密探渗透测试工具v1.0版学习借鉴很多优秀的工具，于2024年4月发布javaFx版本，而后经历19次更新，70余名师傅的支持帮助，修复了很多bug，感谢所有师傅的贡献！同时建立了3个微信交流群，1300多师傅加入，共建了密探工具技术交流社群！作者在后续的开发中，想弥补一下V1.0版本不足，在功能、界面UI、用户体验的方面上一个台阶，2025年开始筹划基于Rust语言的密探v2.0版本开发。
密探渗透测试工具v2.0版是一款项目级一站式网络安全检测与运维工具，集成资产测绘、情报侦察、漏洞检测、云安全、AI 自动化渗透、MCP工具等 50 余项全链路能力，帮助安全团队快速摸清资产、排查风险、修补短板，高效完成常态化安全运维与专项检测工作。
主体查询：主体查询，批量主体，ICP 查询，IP 归属，搜索语法，敏感信息
空间测绘：聚合测绘，FO FA，Hunter，Quake,Zoomeye,DayDayMap,censys,shodan, 零零信安，关键词对照表，图标 hash 计算
Fuzz 爆破：指纹识别，JSFinder，目录扫描，子域名爆破，端口扫描，弱口令，POC 扫描，POC 生成，JWT 爆破，Swagger
工 具 箱：Sessionkey,heapdump, 微信小程序，密码本，随机用户，社工字典，杀软识别，编码解码，数据处理，反弹 Shell
云 安 全：OSS 管理，云主机，微信利用，钉钉利用，飞书利用，地图密钥，百度人脸
武 器 库：武器库
代 理 池：代理池
AI 渗 透：MCP，技能，AI 助手，自动化渗透，代码审计
网站导航：网站导航
【项目管理】
【关于密探】
【主体查询】
【空间测绘】
【Fuzz爆破】
【工具箱】
【云安全】
【武器库】
【代理池】
【AI渗透】
【网站导航】
合法使用承诺：本工具仅供授权渗透测试和安全研究使用，用户须确保已获得目标系统的合法授权。任何未经授权的扫描和测试行为均违反相关法律法规，由用户自行承担全部法律责任。
数据安全责任：用户在使用本工具过程中获取的任何数据，应妥善保管并在使用完成后及时销毁。因数据泄露、滥用或不当存储造成的一切后果，由用户自行承担。
工具使用风险：渗透测试本身存在导致目标系统异常或中断的风险，用户应充分评估并在可控环境下操作。因使用本工具造成的目标系统损害、业务中断等损失，作者不承担任何责任。
第三方服务声明：本工具集成的 AI 模型、网络测绘等第三方资源，其准确性和可用性由对应服务方负责。作者不对第三方服务的中断、错误或延迟作任何保证。
版本与授权变更： 作者保留随时修改软件功能、调整授权策略或终止服务的权利，无需事先通知。VIP 授权仅限激活者本人使用，转让或共享将导致授权失效。
禁止逆向与二次分发： 未经授权，严禁对本工具进行反编译、逆向工程、拆解或修改源代码。严禁将本工具或其激活码进行二次分发、转售或公开传播，违者将追究法律责任。
（1）项目管理 - 项目级数据管理
密探2.0 对信息收集及资产探测的过程数据进行项目级管理，好处就是可以严格区分不同项目之间的数据记录，不会产生数据混乱，第二就是便于对项目的历史记录进行回溯，便于后期续用及数据整理，随时可以从历史记录中调取。
（2）聚合测绘 - 一键多引擎
密探内置测绘语法转换算法，能够实现常见的搜素语法自动转换适配多个测绘引擎，并实现多个测绘引擎的测绘数据查询，避免多个测绘引擎的语法差异导致的人为转换的错误，极大的提高测绘效率。
（3） 断点续扫 - 告别从头来过
密探2.0实现指纹识别，jsfinder,目录扫描，子域名，端口扫描，弱口令，poc等耗时比较长的扫描功能增加了断点续扫的功能，可以随时从上次结束的任务处继续完成后续扫描，解决每次扫描都要从新开扫的麻烦。
（4） heapdump - 敏感信息分析
针对java 的heapdump转储文件进行解析，分析数据库连接信息，sql，IP，jwt token等敏感信息
（5） 小程序反编译 - API扫描一把梭
支持多版本的微信小程序解包，并对代码里面的api接口，URL，aksk等敏感信息进行提取。尤其API接口可以通过扫描按钮一键发起未授权检测，可以根据数据包状态及大小来判断接口是否存在未授权风险。
（6） MCP server - 39 个工具赋能 Agent
密探2.0 的MCPServer提供包含常规功能，项目相关，主体查询，测绘引擎，fuzz爆破，云安全，其他等39个MCP工具，可以为其他agent智能体提供交互，交互结果也会继续保存到项目的历史记录中，便于对各项工作过程数据进行统一管理。
