # 本地 http://localhost:3000npm run build # 静态产物到 out/如果想把仓库改成公司内训平台只要改 cybersec-app/lib/data.js 里的威胁条目数据就行前端结构不用动。五、Flask API 接口api/index.py 是 Vercel 兼容的 Flask 简易后端GET /api/health健康检查GET /api/tools返回网络/Web 两类检测工具清单POST /api/scan同步执行扫描Vercel 9 秒超时限制单次任务要控制在 9 秒内调用示例curl -X POST https://your-app.vercel.app/api/scan-H ‘Content-Type: application/json’-d ‘{“tool_id”:“ddos”,“parameters”:{“interface”:“eth0”,“threshold”:1500}}’注意作者已经写了 Vercel 9s 限制的注释所以脚本本身有意做成分批短跑不是长驻进程。六、红队实战建议6.1 用作内训教材仓库每个子目录的 README 都是一篇微型教学文档按“原理 → 检测 → 防御”三段式写直接拿来当公司安全意识培训讲义非常合适。6.2 借检测脚本当 PoC 起点蓝队想验证自家 EDR/IPS 是否能抓到勒索软件行为可以直接拿 ransomware_behavior.py 跑一遍当回放脚本看告警链路是否完整。6.3 二次改造为内部平台借 cybersec-app 的前端骨架把 lib/data.js 里的威胁条目替换成公司自家业务相关的攻击场景比如“供应链投毒”“SaaS 凭据泄漏”“AI 模型越狱”10 分钟就能搭一个内部威胁门户。6.4 局限性脚本大多是教学示例生产环境需要补异常处理、日志审计、签名校验部分检测脚本基于字符串匹配误报率高仅适合做“触发器”MIT 协议允许商用但请保留原作者署名七、思考题如果把 02-web-application-security 的检测脚本接到自家 SIEM需要补哪些字段才能让告警具备溯源能力03-malware-analysis 的检测脚本如果跑在 EDR 受控主机上会不会被 EDR 自身拦掉怎么设计规避06-incident-response/containment/isolation_script.py 是通过交换机 ACL 隔离还是通过防火墙 VLAN 隔离哪种更适合云上 VM素材出处仓库https://github.com/s4ntrx/Cybersecurity-Threats-Guide