今年前三季度涌現了一批優秀的漏洞發現工具（開源），這些工具能夠簡化工作流程，自動化解決人為錯誤，并發現其他難以發現的缺陷。

　　以下是2021年前三季度可供滲透測試人員、安全團隊和DevOps人員使用的漏洞發現工具（開源）匯總：

　　VSCode與Miter ATT&CK框架集成簡化了代碼編輯工作

　　VSCode-ATT&CK是一個插件，安全分析師和研究人員可以通過它與Miter ATT&CK框架進行交互，而無需離開他們的Visual Studio Code（VSCode）環境。

　　該工具由托管檢測和響應供應商Red Canary開發和開源，微軟流行代碼編輯器的擴展與Miter ATT&CK框架集成，并提供集成的ATT&CK技術搜索命令等功能。

　　該工具還可幫助安全團隊在VSCode內保持專注，而無需離開應用程序并通過瀏覽器訪問有關ATT&CK的信息。

　　Jenkins Attack Framework幫助紅隊強化CI/CD環境中的“軟目標”

　　Jenkins Attack Framework（JAF）能夠幫助滲透測試人員和紅隊人員發現流行的自動化服務器可能被濫用的方式。

　　該工具由埃森哲發布，自動化并簡化了許多常見的和一些不太常見的Jenkins攻擊技術。

　　Jenkins是一個開源CI/CD管道，通常存儲強大的憑據和專有代碼，但沒有默認安全配置，經常使其成為“軟目標”，前埃森哲的JAF開發人員謝爾比斯賓塞介紹道。

　　Deadshot：在將代碼上傳到GitHub時顯示常見DevOps錯誤

　　通信技術公司Twilio的安全專家推出了一款免費工具，當開發人員上傳到儲存庫中的代碼無意包含了敏感信息時，Deadshot監視器GitHub會實時拉取請求并標記代碼中出現的潛在敏感數據。

　　這是一個具有警醒作用的工具，它運行在所有數據的傳輸流程中，并在任何數據上傳之前提醒所以的項目參與者——這是極具價值的功能，因為大多數秘密的泄漏源自“毫無戒心”的開發人員，他們在不知不覺中濫用了GitHub。

　　DIY惡意USB電纜，只需30美元

　　網絡安全公司r-tec的信息安全顧問Daniel Scheidt文章中指出：無論是道德的還是不道德的黑客，都具備憑借大約30美元的成本在自己的鍵盤中注入攻擊USB電纜的能力。

　　Scheidt表示，將UNIFY接收器植入到一條USB電纜中以注入擊鍵時，它可以像一條普通的USB電纜為手機充電。