密探渗透测试工具v2.0基于Rust+Tauri开发，可支持Windows & Mac & Linux等系统，请选择对应的系统架构下载安装即可使用，后续会在“关于密探”界面提示自动升级后续。
【github下载】 https://github.com/kkbo8005/mitan/releases
【密探B站视频】 https://space.bilibili.com/552795114
【虎哥抖音号】 6509 2382 655 （欢迎关注）
订阅原由：密探2.0发布订阅服务以支持密探的长期更新，订阅的费用主要用于日常开发测试AI模块的TOKEN消耗，活动过程给各位师傅的纪念品（例如密探一周年的纪念品），还有就是回馈提供poc，指纹的师傅等等，更加给作者继续更新提供动力。
工具以单用户VIP和团队VIP两种方式进行订阅，具体可见升级VIP的弹窗提示。 个人VIP与团队VIP的不同点：个人VIP显示的是统一的“虎哥的安全圈定制版”，团队VIP就是显示“XXX团队定制版”。
工具更新不易，各位师傅有钱捧个钱场，不愿出钱捧个人场，GITHUB点星，自媒体宣传都可以，有你的支持才能让“密探持续更新”。 工具会以更新日志，感谢名单，VIP激活码等方式回馈为工具更新提供POC、指纹、API KEY等帮助的师傅。
如何免费获取激活码？
- 01提交有效 BUG
通过密探使用提交有效 Bug 帮助升级，经确认后免费赠送 VIP 一年激活码 1 个。
- 02资源贡献（指纹库 / POC / 各种 KEY）
为密探升级作出实质贡献，包括但不限于：提交高质量指纹、POC、为功能开发提供各种 KEY 账号，一次免费赠送 VIP 一年激活码 3 个。
- 03推广赠送
从密探 2.0 发布之日起，在公众号 / 抖音号 / 博客发布密探的介绍和使用相关内容：
阅读（播放）> 1000：免费赠送 VIP 一年激活码 20 个
阅读（播放）> 2000：免费赠送 VIP 一年激活码 30 个
- 04邀请赠送
凡邀请好友付费可以获得相应的赠送。
邀请 1 位好友付费购买 VIP，赠送邀请者 VIP 一年激活码（6 个月）1 个，以此类推。
邀请 1 位好友付费购买 VIP 团队版，赠送 VIP 一年激活码 8 个。
邀请 1 位好友付费加入「密探」知识星球，赠送 VIP 一年激活码 3 个。
- 05活动赞助
公众号或网络安全论坛开展的各种宣传活动，可根据活动的性质、受众的情况与作者联系，可免费赠送一定数量的 VIP 一年激活码。
在windows环境下安装使用过程中如果遇到杀毒软件报毒，可以比对一下本地的安装包或程序与github上hash是否一致，如果确认是官方安装文件，即可设置软件白名单，放行运行。
- 系统无webview2，安装webview失败
系统运行依赖webview2，如果没有webview2环境，安装程序会引导下载安装，若卡主不动，可以手动安装。
webview2下载安装地址：
https://developer.microsoft.com/zh-cn/microsoft-edge/webview2?form=MA13LH#download
请根据自己的系统选择下对应的安装程序。
- 软件最大化，最小化，关闭窗口
习惯了mac上的窗口最大化，最小化，关闭窗口的风格，就懒得做适配了，所有的版本的都统一到左上角了
macOS版本如出现“密探.app已损坏,无法打开”是因为程序没有苹果签名，解决方法控制台：
允许安装第三方来源APP：
sudo spctl --master-disable
删除程序隔离属性：
sudo xattr -r -d com.apple.quarantine /Applications/密探.app
- AppImage文件运行方式：
第一步先授予权限
chmod +x mitan_linux_aarch64.AppImage
第二步：命令行的方式启动运行
./mitan_linux_aarch64.AppImage
第二步：图形界面设置权限（双击启动运行）
mitan_linux_aarch64.AppImage文件 → 右键 → 属性 → 切换到「权限」→ 标签✅勾选：允许将文件作为程序执行关闭属性窗口，现在就可以双击图标启动
- Deb文件运行方式：
