hevnsnt/CVEngine

什么是 CVEngine？

CVEngine 是一款免费、开源的工具，持续监控您的互联网暴露系统（网站、服务器、IP），并告诉您哪些当前被利用的安全漏洞实际上影响了您。它结合了通常分离的三件事：资产发现（查找您拥有的内容）、漏洞扫描（检查弱点）和威胁情报（跟踪已知漏洞利用）。它不是倾倒警报，而是给出一个结论：“此 CVE 在此主机上活跃，以下是证据。”

它是自托管的——您在自有服务器上运行它，您的数据保留在您手中。您可以自带 AI 密钥（或运行本地模型）来帮助分类发现，但核心扫描无需 AI 即可运行。

它做什么？

1. 发现您的资产 — 您提供域名、IP 或 CIDR 范围。它会自动查找子域、主机、开放端口、服务、版本、TLS 证书和技术。它保持此清单最新。

2. 将 CVE 与您的环境匹配 — 它拉取实时 CVE 源（如 CISA KEV、Exploit-DB、Metasploit），并将每个 CVE 评为 fire（积极利用）、smoke（可能利用）或 ice（不太紧急）。然后，它将这些 CVE 与您在主机上找到的确切产品和版本（包括 Linux 发行版反向移植）进行匹配。

3. 通过安全的只读检查验证 — 对于每个匹配项，它运行非破坏性测试（如特定的 nmap 探测或经过验证的 nuclei 模板）以确认漏洞是真实的。它记录它运行的确切命令。如果不存在测试，AI 可以起草一个，但除非人类批准，否则它永远不会在您的主机上运行。

4. 优先级排序并解释 — 每个主机获得 0–100 的风险评分，并附有原因。AI 将每个发现分类为 confirmed、likely、needs validation、likely false positive 或 not applicable。您可以看到每个结论背后的证据。

5. 随时间跟踪变化 — 新主机、打开的端口、版本更改、新证书和更改的网页出现在时间线上，并带有并排截图差异。

工作原理

您添加一个目标（域名、IP、CIDR、URL）。CVEngine 运行一个管道：

• FIND — 使用 bbot 进行子域/资产发现，然后使用 nmap 和 naabu 映射端口和服务。
• PROBE — 检查暴露的数据库（Redis、PostgreSQL 等），拍摄截图，运行 Web 路由检查，并可选扫描 WordPress。
• MATCH — 将 CVE 与您的清单关联，然后运行有针对性的 nuclei 扫描。
• DECIDE — AI 分类并验证发现，然后输出到仪表板、API 和警报。

同时，CVE 源按自己的计划运行，对新 CVE 进行评级并将其与您的清单匹配。

主要功能

• Shodan 风格搜索 — 查询您的清单，如 port:3389 -host:vpn 或 tech:"apache tomcat" sev:high。
• 电子邮件和域名卫生 — 检查 SPF、DKIM、DMARC、DNSSEC、TLS 等。
• 漏洞赏金工作台 — 浏览 HackerOne、Bugcrowd 等，仅扫描范围内的资产（默认关闭）。
• 团队和代理支持 — 组织、项目、角色、审计日志、REST API、MCP 服务器和 OpenAPI 规范。
• 警报 — Slack、Discord、Telegram 或 Lark 通知。
• 自带 AI — Anthropic、OpenAI、OpenRouter、Ollama 或 vLLM。没有 AI，它仍然可以发现、扫描和验证。

安全设计

• 仅只读检查；不尝试密码列表。
• 从不扫描回环、链路本地或云元数据地址。私有范围在您允许之前关闭。
• 阻止注入尝试，并在多次攻击后禁用账户。
• 每个项目的数据隔离、加密密钥、两步登录、IP 允许列表、审计日志。

入门

在 Linux 服务器上（Debian/Ubuntu 最容易，4–8 GB RAM，20 GB 磁盘）：

git clone https://github.com/hevnsnt/CVEngine.git
cd CVEngine
sudo ./install.sh

安装程序生成所有内容，创建 HTTPS 证书，并打印您的地址、用户名和一次性密码。您在首次登录时设置自己的密码。设置向导指导您创建组织、添加目标（您必须确认您有权测试它），并可选连接 AI 模型。

许可证和致谢

GPL-3.0。它是 reNgine 2.x 的一个分支，并构建在许多开源工具之上（nmap、nuclei、bbot 等）。完整致谢见 THIRD-PARTY.md。

---

底线： CVEngine 是一个自托管、免费的攻击面管理平台，它找到您的互联网暴露资产，将其与已知被利用的 CVE 匹配，通过安全检查验证，并为您提供优先级、有证据的修复列表——所有这些都没有按资产收费或将您的数据发送到任何地方。