generate-asset-actions
该技能用于根据 ASSETS.yaml 生成内部审计文件 asset-actions.yaml 与 audit-summary.md，将资产按目标阶段和优先级分类，适用于需要重新生成或更新资产策略的场景。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-25 00:14
安全与审计
7,424 个结果
security-audit-eval
用于在本地运行第三方 Inspect AI 评测前对其做安全审计的技能：只读检查代码、沙箱配置、外部资源、凭据与供应链，输出带结论（safe / safe-with-caveats / unsafe）的 Markdown 报告。
recon-automotive-dealers
本项目是一个针对汽车经销商与汽车零售网站的行业化侦察（recon）技能，属于 uphiago/recon-skills 技能集。它面向汽车经销商、汽车零售集团、汽车服务中心及 OEM 授权经销商网络等目标，提供系统化的信息收集与攻击面梳理方法。资料显示，这类站点通常运行 WordPress 或自定义 PHP，托管在共享主机上，包含车辆库存管理、车辆详情页（VDP）列表、融资申请（含 SSN 与收入等数据）、服务预约以及 OEM 品牌经销商门户。该技能覆盖域名发现、WordPress 侦察、库存与 VDP 侦察、融资与信用申请侦察、插件漏洞扫描等阶段，并给出对应的命令行示例、攻击面信号、常见根因、绕过技巧与真实案例。
security
面向 Vaadin 25 的 Claude 技能，指导使用 Spring Security 为 Vaadin 应用添加登录、视图访问控制与 OAuth2/OIDC 认证。涵盖 VaadinSecurityConfigurer、LoginForm、安全注解、AuthenticationContext 登出等主题，并区分与视图导航、客户端视图技能的适用边界。
dast-nuclei
该技能用于通过 Nuclei（ProjectDiscovery）执行基于模板的漏洞扫描，面向 Web 应用、API 与网络主机的安全测试。它利用 8000+ 社区模板检测已知 CVE、错误配置、敏感信息暴露与默认凭据等问题。使用前需安装 Nuclei 并更新模板，扫描时可用 -jsonl 输出结构化结果，也可按标签、严重级别、模板目录或目标列表筛选。适用于安全工程师进行漏扫与结果汇总，限制是需自行确认授权目标并保证工具与模板可用。
network-scan-nmap
该技能用于使用 Nmap 进行网络发现与安全审计，涵盖端口扫描、服务识别、操作系统指纹识别以及漏洞脚本扫描。它面向已获授权的测试目标，提供多种扫描命令示例（如服务检测、全端口扫描、漏洞脚本、快速扫描、UDP 扫描、指定端口、网段主机发现），并演示如何将 XML 输出转换为 JSON。技能还给出了先决条件（安装并验证 Nmap）与使用提醒（仅扫描获得授权的主机），以及结果呈现表格与总结要点，包括在线主机数、开放端口、意外开放端口、存在 CVE 的过时服务版本，并建议关闭非必要端口、更新服务、添加防火墙规则。
sbom-syft
该技能用于使用 Syft（Anchore）工具从容器镜像和文件系统生成软件物料清单（SBOM），以支持供应链可见性与合规需求。它可输出 CycloneDX 或 SPDX 格式的 SBOM 文件，并提供表格或 Syft 原生 JSON 等格式。生成后技能会汇总包信息，包括包名、版本、类型、许可证和生态，并统计各生态包数量、许可证分布以及未固定版本的包（供应链风险），最后建议将 SBOM 交由 Grype 进行漏洞扫描。适用于需要生成 SBOM、盘点依赖清单或准备供应链合规（如 EO 14028、SLSA）的场景。使用前需安装 Syft，并可通过 syft version 验证安装。
secret-scan-gitleaks
该技能用于使用 Gitleaks 在 Git 仓库中检测硬编码的敏感信息，可发现代码与 Git 历史中的 API 密钥、令牌、密码和凭据。运行后会输出 JSON 报告，并以脱敏方式呈现发现结果（仅显示密钥值前 4 位和后 2 位），同时按类型汇总、区分当前代码与仅存在于 Git 历史中的密钥，并给出轮换密钥、移除代码、改用 .env 或保险库等修复建议，还可建议通过 .gitleaks.toml 允许列表处理误报。
wendy-security-baselines
Wendy 互操作变更必须遵守的安全不变量清单，源自 AAA 合同，用于审查或编写涉及 pki-core、证书颁发、设备注册与安全推送等代码时作为评审检查表。
