一款想替代并超越burpsuite的网络安全单兵工具-德赢Vwin官网网

项目地址：https://github.com/yaklang/yakit 官网安装及使用教程：https://www.yaklang.io/docs/startup

1. YAK语言简介

一群拥有丰富网络安全从业经验的工程师，对现有的通用编程语言感到不满——他们想要的是一个开源的语言，它要具备Golang的高并发执行能力；要像Python一样语法简单；要是个脚本语言，这样可以快速分发给同伴；要可以一次编写直接执行，而不要安装第三方库；要原生具备网络安全专用能力，如端口探测、SYN无状态扫描、Nmap的服务指纹，并以函数形式扩展提供；还有，它应该是图灵完备的，易于学习的…… 所以，Yak 语言诞生了！ YAK是国际上首个为网络安全而生的“领域特定语言（Domain Specific Language）”，提供了非常强大的安全能力。Yak是绝大部分 “数据描述语言/容器语言” 的超集，宿主语言采用Golang，具备Go语言所有能力与库生态，具备自己的VSCode插件等。Yak语法可自定义，是一门图灵完备的脚本语言，完全国产。通过函数提供各类底层安全能力，包括端口扫描、指纹识别、poc框架、shell管理、MITM劫持、强大的插件系统等。

2. YAKIT单兵工具简介

Yakit是基于Yak语言开发的网络安全单兵工具，旨在打造一个覆盖渗透测试全流程的网络安全工具库。受限于Yak使用形式，用户必须学习 Yak 语言并同时具备对安全的一定理解。为了让 Yak 本身的安全能力更容易被大家接受和使用，我们为Yak编写了gRPC服务器，并使用这个服务器构建了一个客户端：Yakit，通过界面化GUI的形式，降低大家使用Yak的门槛。

2.1 Burpsuite 的年轻中国挑战者

Burpsuite几乎成为全球WEB安全从业者必装的安全测试工具，然而十余年来尚无一个可替代的解决方案。破解版被投毒风险高、商业版太贵、插件难写、依赖java等等问题逐渐显露。我们团队基于yak顺手实现了BurpSuite的核心功能，期望给所有的从业者一个新的选择。完全替代并不是我们终极目标，替代并超越，切实降低门槛，提升从业者工作效率，才是我们的追求。当前，我们已经实现了BurpSuite常用的功能，包括拦截并修改请求/返回报文、history模块、repeater模块、intruder模块，并且在我们的fuzz模块中创新性的实现了GUI标签fuzz，具备更好的可扩展性。

HTTP History：

WEB Fuzzer:

被动漏洞检测系统：

2.2 Poc/Exp超集

在实战安全测试过程中，我们经常面临一个需求，即已知对方使用了weblogic/struts2等，需要一键检测是否存在指定漏洞，然而这么简单的需求我们当下却要打开各种专用工具不停切换，甚至为了安装某个工具而不得不切换Windows/Linux，或者安装一堆复杂的依赖。在yakit上，我们将致力于提供一站式的解决方案，您只需要输入目标，点击开始检测按钮，即可快速得到结果。

为了快速提升poc的检测能力，我们在yak语言中原生集成了nuclei(MIT协议)，当然，在插件模块中，你可以基于yak/yaml编写各种你想要的检测能力，并将插件快速展示到左侧菜单栏中。快来跟我们一起完善Yakit插件吧

2.3 ”地表最强“的插件系统

作为一个单兵工具平台，自然离不开可快速扩展的插件系统。理论上一个带界面的插件，编写者需要对前端、后台都比较熟悉，这增大了开发者的进入门槛。与其他平台不同的是，我们在设计时，插件核心代码全部用yak实现，并且可以通过yakit库实现与界面的交互，除此之外，为了配得上”地表最强“，您还可以参考以下文章的描述：插件设计思路插件编写指南

2.4 Teamserver设计

由于 Yak 核心引擎与 Yakit 的分离式安装，Yakit 仅仅作为一个客户端而存在，Yakit 的使用理所当然就应该存在两种模式。

本地模式：默认启动一个随机端口的yak grpc服务器

远程模式：

yak grpc

可以启动在任何平台 / 任何网络位置，包括

远端托管主机 ECS/VPS

本地个人 PC

内网环境

除此以外，我们还创新性的加入了brige模式，可方便的将内网通过反弹模式映射到公网，在这种模式下，我们不在需要安装frp之类的端口转发工具，而是在一个GUI界面下，执行内网横向移动操作，极大的提升了测试效率。

