Cve 2025 55182 Tools

🔍 Shellockolm

用于AI代理的CLI和MCP安全扫描程序

扫描React、Next.js和npm项目的CVE、恶意软件和供应链攻击的安全侦探

Shellockolm - Your Security Detective

🤖 专为AI助手打造 | ⚡ 闪电般快速 | 🔒 追踪32个CVE | 🎯 100%离线

⚡ 60秒内安装并运行

🪟 视窗

iex (irm https://raw.githubusercontent.com/hlsitechio/shellockolm/main/scripts/install.ps1)

或者： 下载ZIP → 双击 scripts/setup.bat

______________________________________________________________________

🐧 Ubuntu/Debian/Mint

curl -fsSL https://raw.githubusercontent.com/hlsitechio/shellockolm/main/scripts/install-debian.sh | bash

______________________________________________________________________

🏔️ 拱门/曼加洛

curl -fsSL https://raw.githubusercontent.com/hlsitechio/shellockolm/main/scripts/install-arch.sh | bash

______________________________________________________________________

🍎 macOS

curl -fsSL https://raw.githubusercontent.com/hlsitechio/shellockolm/main/scripts/install.sh | bash

______________________________________________________________________

然后运行： python src/cli.py scan . → ✅ 即时安全审计

🤖 想要AI集成？ python src/configure_mcp.py → 在Claude/Copilot中使用Shellockolm！

📖 完整安装指南 | 🚀 快速开始 | ⚡ 快速安装参考 | 🤖 MCP设置

✅ 检测到32个CVE | ✅ 发现恶意软件和秘密 | ✅ 使用备份自动修复 | ✅ 100%离线

     

它发现了什么 • 现场演示 • 人工智能集成 • 所有功能 • 完整文档

______________________________________________________________________

🚨 为什么存在

我扫描了15个React应用程序。每个人都很脆弱。

💀 我发现了什么（2分钟内）：

• 🔴 远程代码执行 → React服务器组件CVE-2025-55182
• 🔴 中间件旁路 → Next.js身份验证已损坏
• ☠️ 恶意软件 → 隐藏在我信任的npm包中
• 🔑 暴露的API密钥 → 坐着 .env 文件，推送到Git
• 🦠 供应链攻击 → 依赖关系受到损害

⏱️ 手动审核=3天。此工具=2分钟。

如果你在不扫描的情况下将React/Next.js交付到生产环境，那么你就是在用用户的数据玩俄罗斯轮盘赌。

______________________________________________________________________

🎯 它发现了什么

🔴 关键CVE

• React服务器组件RCE （CVSS 10.0）
• Next.js中间件旁路 （CVSS 9.1）
• n8n未经身份验证的RCE （CVSS 10.0）
• Node.js运行时漏洞
• npm包漏洞 （mysql2、jsonpath plus等）

🦠 威胁与秘密

• 恶意软件检测 （混淆、加密矿工、后门）
• 供应链攻击 （Shai Hulud蠕虫，拼写错误）
• 秘密曝光 （API密钥、AWS证书、令牌）
• AI网关泄漏 （Clawdbot/Moltbot证书搭载）

追踪32个独特的CVE 跨React、Next.js、Node.js、npm、n8n和供应链攻击。

______________________________________________________________________

🎬 在行动中看到它

交互式 Shell

┌─────────────────────────────────────────────────────────────┐
│  Shellockolm - Security Detective v1.0                      │
├─────────────────────────────────────────────────────────────┤
│  1   Full Scan           → All 7 scanners, 32 CVEs          │
│  2   React Scanner       → Server Components RCE            │
│  3   Next.js Scanner     → Middleware bypass                │
│  17  Deep Malware Scan   → RCE payloads, cryptominers       │
│  23  Scan for Secrets    → 50+ patterns, high entropy       │
│  X   QuickFix            → Auto-patch all vulnerabilities   │
└─────────────────────────────────────────────────────────────┘

CLI单线

# Full security audit
python src/cli.py scan .

# Scan before installing npm package
python src/cli.py scan --scanner npm ./suspicious-package

# Export to JSON for CI/CD
python src/cli.py scan . -o security-report.json

# Live probe a URL for exploits
python src/cli.py live https://target.com

# Hunt for a specific CVE
python src/cli.py info CVE-2025-55182

______________________________________________________________________

💡 为什么是Shellockolm？

______________________________________________________________________

🛠️ 完整功能

📊 7 Specialized Scanners

总共：跟踪了32个唯一的CVE

🦠 Advanced Malware Detection

• 模糊检测 -十六进制、base64、eval链
• 加密货币矿工 -门罗币、比特币挖矿脚本
• 后门 -反向炮弹，指令注入
• 数据渗漏 -可疑的HTTP请求
• 域名抢注 -模仿流行库的软件包
• 100+检测模式 针对JavaScript/Node.js进行了手工调优