wendy-self-hosted
Wendy 自托管规则（wendy-self-hosted）：Wendy 栈必须始终能在无 SaaS 栈的情况下运行。适用于 wendyos/wendy-agent、pki-core，以及需提前为 wendy-auth 预留自托管路径的场景，供互操作相关开发遵循。
eol-resistor-calculator
EOL Resistor Calculator 是一个面向入侵报警系统硬接线回路的计算与校验技能，用于对单线尾电阻（SEOL）、双线尾电阻（DEOL）和三线尾电阻（TEOL）回路进行选型、配置与故障排查。它覆盖 Honeywell、DSC、Paradox、Bosch、Texecom 等主流报警主机的电阻标准，支持铜缆线径压降补偿，并能区分正常、报警、防拆（短路）与断线（开路）四种回路状态。技能强调电阻必须安装在远端探测器外壳内，禁止堆叠在主机端子上，并提供回路电阻与容差计算、万用表现场诊断流程以及接线拓扑示例。
hash
hash 是 x-cmd 提供的加密校验和工具模块，可统一计算文件或管道输入的 MD5、SHA1、SHA256、SHA384、SHA512 哈希，并支持校验断言、脚本静默比对及多文件批量处理。
hashdir
hashdir 是 x-cmd 提供的递归目录哈希工具，可遍历目录内全部文件与子文件夹，生成校验和与相对路径的汇总列表，用于目录完整性校验、内容差异比较和安全基线建立。
kev
kev 是 x-cmd 提供的已知被利用漏洞（KEV）目录查询模块，可从官方安全目录检索并列出已知被利用漏洞，帮助安全人员依据真实攻击数据安排修补优先级，支持查看完整列表或前 N 条重点条目。
osv
面向 Google 开源漏洞（OSV）项目的命令行工具，用于扫描本地项目依赖、查询漏洞详情，并可生成 SARIF 安全报告以接入 CI/CD。
scorecard
scorecard 是 x-cmd 中的 OpenSSF Security Scorecard 模块，用于按安全最佳实践评估开源项目的风险与合规情况，并给出评分和详细报告，可辅助依赖审查与本地仓库安全审计。
shodan
Shodan 网络搜索命令行工具，用于查询 Shodan 网络数据库中的联网设备、漏洞与实时网络情报。支持 IP/域名侦察、按漏洞或端口搜索、网络告警监控，并可通过 AI 生成情报摘要。使用前需配置 Shodan API Key。
x-cmd-security
x-cmd-security 是 x-cmd CLI 的安全评估与漏洞管理技能，提供 Shodan 网络情报、OSV 开源漏洞扫描和 KEV 已知被利用漏洞目录三类工具，可在终端完成网络侦察、依赖漏洞查询与安全监控。
x-osv
x-osv 是 x-cmd 的模块，提供查询 Google OSV 开源漏洞数据库的命令行工具，可查询指定软件包或提交的漏洞信息，并借助 osv-scanner 扫描本地项目依赖，支持生成 SARIF 报告，覆盖 npm、PyPI、Maven、Go、Rust 等多种生态。
vulnerability-scanner
面向安全审计的漏洞分析原则型技能，覆盖 OWASP 2025、供应链安全、攻击面映射与风险优先级，并提供扫描脚本与检查清单参考文件。
hunt-api-misconfig
面向授权渗透测试的 API 安全配置错误狩猎技能，覆盖批量赋值、JWT 算法缺陷、原型链污染、CORS 与 HTTP 动词篡改，并给出与账户接管、认证绕过、RCE 等技能的串联思路。
hunt-race-condition
hunt-race-condition 是 xiaolai/claude-bughunter 中的竞态条件漏洞狩猎技能，依据 3 份公开漏洞赏金报告构建，适用于对任意目标排查竞态条件。
hunt-sqli
面向 SQL 注入漏洞的狩猎技能，依据 8 份公开漏洞赏金报告构建，适用于在任意目标上排查 sqli。涵盖高价值目标识别、攻击面信号、检测方法与限制。
security-arsenal
Security Arsenal 是一个面向安全测试与漏洞赏金场景的载荷与绕过速查资源，汇集了 XSS、SSRF、SQL 注入、XXE、路径遍历、IDOR/权限绕过、认证绕过、NoSQL 注入、命令注入、SSTI、HTTP 请求走私、WebSocket、MFA/2FA 绕过、SAML 攻击等类别的测试载荷、绕过表、字典与提交规则。它适合在获得授权的前提下，为渗透测试、漏洞验证和报告撰写提供具体可用的探测字符串与思路参考。