📦目前已集成 308 安全工具
每月新增4-10款工具，涵盖以下类别：
🛡️ 运维&防守工具：应急响应、内存马查杀、日志分析、流量抓包、代码审计、反编译/逆向
🔎 信息收集工具：子域名探测、端口扫描、指纹识别、目录扫描、资源发现、信息泄露
💥 漏洞利用工具：中间件/CMS/框架漏洞、OA/应用漏洞、Webshell管理、漏洞扫描、数据库漏洞、XSS漏洞
🧠 综合利用工具：综合利用、爆破&编解码、后渗透&C2控制、免杀
☁️ 云安全工具：云工具
📱 移动端工具：APP工具、小程序工具
📡 无线安全工具：无线工具
🧪 取证分析工具：内存/文件取证、隐写分析、固件分析
⚙️ 环境工具：实验环境、AI相关、运行环境
🔧 工具介绍
集成的工具可以通过自动化脚本进行下载、更新、安装，大大提高安全检查与学习效率。内置NyxStrike/HexStrike社区版，AI可自动调用工具进行扫描，无需繁琐配置。
🆕 0.16.x更新新增
1、性能优化，提升工具运行效率
2、AI集成：新增NyxStrike/HexStrike社区版工具集
3、批量更新功能：一次性更新多个工具
4、增强AI渗透测试能力：一键下载所需工具，提升操作便捷性
🗂 程序大小
🖥️ AI调用界面
🖥️ 工具界面
AI调用使用和相关问题
目前AI调用建议使用高级点的模型，调用可能会出现发送指令质量很差例如下：
后面你们可以通过点击更新获取最新版AI工具集成配置文件，已支持自动化调用浏览器进行访问与探测
目前 AI 已集成如下：
• NC 工具
• Nmap
• Subfinder
• Nuclei
• Ffuf
• Hydra
• Sqlmap
• Hash-identifier
• Dirsearch
• JWT-Tool
• Rustscan
• NetExec
• Katana
• Dalfox
• Wafw00f
• Gobuster
• Amass
• Httpx
• NoSQLMap
• hashid
• commix
• SSLScan
• gau
• wfuzz
• subjack
• hakrawler
• jaeles
• masscan
• patator
• hexdump
• airbase-ng
• aircrack-ng
• airdecap-ng
• aireplay-ng
• airodump-ng
• airolib-ng
• airserv-ng
• airtun-ng
• naabu
• ehole
• afrog
• kscan
• fscan
• pocbomber
• bettercap
• volatility2
• testdisk
• photorec
• steghide
• tshark
• mysql
• msfconsole
• msfvenom
• sqlite3
• checkov
• Maltego
• Python38
MCP配置调用
HexStrike-Ai的服务端已经启动，我这边演示使用Cherry Studio
添加MCP服务
复制添加进去
然后点击启动
比如我输入：调用mcp的帮我信息收集192.168.31.1
使用AI智能体直接一键导入MCP
自定义添加自己的AI工具方法如下
本文说明如何在HexStrike Community + 统领 中接入自定义工具，并支持：
• 接口调试 • AI 调用（MCP） • 工具状态检测
默认基于 Community 版结构
◆ 1. 架构与数据流（先读这段）
工具接入涉及 5 个关键组件：
数据流：
AI / 接口调试
↓
GET /api/tools ← tool_registry.py
↓
POST /api/tools/<name> ← server_api
↓
子进程执行工具
↓
tools_status（健康检测）
◆ 2. Community 版：添加新工具（推荐按顺序做）
路径建议：
server_api/vuln_scan/my_tool.py
实例：
from flask import Blueprint, request, jsonify
api_my_tool_bp = Blueprint("api_my_tool", __name__)
@api_my_tool_bp.route("/api/tools/my_tool", methods=["POST"])
defrun_my_tool():
data = request.json
target = data.get("target")
# 执行逻辑
return jsonify({
"success": True,
"stdout": "",
"stderr": "",
"return_code": 0,
"command": "my_tool ..."