🔐 Secrets Scanner

在代码、配置和环境文件中查找泄漏的凭据：

• AWS访问密钥和密钥
• GitHub个人访问令牌
• Slack Bot令牌和Webhooks
• 条纹API密钥
• 私钥（RSA、SSH、PGP）
• 数据库连接字符串
• OAuth令牌和刷新令牌
• 50+图案 +高熵字符串检测

⚡ Auto-Fix & Remediation

• 一个命令修补 -自动升级易受攻击的软件包
• 自动备份 -更改前带时间戳的快照
• 干运行模式 -预览更改而不应用
• 回滚支持 -如果出现问题，请从备份还原
• 修复向导 -逐步指导补救

🔄 CI/CD Integration

# GitHub Actions
- name: Security Scan
  run: |
    pip install -r requirements.txt
    python src/cli.py scan . -o results.json

• SARIF出口 用于GitHub代码扫描
• JSON报告 用于自动化处理
• 退出代码 用于在关键点上构建失败
• 观看模式 用于持续监测

📋 60+ Interactive Commands

扫描：全扫描、React、Next.js、npm、Node.js、n8n、供应链、自定义\ 恶意软件：深度扫描、隔离、包删除、代码清理\ 秘密：扫描所有文件，.env定位，高熵检测\ 实时探测：测试URL是否存在可利用的漏洞\ CVE情报：列出CVE，按严重程度过滤，漏洞赏金目标\ 报告：JSON、SARIF、Markdown、安全评分（A-F）\ 自动修正：修补漏洞、预览更改、回滚\ 依赖项：锁文件分析、重复检测、拼写错误\ 软件物料清单：生成CycloneDX或SPDX物料清单\ 还有更多：忽略规则、GitHub咨询查询、依赖树

查看完整的命令参考→

______________________________________________________________________

📖 常见用例

🔍 审核你的React/Next.js应用程序

python src/cli.py scan ~/my-nextjs-app --scanner nextjs

🛡️ 安装npm前检查

# Sandbox install + scan in temp directory
python src/cli.py shell
> 1b  # Pre-Download Check
> suspicious-package-name

🚨 寻找特定的CVE

python src/cli.py shell
> 1d  # CVE Hunter
> CVE-2025-29927
> /path/to/project

🤖 实时探测漏洞

python src/cli.py live https://target.com --scanner n8n

📊 生成安全报告

python src/cli.py scan . -o report.json
python src/cli.py shell
> 37  # Export SARIF for GitHub Code Scanning

______________________________________________________________________

🎓 为什么Python是JavaScript安全工具？

Shellockolm从外部扫描JavaScript项目 --它不会执行你的代码，而是检查它。

• ✅ 与目标无冲突 -没有共享依赖关系，没有 node_modules 污染
• ✅ 扫描仪无供应链风险 -零npm依赖=零攻击面
• ✅ 无构建的跨平台 -适用于Windows/Linux/macOS pip install
• ✅ 开箱即用的丰富CLI -漂亮的表格、进度条、彩色输出
• ✅ 足够快 -静态分析不需要V8的JIT

扫描仪位于 爆炸半径外 它正在审计生态系统。

______________________________________________________________________

🔒 隐私和安全

• 100%本地 --所有扫描都在您的计算机上运行
• 不上传 --你的代码永远不会离开你的系统
• 无遥测 --零数据收集
• 没有API密钥 --完全离线工作
• 开源 --完全透明（MIT许可证）

______________________________________________________________________

📚 完整的命令参考

Expand to see all 60+ commands

扫描

实时探测

CVE情报

恶意软件分析

秘密扫描仪

安全评分

自动修正

\[请参阅原始README中的其余30+个命令\]

______________________________________________________________________

📊 跟踪CVE

All 32 CVEs (click to expand)

\[…原始README中的剩余CVE\]

______________________________________________________________________

🤝 贡献

发现bug了吗？有功能请求吗？想添加CVE覆盖范围吗？

• 问题
• 讨论
• 贡献指南
• 行为准则

______________________________________________________________________

📝 许可证

MIT许可证——见 许可证

📚 更多文档：

• 安装指南
• 快速开始
• 快速安装参考
• MCP服务器设置
• MCP快速入门
• MCP使用示例
• Claude代码CLI设置
• 贡献指南
• 安全策略
• 行为准则
• 更新日志
• 隐私和安全

______________________________________________________________________

⭐ 如果此仓库有助于保护您的应用程序，请启用它