什么值得做
GitHub 开源项目 · 11-6 写
hevnsnt/CVEngine · hevnsnt

「今天被利用的漏洞,哪些打得到我?」:一个 fork 来的安全工具,怎么借「黑色十月」13 天拿到 578 星

它是什么 一个自托管的开源安全工具:输入你的域名,找出你暴露在外的服务,再告诉你今天被黑客实际利用的漏洞里哪些打得到你,并用只读检查给出证据。

为什么火了 上线正赶上「黑色十月」漏洞潮,全行业都在问「我中了没有」,它的口号就是这句话;作者是 Black Hat、DEF CON 讲者,安全圈号愿意转,AI + MCP 标签又让一批聚合站自动收录。

C你可以怎么跟 别再做一个同款扫描平台;抄结构:fork 一个成熟项目,换成「哪些今天就会出事、附证据」的说法,选还空着的方向(比如 AI 应用和 MCP 服务器的暴露面),备好八成,等下一次大事件那周发。

C 级:借事件发布、fork 成熟项目换说法、贴 MCP 标签这套打法值得学;但攻击面扫描已经挤满,它起量靠的是一次性漏洞潮和作者多年的圈内名声,跟进者拿不到,照做一个同款不划算。 小圈子里在传
数据(每天更新) · 建库 2026-10-24 · 670 星 · 7 天 +123
GitHub · 星数
20040060010-2710-3011-0211-0511-08670
数据 2026-10-27 → 2026-11-08(13 天,13 次观测)。10-28 以前的点来自 deeply / 存档补录,不是每天都有

cvENGINE 是安全圈老兵 Bill Swearingen 在 10 月 24 日发的开源工具:输入你的域名,它把你暴露在外的东西全找出来,再告诉你今天被在野利用的 CVE 里哪些真打得到你,附上证据。代码 fork 自老牌项目 reNgine,单拆开看没有一样是新的。它能起来,靠的是三样东西:上线那一周全行业都在问同一个问题,作者在安全圈有名字,「AI + MCP」的标签让它被一批聚合站自动转载。打法能学,但这两样运气,跟的人很难再拿到。

「每 30 分钟就出一个新漏洞」的那一周

2026 年 10 月 21 日,PHP 官方发了紧急补丁,修的是被叫作 PHP2Shell 的两个漏洞,找到它们的是 AI。两天后,CNBC、卫报、华盛顿邮报都把这个月叫作「Black October」(黑色十月);Hacker News 上 PHP2Shell 的原帖拿了 455 分,接下来几天还有 192 分、332 分的跟进帖。同一个月,LiteLLM、GitLab 也接连出事。安全团队那一周被问得最多的一句话是:我们中了没有?

10 月 24 日晚上(UTC 22:34),Bill Swearingen 建了这个仓库,在 LinkedIn 上发了一条:

「它的存在是因为黑色十月。我想要一个自托管的工具,用最好的开源工具搭起来,只回答一个问题:每 30 分钟就放出一个新漏洞,这里面有没有哪个是我暴露在外的?」

这条帖子拿到 44 个反应、7 条评论(LinkedIn,11-06)。不多,但看的人对。两天后,一个 AI 资讯站报道它时已经有 203 星;10 月 27 日 329 星。也就是说,总星数的一大半是前三天拿到的。

它到底是什么

README 第一句是「你能免费拿到的最先进的外部攻击面评估」,第二句是钩子:「输入你的域名。cvENGINE 找出你暴露的一切,然后告诉你今天被利用的 CVE 里哪些真能打到你,附带证据。」

做的事是一条流水线:

  • 发现:用 bbot、naabu 找子域名、IP、端口,盯证书透明日志。
  • 识别:nmap 指纹、TLS 检查、Web 路由、暴露的数据库和云存储。
  • 排序:拿 CISA KEV、EPSS、Exploit-DB、Metasploit 这些「真被利用了」的来源,给每个 CVE 打 fire / smoke / ice 三档,再和你实际跑的版本严格对上。
  • 验证:用 Nuclei、nmap 做只读检查复现,把执行的命令记下来;AI 再把结果分成「已确认 / 很可能 / 待验证」。