2.5 原生的JAVA反序列化能力支持

在当下环境，我们要检测java反序列化漏洞，在生成payload阶段，我们通常需要借助ysoserial，然而这种解决方案不仅需要安装java环境，还甚至需要安装指定版本的java才行。而yakit则使用yak原生实现了java反序列化协议的支持，如此一来，我们即可方便的通过编写yak脚本快速对目标进行测试。

声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表德赢Vwin官网网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。举报投诉

服务器

服务器

+关注

关注
12

文章
9123

浏览量
85320
网络安全

网络安全

+关注

关注
10

文章
3155

浏览量
59698
工具

工具

+关注

关注
4

文章
311

浏览量
27770

原文标题：一款想替代并超越burpsuite的网络安全单兵工具

文章出处：【微信号：释然IT杂谈，微信公众号：释然IT杂谈】欢迎添加关注！文章转载请注明出处。

专家呼吁：网络安全建设亟需开放与合作

召开的主题为“对话?合作?联动――共筑网络安全”的2010中国计算机网络安全年会上，来自国家互联网应急中心的云晓春在分析国内严峻的网络安全课题时表示。因此，计算机网络安全专家

发表于 09-29 00:04

网络安全隐患的分析

的过程和方法。新的安全问题的出现需要新的安全技术和手段来解决，因此，安全是一个动态的、不断完善的过程。　　企业网络安全可以从以下几个方面来分

发表于 10-25 10:21

如何利用FPGA开发高性能网络安全处理平台？

通过FPGA来构建一个低成本、高性能、开放架构的数据平面引擎可以为网络安全设备提供性能提高的动力。随着互联网技术的飞速发展，性能成为制约网络处理的一大瓶颈问题。FPGA作为

发表于 08-12 08:13

2020 年网络安全的四大变化

安全技术领域前所未有的变化。这些变化已经开始发生，但会在 2020 年及以后更加明显。网络安全已成为一门业务关键、极具动态性、高度可扩展和专业化学科，但我们仍然会使用辅助工具、手工流程

发表于 02-07 14:33

如何扩展工业控制系统的网络安全终端

理解工业控制系统的网络安全工业4.0正在改变工业控制系统的网络安全扩展工业控制系统的网络安全终端

发表于 01-27 07:09

实现网络安全工业4.0的三个步骤

工业4.0愿望和网络安全含义实现网络安全工业4.0的三个步骤通过硬件安全性实现互联工厂

发表于 02-19 06:50

什么是蓝牙mesh网络安全性

蓝牙mesh网络安全性的基本概念

发表于 02-25 08:22

网络安全类学习资源相关资料推荐

目录分类媒体社区类安全公司类应急响应类安全团队类高校社团类CTF类个人类web安全类网络运维类安全研发类二进制

发表于 07-01 13:44

Microchip：车用32位单片机+功能安全和网络安全保护

领先的嵌入式控制解决方案提供商Microchip最近推出了业界首款基于Arm Cortex-M0+内核的32位单片机PIC32CM JH，具备功能安全、网络安全保护并支持AUTOSAR

发表于 11-10 13:52

在网络安全领域，NIST框架是什么？

在网络安全领域，NIST 框架是什么？

发表于 04-17 07:56

最先进昂贵的网络安全工具就是最可靠的吗

如果企业购买了最先进、最昂贵的网络安全工具和服务，就能在安全赛道上甩掉同行？这种想法我们不妨称之为企业网络安全的“法拉利陷阱”。

发表于 04-21 10:32 •895次阅读

9个网络安全专家最常用的软件工具

Nmap 用于端口扫描，网络安全专家攻击的阶段之一，是有史以来最好的网络安全专家工具。它主要是一个命令行

发表于 10-18 09:42 •1370次阅读

网络安全应急响应单兵工具

在应对安全事件上机排查时，对于没有此方面经验但是有研判能力的安全专家来讲，经常苦于需要参考各种安全手册进行痕迹采集、整理、研判，此时我们可以使用FireKylin-Agent进行一键痕

发表于 11-04 10:20 •961次阅读

20款经济高效的开源网络安全工具推荐

Zeek的前身为Bro，是一款性能良好的开源网络安全监控工具，可以实时分析网络流量，帮助用户监测网络活动、

发表于 04-21 11:48 •2453次阅读

网络安全测试工具有哪些类型

可以分为以下几大类型：漏洞扫描器漏洞扫描器是一类常见的网络安全测试工具，用于检测系统、网络和应用程序中存在的各种漏洞和安全风险。这些

发表于 12-25 15:00 •1279次阅读

搜索历史

一款想替代并超越burpsuite的网络安全单兵工具

评论