implementing-conduit-security-for-ot-remote-access
面向 OT 远程访问的 IEC 62443 区域与通道安全技能，指导用跳板机、MFA 网关、会话录制与审批流程替代 IT/供应商直连 OT 控制网的 VPN，并给出通道架构与访问管理示例。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,279 个结果
implementing-nerc-cip-compliance-controls
面向电力行业 NERC CIP 合规的技能，覆盖 BES 网络系统分级（CIP-002）、电子安全边界（CIP-005）、系统安全管理（CIP-007）等控制项，含 Python 分级工具、防火墙配置与合规检查清单，用于审计准备与证据收集。
implementing-purdue-model-network-segmentation
依据公开资料，用于按 Purdue 企业参考架构（PERA）对 ICS/SCADA 网络进行分段规划与实施的技能，涵盖资产到 Purdue 层级的映射、VLAN 与防火墙规则建议、IT/OT DMZ（Level 3.5）架构设计。
session-security-testing
会话安全测试技能：围绕会话创建、固定、过期、撤销、并发与跨设备边界，准备可复核的安全测试与审查材料，区分已知事实、推断与待验证项，不执行真实攻击或读取凭据。
cookie-privacy-scan
用于审计网站 Cookie 与跟踪器的技能：盘点页面加载时设置的 Cookie，标注缺失 Secure/HttpOnly/SameSite 等属性，列出第三方跟踪服务，并检测用户同意前是否已触发跟踪，输出分级报告与修复建议。
secrets
基于 1Password Environments 与服务账号的密钥管理指南，用于安全获取、登记和验证 API 密钥、凭据、令牌、环境变量及 GitHub Secrets。
timeline-forensics
Timeline Forensics 是一个面向数字取证的技能，可从磁盘、内存、网络、日志等多源数据构建取证时间线，支持超级时间线创建、事件关联、异常检测、时间线过滤、可视化、缺口分析与导出。
security-audit
该技能面向 Rust 与 WebAssembly 应用的安全审计，帮助识别漏洞、审查 unsafe 代码、验证输入处理并确保应用遵循安全最佳实践。它围绕纵深防御、最小权限、安全默认值与故障安全等原则，覆盖漏洞评估、unsafe 代码审查、输入验证、安全配置、认证与授权、密码学、数据保护、错误处理、FFI 边界、整数溢出等检查项，并给出路径遍历、SQL 注入、拒绝服务等常见漏洞的易受攻击与安全写法对比，以及 cargo audit、cargo geiger、cargo clippy、cargo fuzz 等工具用法和统一的安全发现报告格式。
ton-proof
ton-proof 用于为第三方认证生成 TonConnect 的 TonProof 签名，可证明用户对 TON 钱包的所有权，而无需发起交易。适用于用户希望用 TON 钱包登录或验证钱包归属的场景。
cors-misconfiguration
该技能提供 CORS 跨域配置错误的检测与利用方法论，面向安全测试与渗透场景。当目标 API 返回 Access-Control-Allow-Origin 响应头、需要跨域访问敏感数据，或发现 Origin 头被反射回响应中时使用。核心关注 Access-Control-Allow-Origin 与 Access-Control-Allow-Credentials 两个响应头的组合风险：反射任意 Origin 且允许携带凭据可导致跨域窃取用户数据。技能按阶段展开：先发送带 Origin 的请求检测配置，再测试 Origin 校验绕过（null、子域名、前后缀匹配、特殊协议），然后根据 Allow-Origin 与 Allow-Credentials 组合判断风险等级，最后通过构造窃取页面或 iframe sandbox 触发利用，读取用户信息、API 密钥与内部数据。需注意利用依赖受害者访问攻击者页面，纯通配符配置风险较低，并将检查 preflight 请求处理。
lfi-rfi-methodology
面向本地文件包含（LFI）、远程文件包含（RFI）与任意文件读取的检测与利用方法论，适用于存在文件包含参数、PHP 应用或日志可写等场景，涵盖参数发现、路径穿越、关键文件读取及 LFI 到 RCE 的决策流程。
websocket-attack
WebSocket 安全测试方法论，用于目标使用 ws:// 或 wss:// 协议、页面 JS 存在 new WebSocket() 调用或出现 101 Switching Protocols 响应时的测试。覆盖 WS 劫持（CSWSH）、消息注入、认证绕过与信息泄露。
solidity-security-best-practices
面向 Solidity 智能合约开发的安全最佳实践技能，用于编写、审查或审计合约代码，涵盖重入防护、访问控制、升级安全与基于 OWASP SCSVS 分类的审计流程。
security-auth
security-auth 是一个面向安全与认证工程的工作流技能，编排安全架构、身份管理、访问控制与合规实现，覆盖认证授权设计、API 防护、审计合规、威胁监测等环节，适用于需要落地生产级安全体系的开发场景。
gdpr-audit-prep
一个以 GDPR 条款为依据的审计准备技能，通过六问压力测试审查隐私合规工作。命令为 /cs:gdpr-audit-prep <scope>，适用于年度内部 GDPR 审计、季度 RoPA 更新、高风险处理 DPIA、泄露后审计、DPA 调查应对及收购尽职调查等场景。
litestar-security
用于 Litestar API 的纵深安全技能，覆盖认证中间件、内置安全后端、守卫授权、端点包含与排除控制、JWT 校验与密钥安全存储，强调认证与授权分离并规范 401/403 行为。
installed-skill-auditor
每周审计所有已安装的第三方与社区技能，检测注入指令、硬编码凭证、数据外泄、安装后内容漂移及无安装记录的孤立技能，并通过内容哈希保留可信基线。
aws-security-audit
用于 AWS 安全审计的 MCP 能力集，覆盖 IAM 用户、角色、策略检查与 CloudTrail API 事件查询，支持安全态势分析、事件调查与合规检查，IAM 以只读方式运行。
go-security
面向 Go Web 应用的安全实践参考，涵盖依赖漏洞审计、SQL 注入与 XSS 防护、JWT 认证、密码哈希、输入校验、命令注入防护、文件上传、CORS 与安全响应头、限流、密钥管理和安全日志，并给出安全检查命令与常见反模式对照。
owasp-audit
依据 OWASP Top 10（2021）对应用源代码进行系统性安全审计的技能，覆盖访问控制、加密、注入、配置、组件、认证、日志与 SSRF 等类别，输出带严重级别、CWE 编号与修复建议的审计报告。
apk-teardown-research
通过 Crawlora API 对 Android APK 进行静态分析，可提交 APK 或公开 URL，查看清单、权限、签名、SDK、库与技术栈信号，并对比版本、构建发布时间线和比较不同包的所有权线索。仅限获得授权的分析。
git-expert
Git 专家技能，覆盖合并冲突、分支策略、仓库恢复、性能优化与安全实践，可主动分析仓库状态并给出解决方案。
aiprise-webhooks
用于接收并校验 AiPrise（身份验证 KYC/KYB 平台）回调 webhook 的技能，涵盖 X-HMAC-SIGNATURE 签名验证、验证结果处理与本地调试。
upollo-webhooks
Upollo Webhooks 技能用于接收并校验 Upollo 风控平台的 webhook。Upollo 会在标记用户（如账号共享、多账号）时推送分析结果，需用 webhook 密钥对原始请求体做 HMAC-SHA512 校验，再按 action 与 flags 处理。