第一步：根据您系统的架构选择对应的安装文件，以下以arm64的deb文件
sudo dpkg -i Linux_arm64.deb
第二步：直接运行在控制台输入mitan完成工具启动
mitan
如果正常的话，会立即显示出来工具界面
-
在workbuddy上配置mcp
在左侧菜单中点击“专家 技能 连接器” -> “自定义连接器” ->"配置MCP"->粘贴在密探的mcp服务中复制的配置->“保存”后即可在对话中调用密探的mcp工具，例如“ 请用密探完成xxxx单位的主体查询”或“对xxx.com进行资产测绘”。
-
在Trae上配置mcp
在Trae的配置界面选择“MCP”->"+添加"->手动配置->粘贴mcpserver配置-> “保存”->完成后回到主界面的对话界面中就可以进行交互使用。
| 2026.8 | 重构密探功能，优化用户体验，根据渗透测试需求，重新调整工具导航,感谢以下师傅提供数据及账号支持！@曾哥 @温酒看日出 @🌲 @99977 @至明善渊 @ZoomEye官方 @过去式 @梧祁@小浪 @REMADOME.md @Forget me @Sukalis @重剑无锋 @大白哥 @湫东坡_up @小机智 @醉殷 @TyC2l& @陈明 @奔奔 @狮恩 |
|---|---|
| 2025.5.10 | 将扫描任务单行文本框改为多行文本框，方便师傅们复制粘贴，提高使用效率，工具箱增加jwt破解，重写社工字典生成工具算法，增加密码破解模块（mysql,sqlserver,oracle,mongodb,postgresql,redis,达梦,ssh,ftp,socks5）的弱口令检测,测绘数据IP联动密码破解，优化部分小bug. |
| 2025.3.23 | 优化了代理池功能、增加了Sessionkey三要素的加解密功能、优化了资产测绘模块的零零信安结果的右键功能，优化了资产测绘界面的常用语法显示，可以通过双击或则右键功能添加到搜索框中完成对应引擎的语法输入。 |
| 2025.1.5 | 修复了信息查询的备案信息查询，子域名查询接口失效的问题，升级了ZoomEye最新v2版API接口，新增了零零信安的信息系统，域名，移动应用3个资产测绘查询接口，并完善响应的批量导出功能。优化导出界面默认全选所有查询结果。优化了一些使用过程中的其他bug. |
| 2024.11.3 | 接口扫描从敏感信息里面拆分出来成为独立模块，敏感信息对抓取的数据进行分tab展示，并可以合并导出，增加工具箱大模块（swagger接口抓取功能，其他功能后续增加），通过swagger抓取接口后联动接口扫描模块进行未授权接口扫描。优化目录扫描的WAF识别功能，若遇到WAF相关关键字，自动放弃扫描，提高扫描效率，备案信息查询修改为站长工具，爱站的聚合查询。支持填写cookie进行查询，优化子域名cookie查询并支持分页抓取。基础信息增加飞鸟平台的分支机构，对外投资，APP，小程序的查询（需要填写cookie token) |
| 2024.9.28 | 增加批量信息、权重模块查询及导出模块（线程不要太大)，其他信息收集模块的表格列表增加选择列，可以自定义行进行功能联动。修复主题信息查询中包含（）括号不能查询的bug，文件扫描长度增加长度区间或则*的通配符判断，端口扫描字典配置到dict目录里面的端口port配置文件便于修改，icon hash 优化编辑复制功能。优化部分使用中遇到的其他bug. 基本信息模块的备案信息右键菜单增加了“复制全表”功能。 |
| 2024.8.30 | 资产测绘增加语法批量查询，备案信息自动生成批量查询语法，资产测绘导出增加去重算法,资产测绘联动指纹识别、敏感信息、文件扫描的去重，增加了fofa,quake的备案号显示，增加Iconhash 本地文件计算，文件扫描、敏感信息（接口）扫描增加自定义header头，增加端口扫描功能（未实现端口指纹识别）并实现联动，优化多处多线程处理流程。优化接口扫描的结果json过大影响列表高度，改为弹窗显示json数据, 优化了各个模块的长度排序。 |
| 2024.8.5 | 增加选择3套皮肤的功能，增加了资产测绘的icon hash计算，增加了jeecg,ruoyi,springblade,apipath的未授权路径扫描字典，增加渗透备忘的编辑功能，可以自定义备忘录的目录及对markdown文档的编辑和浏览，解决基本信息查询单位名称卡死的bug，敏感信息披露接口查询增加了对delete等危险接口的过滤功能，优化了敏感信息js接口抓取。 |