外面还包了一圈:Shodan 式的资产搜索、截图对比的变化时间线、PDF 报告、多组织权限、REST API、MCP 服务器(agent 和人用同一套权限)、Slack / Discord / Telegram 告警、漏洞赏金工作台、内网探针。AI 自带 key 或接本地模型,不接模型也照样能跑。一个 Docker Compose 栈,sudo ./install.sh 一条命令装好,GPL-3.0,README 自己写明是 reNgine 2.x 的 fork。

星是从哪来的

时间发生了什么星数(GitHub)
10-24建库,作者 LinkedIn 首发;当天就有 AI 资讯站转载—
10-26资讯站 Reveneau 报道203
10-27OffSec 博客、dev.to 上的转载329
10-28单日 +96,峰值;直接来源没查清(推断是 Reddit 或 LinkedIn 扩散)425
10-29安全圈老牌链接搬运号 @Dinosn 在 X 上转发,1.26 万浏览447
10-31单日 +67,第二个小峰;r/pwnhub 上有一篇介绍帖,可能是它(未核实)532
11-01 ~ 11-06每天 +3 到 +15578,94 个 fork

后半段的曝光几乎都是机器带来的。因为 topics 里写着 mcp 和 ai,一批 MCP 目录站、agent 工具聚合站、AI 写的「工具推荐」文自动把它收了进去,俄语目录、中文教程、YouTube Shorts 都有;11 月 3 日还有一篇「给 AI 漏洞赏金 agent 用的 MCP 服务器」对比文把它列了进去。

没起作用的渠道:Hacker News 上没有它的帖子,没有主流媒体,也没有 X 上的大号讨论。不满 60 天的库进不了 GitHub Trending,它也没上过。

为什么是它

同一周 HN 上冒出来一堆「PHP2Shell 检查器」,都是一次性的网页或脚本。cvENGINE 是少数做成持续监测平台、还能自托管的。具体是四样东西凑在了一起:

  1. 说法换了。 攻击面工具本来是「帮你找资产」,它改成「告诉你哪些 CVE 真打得到你,附证据」。这句话正好戳中安全团队最烦的东西,告警太多、分不清哪个是真的。
  2. 第一天就像成品。 站在 reNgine 五年的代码上,一条命令装好,自动生成证书和密钥,README 首屏有一段 GIF 导览。两周内从 v1.0 连发到 v1.3.5(GitHub releases,11-04)。
  3. 作者有名字。 Bill Swearingen 是堪萨斯城安全社区 SecKC 的联合创始人,在 Black Hat、DEF CON 讲过,8 月他的一项反监控图案研究上过 TechCrunch。他在首发评论里逐个感谢并 @ 了 bbot、ProjectDiscovery 等上游项目。
  4. AI + MCP 的标签。 让它同时进了安全圈和 AI agent 圈两拨聚合站。

fork 数和 star 的比例约 0.16(94 / 578),对安全工具来说偏高,说明有人真去部署了。Railway 上已经有人做了一键部署模板。issue 区也能看出有人在认真用:一位用户从 10 月底到 11 月初连着提了几十个很细的问题,比如「OpenVAS 扫完了但导入 0 条结果」「非标准端口上的 DNS 服务识别不出版本,所以对不上任何 CVE」,有的一条下面来回十几条讨论(GitHub issues,11-06)。

谁在做一样的事

项目星数(11-06)和 cvENGINE 比
reNgine8,917它的上游,侦察框架;cvENGINE 加了可利用度排序、只读验证、AI 分诊、MCP
Nuclei32,608扫描引擎,cvENGINE 拿它当验证层;背后公司有收费的云版
SpiderFoot24,357偏 OSINT 情报收集,不做 CVE 匹配和验证
Sn1per11,522自动渗透 + 攻击面管理,商业版收费
reconFTW / Osmedeus8.3k / 6.6k命令行侦察编排,没有「今天被利用的 CVE」这条主线
RedAmon3,299也是 AI + MCP 自托管,但主打自动利用、自动提修复 PR
OASM / CASM / EasyEASM 等几十到几百功能相近,做了一两年,没有名气也没赶上时机

商业的那一头是 Censys、Palo Alto Xpanse、CrowdStrike 这类按资产收费的企业产品,cvENGINE 的 README 打的就是它们:「不收授权费,不按资产计价,不是黑盒。」

