gcs-security-assessment
面向 Google Cloud Storage 的安全态势评估技能，基于 SAIF 框架，通过实际采集的遥测信号评估存储桶与项目配置，识别高危组合并给出修复建议，避免臆测配置。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,332 个结果
hello-security
hello-security 是一套安全编码规范，适用于涉及认证、密码、token、JWT、OAuth、session、cookie、加密、密钥、API key、权限、角色、用户输入验证、文件上传等安全敏感操作的场景。
audit-security
audit-security 是一个面向已知代码或配置范围的安全审计技能，在明确的信任边界内进行只读、限定范围的检查，覆盖 Web、API、Rust/Axum、Vue、Tauri IPC、SQLite/文件等场景，输出按严重程度排序的发现与未验证项。
ray-cleanup
ray-cleanup 用于扫描 ~/projects 下各仓库的最后提交时间与磁盘占用，识别沉睡项目和 node_modules/.next 等可重建产物，给出归档、可删、保留建议并在用户逐项确认后执行。
indykite-authzen-list-policies
IndyKite AuthZEN 技能：通过应用代理凭据在运行时调用 GET /access/v1/policies，列出当前项目处于 ACTIVE 状态的 KBAC 授权策略及其标签，用于查看生效规则、发现动作与资源类型词汇、选择 policy_tags 以及排查 401 权限问题。
indykite-ciq-whoami
IndyKite ContX IQ 的 whoami 技能：通过 GET /contx-iq/v1/whoami 将用户访问令牌解析为它在 IndyKite 知识图谱（IKG）中对应的主体，仅返回节点类型与主体 id，用于构造主体绑定的 AuthZEN/CIQ 请求或排查 Token Introspect 配置。
audit-security
audit-security 是 chalk-skills 中的安全审计技能，用于按 OWASP Top 10 对代码库进行结构化安全审计，覆盖注入、认证、敏感数据暴露、配置错误与访问控制等问题，并结合自动模式扫描与人工业务逻辑审查，最终生成审计报告。
create-threat-model
基于 STRIDE 方法为系统或组件生成威胁模型，识别信任边界并分析六类安全威胁，给出缓解建议，输出到 .chalk/docs/engineering/ 下的 Markdown 文件。
aws penetration testing
AWS 渗透测试技能，用于云环境安全评估，覆盖 IAM 枚举、权限提升、SSRF 访问元数据端点、S3 桶利用、Lambda 代码提取与红队持久化。需已配置 AWS CLI 与有效凭证，配合 Pacu、Prowler、ScoutSuite 等工具，并须获得书面授权。
broken authentication testing
该技能用于测试 Web 应用的身份认证与会话管理漏洞，涵盖密码策略、凭据枚举、暴力破解、会话固定、超时、多因素认证绕过、密码重置等 OWASP 常见认证缺陷，输出评估报告、凭据测试结果、会话安全分析与修复建议。
cloud penetration testing
面向授权云安全评估的技能，覆盖 Azure、AWS、GCP 的侦察、认证测试、资源枚举、权限提升、数据提取与持久化操作。
ethical hacking methodology
该技能围绕授权渗透测试的五阶段方法，讲解侦察、扫描、漏洞分析、利用与报告，适合学习 Kali Linux 工具链的人。
file path traversal testing
该技能用于识别与利用文件路径遍历（目录遍历）漏洞，帮助测试人员通过可控的文件类参数读取服务器上的任意文件。资料涵盖测试前提、识别遍历点、基础利用、绕过技巧、Linux与Windows高价值目标文件、自动化测试、LFI转RCE升级及防护建议。仅限授权测试使用。
html injection testing