| 2024.7.10 | 所有多线程扫码模块增加线程的暂停，恢复功能，优化停止任务的退出机制，子域名爆破的title乱码问题，指纹识别模块增加高亮显示，子域名爆破泛解析和任务量不匹配的bug，信息查询和资产测绘能改有下拉选择框记录历史记录(右键可清除历史记录），资产测绘自定义每次最大的查询数量，修复了一些其他使用中发现的bug。 |
| 2024.6.18 | 主要增加了子域名爆破功能，子域名爆破可设置递归层级，资产测绘代理功能分拆出来独立设置，为了满足大量的查询需求，资产测绘每个测绘引擎可单独为每个测绘引擎设置每页数据条数（Zoomeye不支持)，然后是各个模块的序号列排序bug， 资产测绘增加copy标题和按标题查询，修复了指纹识别标题乱码的bug，修复子域名爆破的时候调整无法获取到title,增加了对跳转的页面获取title，同步修复子域名title乱码的问题 |
| 2024.5.31 | 资产测绘增加了对ZoomEye的支持，优化了导出资产的报错的bug, 信息查询增加了单位名称/IP的查询，在备案，IP反查等列表增加了“信息查询”等右键菜单。子域名增加rapiddns,alienvault聚合查询结果。修复了资产测绘联动到指纹识别，敏感信息，文件扫描等没带端口的bug。优化显示界面自适应问题。搜索语法增加一些网上搜集的搜索语法。 |
| 2024.5.19 | 优化指纹识别的增加任务文件中包含多个空行导致的线程假死bug，增加状态码过滤，增加指纹识别去重，优化适当调整窗口高度，解决分辨率不够,看不全的问题，优化文件扫描，敏感信息的任务初始化操作步骤。修复文件接口扫描导出因返回包太大无法导出的bug，修复了资产测绘条件语句中包含保留词无法导出的bug，增加首页重要信息的复制功能。 |
| 2024.5.15 | 增加了将工具里面的配置项保存到配置文件，启动加载功能，调整了资产测绘的导出方式，优化文件扫描过滤功能，优化了扫描线程BUG,优化主界面域名信息查询的正则表达式.优化quake注册会员、高级会员的domain查询字段的bug,优化了使用中的一些细节bug |
| 2024.5.8 | 修正使用中各位师傅提的bug，基本信息模块新增软件著作权，子域名，IP反查域名解析记录，资产测绘增加配置Hunter的多KEY轮询查询功能，文件目录扫描增加了按域名+压缩文件后缀的组合方式。 |
| 2024.5.6 | 增加权重信息查询，增加资产测绘的自动加载查询，优化指纹扫描，接口扫描，文件目录扫描功能，增加密码字典功能。优化网站导航信息 |
| 2024.4.24 | 界面功能增加指纹识别扫描模块，支持从资产测绘联动到指纹识别，从指纹识别联动敏感信息、文件扫描模块 |
| 2024.4.20 | 增加资产测绘模块，调整界面布局，资产测绘支持fofa,hunter,quake3个引擎的查询，并支持右键菜单与敏感信息扫描、文件扫描模块的联动功能 |
| 2024.4.13 | 优化了接口未授权扫描的界面卡顿问题以及接口抓取完成自动触发接口未授权扫描计算bug |
| 2024.4.11 | 将敏感信息界面重构了，增加了接口抓取及未授权接口探测功能。（正则表达式感觉还不够完美，下一版再优化一下） |
| 2024.4.7 | 优化文件扫描的多线程扫描功能，增加网站导航地址 |
在密探2.0开发中参考学习了很多知名工具，在此统一表示感谢！！～
无影（TscanPlus)：https://github.com/TideSec/TscanPlus
Fine: https://github.com/fasnow/fine
onyx: https://github.com/Mstce/Onyx
MPScan: https://github.com/i-am-xjizhi/MPScan
superSearchPlus-Tools：https://github.com/ToneSec/superSearchPlus-Tools
如果在使用过程中遇到bug，非VIP会员请在Github的Issue（https://github.com/kkbo8005/mitan/issues） 中提出，VIP订阅会员添加作者微信（kkbo680） 提出，也可以在VIP交流群，知识星球 ，或则私发作者微信，作者会逐一记录并更新。