结论很直接:这个品类又挤又成熟,上游就有近 9,000 星。功能相近的小项目做了一两年还是几百星,cvENGINE 13 天就到了 578,差的就是那一周和那个名字。

它的软肋

  • 增长跟着事件走。 11 月 1 日以后每天只剩个位数,黑色十月的热度一退,光靠功能撑不住。
  • 技术上主要是编排。 发现、扫描、验证都是现成工具,自己写的是串起来的那层和那套说法。别人想做同样的事,门槛不高;它想甩开别人,也不容易。
  • 实际用的人有多少看不出来。 fork 和 issue 说明有人在用,但具体多少、留不留得住,外面看不到。

如果是你

一句判断: 能学到一套打法,但这一个跟不划算。攻击面扫描这个品类已经挤满,cvENGINE 起量靠的是一次性的漏洞潮和作者十几年攒下的圈内名声,这两样你拿不到;再做一个同款 EASM,大概率停在几十星。

适合谁: 本来就在安全圈有人认识、手上有现成工具链的人;或者在别的领域(云配置、依赖供应链、AI 应用安全)有积累、能在下一次大事件里第一时间发东西的人。

不适合谁: 在安全圈没人认识、想从零做一个「更好的漏洞扫描平台」的人;做不出成品、只能发半成品脚本的人。

怎么做:

  1. 不抄题目,抄结构:找一个成熟的开源项目(星多、作者已经不怎么更新),fork 过来,把它的说法从「帮你找到 X」改成「告诉你 X 里哪些今天就会出事,附证据」,结果导向、一句话说清。
  2. 换到还空着的方向,比如只盯 AI 应用和 MCP 服务器本身的暴露面,或者盯依赖供应链投毒,这些地方还没有一个像样的自托管工具(推断)。
  3. 做到一条命令能装、README 首屏有一段 GIF 导览、不接模型也能跑,再加一个 MCP 接口。

怎么获客: 提前把东西准备到八成,等下一个大漏洞或大事件出来的那一周发,首发文案第一句就回答那周大家最焦虑的那个问题。在首发里逐个 @ 上游项目;去找 X 上的安全链接搬运号(@Dinosn 这一类)和 r/netsec、r/cybersecurity;topics 里写上 mcp、ai,自然会被 MCP 目录站和 AI 聚合站收进去。

什么时候之前: 没有固定窗口,窗口是下一次事件。安全圈大事件一年总有几次,事件出来后的三到五天是有效期(推断)。

什么情况说明看错了: 你借着事件发出去,一周内星数还在两位数,说明说法没打中或者圈子里没人帮你转;反过来,如果 cvENGINE 在没有新事件的情况下 11 月底还能每天涨几十星,说明它的功能本身就站得住,这个品类比看上去更有空间。

GitHub 仓库 ↗

研究底稿:竞品表、获客证据、完整研究报告
竞品
名字在哪上线规模它和这家不同在哪
reNgine开源2020-058,917 star它的上游;CVEngine 加了可利用度排序、只读验证、AI 分诊、MCP、一键安装
SpiderFoot开源201224,357 star偏 OSINT 收集,不做 CVE 可利用度匹配和验证
Nuclei / ProjectDiscovery Cloud开源202032,608 star扫描引擎和收费云 ASM;CVEngine 拿 Nuclei 当验证层,平台本身免费自托管
Sn1per开源201511,522 star自动渗透和 ASM,商业版收费;CVEngine 全开源、不按资产收费
reconFTW / Osmedeus开源2020 / 20188.3k / 6.6k starCLI 侦察编排,没有「在野利用 CVE 对上你的资产」这条主线
RedAmon开源2025-123,299 star同样是 AI + MCP 自托管,但主打自主利用和自动修复 PR;CVEngine 只做只读验证
OASM / CASM / EasyEASM 等小型 EASM开源2023-2026几十到几百 star功能相近,没有作者名气,也没赶上 Black October
Censys/Shodan ASM、Palo Alto Xpanse、CrowdStrike Falcon Surface 等其他早已存在企业级收费CVEngine 主打免授权费、不按资产收费、不是黑盒、数据不外传
cloudsleuth.io / Blastradius / php2shellcheck网页2026-10HN 1-66 分同一波漏洞潮里的一次性检查工具;CVEngine 是持续监测平台
用户从哪来
  • 查实 平台事件:Black October(PHP2Shell 漏洞潮):10-21 PHP 紧急补丁,10-23 CNBC、卫报、华盛顿邮报报道,HN 上原帖 455 分;作者 LinkedIn 首发写「It exists because of Black October」,10-24 上线
  • 查实 作者 LinkedIn 与安全圈名气:Bill Swearingen,SecKC 联合创始人、Black Hat/DEF CON 讲者;LinkedIn 首发 44 个反应、7 条评论,评论里逐个 @ 上游项目
  • 查实 X 安全情报号:@Dinosn 10-29 转发,12.6K 浏览
  • 推断 Reddit:r/pwnhub 有 cvENGINE 帖(1xgavgc),但 403 没读到时间和热度
  • 查实 AI 资讯站 / MCP 目录站自动收录:Reveneau、AISignal、OffSec Blog、dev.to、Kitploit、SkillFoxx、AiBoss、vulntel 对比文等,10-24 到 11-05

