Ed1s0nZ/PrivHunterAI

解决的问题

PrivHunterAI 是一个本地权限检测工作台，旨在识别授权漏洞。它自动化比较两个不同账户（账户 A 和账户 B）的 HTTP(S) 流量，以判断一个账户是否能访问不应访问的资源，有效检测中断的访问控制问题。

运作方式

系统作为被动代理服务器，捕获 HTTP(S) 流量。它自动将账户 A 的凭据替换为账户 B 的凭据，并将请求重放到相同目标。接着比较响应。为了分析这些结果，它集成了与 Chat Completions 兼容的 LLM 来分析证据，协助判断是否存在漏洞，同时也允许安全研究人员进行手动审查和确认。

适用对象

需要自动化检测 Web 应用程序中权限相关漏洞的安全研究人员和渗透测试人员。

重点特色

• 自动化凭据替换：自动交换凭据以测试未授权访问。
• LLM 辅助分析：使用 AI 模型分析响应差异，协助标记潜在漏洞。
• AI 驱动证据去标识化：在将证据发送给 LLM 前，自动屏蔽敏感信息。
• 集成式工作台：提供完整 UI 管理扫描、查看发现，并以 CSV 或 JSON 格式导出结果。
• 本地持久化：使用 SQLite 存储用户、设置和审计日志。