bountyyfi/lonkero

这是什么？

核心功能

• 01扫描模块覆盖注入、认证、API、框架和配置等类别的问题。
• 02根据技术栈识别结果和参数风险调整测试范围。
• 03基于证明的反射型 XSS 检测，无需无头浏览器，通过普通 HTTP 请求完成。
• 04Chrome/Edge 扩展可做被动检查，并与命令行工具实时同步。
• 05AI 代理模式可根据自然语言指令执行有针对性的扫描，支持 Claude 或 Ollama。
• 06报告可导出为 JSON、HTML、PDF、SARIF、CSV、XLSX 和 Markdown。

适用场景

• 对已授权的 Web 应用执行渗透测试。
• 在 CI 流水线中加入基于 SARIF 输出的 Web 安全检查。
• 浏览网站时使用扩展检测前端 JavaScript 库的已知漏洞。
• 借助本地 Ollama 模型，对敏感目标进行 AI 辅助测试。

快速上手

1. 1

   按照 README 中的安装说明安装 Lonkero

2. 2

   对目标运行一次扫描

   lonkero scan https://example.com

使用前须知

• !该项目采用专有许可证，并非开源许可证。
• !AI 测试模式需要你自备 API 密钥（例如 Anthropic），或使用 Ollama 等本地模型。
• !该工具面向专业渗透测试，应仅用于你已获授权测试的目标。

标签

常见问题

lonkero 是什么？

基于 Rust 的 Web 应用安全扫描器，面向渗透测试人员，内置 125 个以上扫描模块，并提供浏览器扩展与 AI 辅助测试模式。 Lonkero 是一款面向专业渗透测试的命令行 Web 安全扫描器。扫描模块超过 125 个，按类别覆盖注入类漏洞（XSS、SQL 注入、SSRF、命令注入等）、认证与授权（JWT、OAuth、IDOR/BOLA）、API 安全（GraphQL、gRPC、WebSocket）、特定框架检查以及配置问题。程序会先做技术栈识别，并按参数风险打分决定运行哪些测试；识别失败时则转而运行范围更广的检查。

lonkero 可以免费使用吗？用的什么许可证？

lonkero 以 Other 许可证开源。用于商业产品前，请先确认许可证条款。

lonkero 还在维护吗？

半年内有更新。lonkero 最近一次提交是在 2026年8月16日。

lonkero 适合用来做什么？

对已授权的 Web 应用执行渗透测试。 在 CI 流水线中加入基于 SARIF 输出的 Web 安全检查。 浏览网站时使用扩展检测前端 JavaScript 库的已知漏洞。 借助本地 Ollama 模型，对敏感目标进行 AI 辅助测试。

lonkero 怎么安装和运行？

按照 README 中的安装说明安装 Lonkero 对目标运行一次扫描: lonkero scan https://example.com

在哪里获取 lonkero？

源代码和安装说明在 GitHub 上：https://github.com/bountyyfi/lonkero