hevnsnt/CVEngine(cvENGINE)为什么能跑出来

渠道:GitHub | 建库 2026-10-24 22:34 UTC | 截至 2026-11-06:578 star / 94 fork,最新 v1.3.5(2026-11-04)| 研究日 2026-11-06

一句话

它在「Black October」漏洞潮最热的第三天上线,把 reNgine 2.x 换了一个说法:「输入域名,告诉你今天被在野利用的 CVE 里哪些真打得到你,还给证据」,再加上 AI 分诊和 MCP。作者 Bill Swearingen 是 SecKC 联合创始人、Black Hat / DEF CON 讲者,自带一个安全圈子。首波 star 就靠「时机 + 作者在圈内的名气 + 安全情报号和 AI 资讯站的自动转载」,增长两周后基本停了。

1. 它是什么

  • 自托管的外部攻击面评估平台(EASM):一个 Docker Compose 栈,sudo ./install.sh 一条命令装好。流程是 bbot/naabu 发现资产,nmap/testssl/UDP 做指纹,拿 CISA KEV、VulnCheck KEV、EPSS、Exploit-DB、Metasploit、cve.now 给 CVE 打「fire / smoke / ice」可利用等级,和资产版本做严格匹配,再用 Nuclei/nmap 做只读验证并记录命令,最后由 AI 分诊成 confirmed / likely / needs validation。
  • 另有:Shodan 式的自有资产搜索、变化时间线(截图对比)、PDF 报告、多组织 RBAC、REST API、/mcp/ MCP 服务器(agent 和人用同一套权限)、Slack/Discord/Telegram/Lark 告警、漏洞赏金工作台、可选 OpenVAS、内网 Sentinel 探针(v1.3)。
  • AI 自带 key(Anthropic/OpenAI/OpenRouter),也能接本地模型(Ollama/LM Studio/vLLM),不接模型照样能跑。
  • README 自己写明「cvENGINE is a fork of reNgine 2.x by Yogesh Ojha」(来源:GitHub README,2026-11-06 读取),GPL-3.0。

2. 竞品

产品类型上线规模(github 库 2026-11-06)和 CVEngine 的差别
reNgine(yogeshojha/rengine)开源,它的上游2020-058,917 star,近 7 天 +11侦察和 Web 侦察框架;CVEngine 在它上面加了可利用度排序、只读验证、AI 分诊、MCP、一键安装
SpiderFoot开源201224,357 star,近 7 天 +308偏 OSINT 情报收集,不做 CVE 可利用度匹配和验证
OWASP Amass / subfinder / bbot / naabu开源组件2018–202215.5k / 14.7k / 11.0k / 6.3k单项工具;CVEngine 直接把它们打包进来编排
Nuclei(ProjectDiscovery)开源 + 商业云202032,608 star扫描引擎;CVEngine 拿它当验证层用。ProjectDiscovery Cloud 是收费的 ASM
Sn1per开源 + 商业版201511,522 star自动渗透和 ASM,商业版收费;CVEngine 全部开源、不按资产收费
reconFTW / Osmedeus开源2020 / 20188.3k / 6.6kCLI 编排为主,没有「今天在野利用的 CVE 对上你的资产」这个主线
RedAmon(samugit83/redamon)开源2025-123,299 star,近 7 天 +73也是 AI + MCP 双向的自托管渗透框架,但主打自主利用和自动开修复 PR;CVEngine 只做只读验证
Faraday开源 + 商业20136,841 star漏洞管理和协作平台,不负责发现
OASM / CASM / EasyEASM / cscan / xingrin开源小项目2023–2026几十到 670 star同类自托管 EASM,没有作者名气,也没赶上 Black October 这个时机
Censys/Shodan ASM、Tenable/Palo Alto Xpanse、CrowdStrike Falcon Surface、Wiz 等商业早已存在企业级收费CVEngine 打的就是「不收授权费、不按资产收费、不是黑盒」
cloudsleuth.io、Blastradius、php2shellcheck 等(HN,10-22 至 10-28)网页 / 开源2026-10HN 1–66 分同一波漏洞潮里冒出来的「我该补哪个」工具,都是单个漏洞或一次性检查,不是持续监测平台

结论:同类非常多,也很成熟,上游 reNgine 就有 8.9k star。CVEngine 的功能单拿出来都不新,新的是「可利用度优先 + 带证据 + AI/MCP」这个说法,以及它在什么时候发出来。

3. 增长曲线(github 库 repo_day 与第三方页面)

  • 10-24 22:34 建库。到 10-26,Reveneau 报道时有 203 star / 32 fork(reveneau.com,2026-10-26)。10-27 有 329 star / 53 fork(github 库,deeply 源)。也就是说,前 3 天拿了约 57% 的总 star。
  • 10-28 单日 +96,是峰值;10-31 +67 是第二个小峰;11-01 以后每天个位数到十几(+15、+11、+8、+3、+6、+3)。
  • 近 7 天 +113,基本是 10-31 那个小峰和余波。从没上过 trending(trending_days_any=0;库满约 60 天才会被 trending 收)。
  • fork/star 约 0.16,对安全工具来说偏高,说明有人真去部署或二开。Railway 上已经有人做了一键部署模板(railway.com/deploy/cvengine)。

4. 用户从哪来(证据)

  1. 时机或平台事件:Black October(已核实)。10-21 PHP 官方发紧急补丁修 PHP2Shell(CVE-2026-109618/109619),漏洞是 AI 找到的。CNBC、卫报、华盛顿邮报 10-23 都把这个月叫「Black October」。HN 上 PHP2Shell 原帖 455 分,10-27、10-29 还有 192 分、332 分的跟进帖。同月还有 LiteLLM、GitLab、eMudhra 等事件(Wikipedia「Black October (information security)」、r/cybersecurity megathread)。作者在 LinkedIn 首发里直接说「It exists because of Black October… of all the vulns released every 30 minutes, do I have any of this exposed?」。仓库还内置了同期 node2shell(CVE-2026-111497)的只读检测。上线时间正好是全行业都在问「我暴露了没有」的那一周。
  2. 作者自己的圈子(已核实)。Bill Swearingen(hevnsnt):SecKC 联合创始人,在 Black Hat / DEF CON 讲过,他的 noRecognition 对抗图案研究 2026-08 上过 TechCrunch。GitHub 453 粉丝,老仓库 Awesome_Incident_Response 有 299 star。LinkedIn 首发拿到 44 个反应、7 条评论,他在评论里逐个感谢上游项目(bbot、ProjectDiscovery、BHIS、Assetnote 等)并 @ 到它们,有机会被这些项目的维护者转发(这一点是推测)。
  3. 安全情报号转发(已核实)。Nicolas Krassas(@Dinosn,安全圈里很老的链接搬运号)10-29 13:06 UTC 转了仓库,12.6K 浏览(x.com/Dinosn/status/2115792371212554569)。时间和 10-28→10-30 那段增长对得上,但 10-28 那 +96 在他转发之前,应该另有来源(Reddit 或 LinkedIn 的扩散,未核实)。
  4. Reddit(部分核实)。r/pwnhub 有标题为「cvENGINE: the most advanced external attack surface assessment…」的帖子(1xgavgc),作者以前也在 r/pwnhub 发过自我介绍帖。Reddit 对我们的抓取返回 403,时间和热度没能核实,有可能就是 10-31 那个小峰的来源。
  5. AI 资讯站和工具聚合站自动转载(已核实,多数是机器写的)。10-24 hackcv;10-26 Reveneau、AISignal;10-27 OffSec Blog、aifrontierpost(也发在 dev.to);10-28 devotd;10-31 ReviewRamble、Sébastien Rigaux;11-03 AiBoss、GlobeWire;11-04 SkillFoxx(俄语 MCP 目录)、useaiwriter(中文教程);11-05 dev.to 实操文;另外还有 Kitploit、Vulners、agentskillshub、Threads 中文号(@dooo.sth.design)、YouTube Shorts。另有 vulntel 11-03 的「MCP Servers for AI Bug-Bounty Agents」对比文把它列进去了。「MCP」这个标签让它被一堆 MCP / agent 目录站自动收录,是长尾曝光的来源。
  6. 没出现的渠道:我们的 HN 库里没有 CVEngine 的帖子;x-radar 本地语料里搜不到 hevnsnt 或 cvENGINE;没有大号媒体报道;没有广告。