})
如下：
注册 Blueprint：
# server_api/__init__.py
app.register_blueprint(api_my_tool_bp)
步骤 B：写入工具目录（tool_registry.py）
文件：
tool_registry.py
添加：
"my_tool":{
"desc":"工具说明",
"endpoint":"/api/tools/my_tool",
"method":"POST",
"category":"web_vuln",
"params":{
"target":{"required":true}
},
"optional":{
"additional_args":""
},
"effectiveness":0.85
}
说明
• params→ 接口调试必填项• optional→ 可选参数默认值• category→ 必须与现有分类一致
代码实例：
"afrog":{
"desc":"Afrog PoC vulnerability scanner (CVE/CNVD, default creds, leaks, RCE, etc.)",
"endpoint":"/api/tools/afrog",
"method":"POST",
"category":"web_vuln",
"params":{"target":{"required": True}},
"optional":{
"severity":"",
"search":"",
"rate_limit":0,
"concurrency":0,
"proxy":"",
"port_scan": False,
"ports":"",
"skip_host_discovery": False,
"output_html":"",
"output_json":"",
"silent": False,
"additional_args":"",
},
"effectiveness":0.92,
}
步骤 C：健康检查 / 接口调试「已安装」
接口调试用 GET /api/tools 与 GET /web-dashboard 的 tools_status 求交集
接口调试只显示：
tools_status[name] == true
1、注册分类
# server_core/tool_constants.py
HEALTH_TOOL_CATEGORIES["web_vuln"].append("my_tool")
2、自定义检测（非 PATH 工具）
如果是：
python my_tool.py
需要修改：
server_api/ops/system_monitoring.py
添加 probe 逻辑，否则检测不到
步骤 D（可选）：MCP
路径：
mcp_tools/vuln_scan/my_tool.py
示例：
defregister_my_tool(mcp, client, logger):
@mcp.tool()
defmy_tool(target: str):
return client.safe_post("/api/tools/my_tool", {
"target": target
})
注册：
# mcp_core/tool_profiles.py
◆ 3. 统领：storage/tools_config.json
统领启动 Server 时会把各工具的 path 拼进 Path，子进程继承 os.environ
建议为可执行工具，例如：
"my_tool":{
"path":"storage/my_tool",
"executable":"my_tool.exe",
"type":"exe",
"aliases":["my_tool"]
}
例如：
"fscan":{
"path":"storage/fscan",
"executable":"fscan.exe",
"type":"exe",
"aliases":[
"fscan"
]
}
◆ 4. Python 脚本类工具（易踩坑）
1、工作目录（cwd）：很多脚本依赖相对路径加载 POC/配置，请在 subprocess.Popen 中设置 cwd=脚本所在目录，命令行用 python pocbomber.py 这类形式，避免只改「绝对路径」仍扫不到资源。参考 server_api/vuln_scan/pocbomber.py
2、解释器： 统领已通过 Path 注入 storage/Python38 等目录；子进程应 env=os.environ（或默认继承），不要在未必要时写死长绝对路径，除非你明确要覆盖（如环境变量 POCBOMBER_PYTHON）
3、Windows 与编码：需要时指定 encoding="utf-8", errors="replace"，必要时 stdin=subprocess.DEVNULL，避免挂起或乱码
◆ 5. 单体服务 storage/hexstrike_server.py（若使用）
如果使用单文件服务：
@app.route("/api/tools/my_tool", methods=["POST"])
defrun():
...
要求：
• tool_registry 可访问 • tools_status 格式一致
◆ 6. 自检清单
必须全部满足：
• POST /api/tools/my_tool正常返回• GET /api/tools能看到工具• /web-dashboard中 tools_status = true• tools_config.json 路径正确 • （可选）MCP 可调用
◆ 7. 添加的接口调用调试
根据你定义的窗口功能，输入目标，下面是输出的修改
查看执行的日志
工具基本使用
点击下载
点击更新
点击即可打开工具
工具投稿
支持拖拽，极简工具箱管理
不再需要修改配置文件
• 自定义工具：支持拖拽文件直接添加新工具 • 灵活配置：一键修改工具参数、图标和运行环境
工具自定义服务器（可自由扩展）
如果你有自己的服务器，可以将工具包自行上传，让平台从你的私有服务器下载，实现私有化部署。
配置文件路径：
storage/toollist.json
其中有一个 custom 字段，只需把你的工具包 URL 填进去即可
📌 注意：服务器中的文件夹名称必须与工具名一致，否则无法识别
兼容老版本
如果已经下载使用老版本，下载新版本解压覆盖即可
📥 如何获取？
关注本公众号，回复关键字：AI终端 获取下载链接！
免责声明：本工具仅供合法授权的安全测试及学习使用。用户因违反法律法规而产生的一切后果，由用户自行承担。