HTML注入测试技能，用于识别与利用允许向网页注入HTML内容的漏洞，评估页面篡改、钓鱼表单与凭据窃取风险，并给出修复建议。
idor vulnerability testing
面向 Web 应用的 IDOR（不安全直接对象引用）漏洞测试技能，提供系统化检测与利用方法，覆盖数据库对象与静态文件引用、参数枚举、Burp Suite 利用及修复建议，需两个测试账号与授权。
linux privilege escalation
用于在 Linux 系统上进行提权评估的技能，通过系统性枚举与利用 sudo 配置错误、SUID 二进制、内核漏洞、capabilities、cron 任务、PATH 劫持和 NFS 弱点，从低权限用户提升到 root。仅限已获书面授权的测试环境。
metasploit framework
Metasploit Framework 是用于授权渗透测试的统一漏洞利用平台，覆盖漏洞利用、载荷生成、辅助扫描与后渗透。该技能说明如何在 msfconsole 中检索与配置模块、选择载荷、管理会话，并用 msfvenom 生成载荷和设置监听器。
pentest commands
渗透测试常用命令参考技能，汇总 nmap、Metasploit、Nikto、SQLMap、Hydra、John the Ripper、Aircrack-ng、Wireshark/Tshark 等工具的命令示例，用于安全评估中快速查找扫描、利用、破解与 Web 测试命令。
security scanning tools
该技能用于网络安全扫描，涵盖网络发现、漏洞评估、Web应用测试、无线安全、恶意软件检测、云安全与合规检查，整理 Nmap、Masscan、Nessus、OpenVAS、Burp Suite、ZAP、Nikto、Aircrack-ng、Kismet、ClamAV、Prowler、ScoutSuite、Lynis、OpenSCAP 等工具的选择、配置与使用方式。
windows privilege escalation
该技能面向授权的Windows渗透测试，提供从普通用户提升到Administrator或SYSTEM的系统化方法，涵盖系统枚举、凭据收集、服务利用、令牌模拟、内核漏洞与常见错误配置的发现与利用流程。
zk-vs-fhe-vs-mpc
对比零知识证明（ZK）、全同态加密（FHE）与安全多方计算（MPC）三种隐私计算方案，说明各自保护对象、计算位置、性能特征、代表平台与典型用例，并介绍 Midnight 为何选择 zk-SNARK 与 Compact。
blockchain-black-team
区块链黑队（Blockchain Black Team）是一套针对智能合约与链下基础设施的实弹攻击模拟技能，用于安全审计与渗透测试场景。其核心是将 90 余起历史区块链安全事件中的攻击向量（累计损失超 100 亿美元）映射到目标协议代码上，逐条给出攻击场景与严重等级，并为 CRITICAL/HIGH 级别发现提供 PoC 草图。技能覆盖智能合约（重入、闪电贷、预言机操纵、访问控制、整数溢出、Solana 账户替换与 CPI 混淆等）、链下与 Keeper（RPC 操纵、密钥泄露、竞态、配置注入、AI 智能体提示注入等）、经济（挤兑脱锚、抵押品操纵、治理攻击、MEV 提取等）以及基础设施（前端注入、RPC 端点接管、供应链、安全工具反转等）多个向量族。该技能以向量矩阵（含 A/B/C/D 分组编号与 META 条目）为主要知识结构，并持续根据近期事件更新。使用时先读取目标链上与链下代码，加载攻击矩阵参考文件，再逐条完成“历史模式 → 目标代码 → 攻击场景 → 严重等级”的映射，输出结构化报告。定位为已知且历史验证过的攻击模式复现；新颖/零日手法被建议交由红队技能，架构与流程盲区类复核被建议交由紫队技能。
nis2
面向欧盟 NIS2 指令（Directive (EU) 2022/2555）的合规咨询技能，帮助判断实体分类（基本/重要实体）、Art.21 风险管理措施、Art.20 治理、Art.23 事件报告、监管与罚则，以及 ISO 27001、DORA 等框架对照，输出可审计结果。
nuxt-auth
nuxt-auth 是面向 Nuxt 的认证与授权技能，结合 Laravel Sanctum 实现登录、登出与基于权限的访问控制，可用于保护页面、按权限显示按钮等场景。