5. 为什么能跑出来

  • 时机:上线时整个行业都在问「今天被利用的漏洞我中了没有」,它的 slogan 正好就是这句话。同一周 HN 上一次性的「PHP2Shell 检查器」有一大堆,它是少数做成持续平台、还能自托管的。
  • 说法换了:EASM 本来是「找资产」,它改成「告诉你哪些 CVE 真能打你,附证据」(fire/smoke/ice + 只读验证 + 记录命令),直接回应安全团队最烦的告警噪音。
  • 门槛低,看着完整:一条命令装好、自动生成证书和密钥、有 GIF 导览、文档齐,v1.0 到 v1.3.5 两周内连发。站在 reNgine 的成熟代码上,第一天就像个成品。
  • AI + MCP 的标签:让它同时进了安全圈和 AI agent 圈两类聚合站。
  • 作者有名气:老牌安全会议讲者,安全情报号愿意转。

6. 差异化,是不是它跑出来的原因

  • 和上游 reNgine 比:多了可利用度排序、严格的版本区间匹配、只读验证留证据、AI 分诊、MCP 和 REST、Sentinel 内网探针、OpenVAS 集成、一键安装。和商业 ASM 比:完全免费、自托管、自带 key、数据不外传。
  • 是原因,但只占一半。差异化主要体现在说法和打包上,技术上大部分是编排现成工具,而且明说是 fork。它能在 13 天里拿 578 star,而 OASM、CASM、EasyEASM 这类同类做了一两年还只有几百 star,关键是赶上了 Black October 和作者的名气。增速在 11-01 以后降到个位数,说明一旦事件热度退了,光靠差异化撑不住增长。

7. 能见度和跟风

  • 能见度:小圈子里在传。安全圈的 LinkedIn 和 X 情报号,加上一批 AI 写的聚合文。没有主流媒体,没上过 HN 首页,没有 X 大 V 讨论。开源项目,也不涉及收入。
  • 跟风:暂时没看到直接照抄的。有人做了 Railway 一键部署模板(作者是不是本人,未核实)。同期还有一批漏洞潮催生的「我该补什么」工具(cloudsleuth、Blastradius、jclab 自检页),但都是同题,不是抄它。

8. 能借鉴的

  • 借事件发布:大漏洞或大事件那一周发布,文案直接回答当下大家最焦虑的那个问题。
  • fork 成熟项目,换一个结果导向的说法:从「找资产」变成「哪些能打你,附证据」,再加 AI 和 MCP。
  • 致谢里逐个 @ 上游维护者,争取被转发;一条命令安装加 GIF 导览,降低试用门槛。
  • 贴上 MCP 标签,能免费进一批自动收录的 agent / MCP 目录站。

9. 不确定

  • 10-28 那 +96 的直接来源(Reddit r/pwnhub、r/cybersecurity 还是 LinkedIn 扩散),Reddit 403,没核实。
  • 实际部署量和留存:fork 94 加上 Railway 模板能说明有人在用,但具体多少不知道。
  • reNgine 上游现在还维不维护,CVEngine 会不会因此吸走 reNgine 的用户,未核实。
  • cve.now 和作者是什么关系,未核实。

出处

文章由 AI 根据公开数据和我们每天采集的数据写成,数字带出处,推断已标明