工具推荐 | 从流量包匹配敏感信息的渗透神器

YouChenJun
YouChenJun

星落安全团队

2026年6月2日 00:00
黑龙江

在小说阅读器读本章

去阅读

点击上方蓝字关注我们

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！

工具介绍

从流量包匹配敏感信息的工具-可用作bp、浏览器的下游代理。0感知、无卡顿，支持https。

一直在使用一些工具插件，来检测流量中的ak、sk、sfz、敏感信息，但是网上的很多工具并不符合自己的习惯...运行起来会影响抓包、测试、卡顿等....

遂自己写了一个关于http/https流量中检测工具，可以设置为burp、yakit、爬虫等工具的下游代理，在测试结束后查看流量中的敏感信息

工具优势：

• 在检测敏感信息并且存储中会对uri进行判断，避免同一个uri多次访问而产生多条信息的存在
• 占用内存较少，不会对burp等上游工具造成卡顿影响
• 可以接入爬虫、bp等，对流量中的信息进行匹配检测
• 目前只对Content-Type为text/html、application/json、application/javascript的类型流量进行劫持，大文件、图片信息等不进行劫持。加快检测速度！
• 检测规则依赖于原生wihWIH 调用 - ARL 资产灯塔系统安装和使用文档 (tophanttechnology.github.io)，目前支持规则的启停、支持用户自定义增加规则。
• exclude\_rules-规则排除检测正在开发中.....

安装说明

运行程序后会在当前路径下生成证书、配置文件、数据库文件

请先安装证书文件-选择受信任根证书颁发机构

扫描匹配规则来自于WIH，若部分场景、case无检测到，可以自主根据规则添加、调优，方便的师傅可以提一个issue。

如果需要使用消息提醒功能，请在rule.yaml中加入lark_Webhook的在群组中使用机器人（暂时只支持飞书消息提醒）

使用教程

运行后会显示默认的端口信息，以及飞书webhook地址。如果需要自定义端口可以看后面的编译说明

可以将127.0.0.1:9080地址设置成BurpSuite、浏览器、爬虫的下游代理地址，具体操作如下

 当在流量中的信息匹配到规则的时候，将会在控制台输出，同时也会写入本地db文件。若配置了webhook将会发送消息提醒

在对站点渗透测试结束，可以打开数据库连接工具（navicat）等打开db文件，查看检测到的敏感信息详情。

消息提醒效果如下

关于规则，前面列举的内置规则此工具暂时还不支持，在接下来的版本会做优化和适配。

工具支持规则开关，若某个规则产生大量误报可以在enable字段进行关闭。

相关地址

*关注微信公众号后台回复“入群”，即可进入星落安全交流群！*

关注微信公众号后台回复“20260602”，即可获取项目下载地址！

圈子介绍

博主介绍：

目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。

目前已经更新的免杀内容：

• 部分免杀项目源代码
• 星落安全内部免杀工具箱1.0

• CobaltStrike4.9.1星落专版1.9

• 一键击溃windows defender

• 一键击溃火绒进程
• CobaltStrike免杀加载器
• 数据库直连工具免杀版
• aspx文件自动上线cobaltbrike
• jsp文件自动上线cobaltbrike
• 哥斯拉免杀工具 XlByPassGodzilla
• 冰蝎免杀工具 XlByPassBehinder
• 冰蝎星落专版 xlbehinder
• 正向代理工具 xleoreg
• 反向代理工具xlfrc

• 内网扫描工具 xlscan

• Todesk/向日葵密码读取工具

• 导出lsass内存工具 xlrls
• 绕过WAF免杀工具 ByPassWAF
• 等等...

目前星球已满1000人，价格由208元调整为218元(交个朋友啦)，1100名以后涨价至268元。

往期推荐

1.加量不加价 | 星落免杀第二期，助你打造专属免杀武器库

2.【干货】你不得不学习的内网渗透手法

3.【免杀】CobaltStrike4.9.1二开 | 自破解 免杀 修复BUG

4.【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike