SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
5,666 个结果
这是一个面向授权渗透测试的 XXE（XML 外部实体注入）漏洞测试技能说明。它指导测试人员在应用处理 XML 输入时发现并利用 XXE 漏洞，实现读取服务器本地文件、发起服务端请求伪造（SSRF）以及带外数据外泄。技能覆盖 SOAP API、文件上传（DOCX、XLSX、SVG、PDF）以及接受 application/xml、text/xml 的接口等场景，提供从识别 XML 处理点、基础文件读取、盲注带外检测、外部 DTD 数据外泄、文件上传注入到 SSRF 的完整工作流，并列出 Burp Suite、XXEinjector、interactsh、xxeserv 等工具，以及发现报告的输出格式与修复建议。
这是面向渗透测试的 Linux 实用命令参考，按侦察、枚举、利用、提权和后渗透阶段整理命令与技巧，覆盖信息收集、SUID 查找、反弹 shell、持久化与横向移动，适合安全评估与 CTF 时查阅。
该技能用于开展主动式、假设驱动的威胁狩猎，在 SIEM、EDR 和日志中搜索尚未触发告警的对手活动。它基于 MITRE ATT&CK 技术，采用 PEAK（Prepare、Execute、Act、Knowledge）方法论，提供从假设构建、查询执行到结果处置和知识沉淀的完整流程，并附带高产出狩猎目录，覆盖持久化、防御规避、凭据访问、发现、横向移动、收集与外传、云环境及身份提供商等场景。
面向在互联网计算机（IC）上开发 Canister 的安全模式技能，适用于 Motoko 与 Rust 两种语言。它系统梳理了 IC 异步消息模型带来的特有安全风险，并给出可直接复制使用的正确实现模式。核心覆盖：访问控制、匿名 Principal 拒绝、重入防护、异步安全、回调 trap 处理、周期性余额监控、控制器备份、回调 trap 与状态回滚、有界等待调用等。强调 canister_inspect_message 不是可靠的安全边界，只应作为节省 cycles 的优化；每个 update 方法内部都必须重复访问检查。提供 CallerGuard 模式实现按调用者加锁防止重入，给出 Motoko 与 Rust 的示例代码，包括共享模式捕获部署者、CDK guard 属性、Drop 守卫释放锁、inspect_message 变体匹配等。还说明了 IC 安全模型：update 调用经共识、query 调用单副本、跨 Canister 调用为异步消息、trap 时状态回滚。前提条件为 Motoko 使用 mops 与 core 2.0.0，Rust 使用 ic-cdk 0.19 与 candid 0.10。适合在 IC 上构建需要处理资金或敏感状态的生产级 Canister 的开发者作为安全编码参考。
该技能用于分析勒索软件的加密算法、密钥管理与文件加密流程，评估在不支付赎金的情况下解密的可能性，识别实现缺陷与已知解密工具。适用于勒索软件感染后的恢复评估、逆向工程、解密工具开发与家族归类。需要 Ghidra/IDA Pro、Python 3.8+ 与 pycryptodome、已知明文对、勒索软件二进制样本等前置条件。工作流涵盖识别加密算法、分析密钥生成与管理、检查文件加密例程、测试加密弱点、尝试密钥恢复以及记录分析结果。
Linux Pentesting Commands 是一个面向渗透测试的 Linux 命令参考技能，来源于 Linux-for-a-Pentester 仓库，由 reason-machines/security-skills 技能集中提供。它按渗透测试阶段组织实用命令：通用命令、侦察、枚举、利用、权限提升、后渗透以及速查表。内容覆盖系统信息收集、文件搜索、进程与网络连接查看、用户与环境枚举、SUID/SGID 与 capabilities 排查、计划任务与服务检查，以及反向 shell、文件传输、SSH 隧道等利用手法，并为提权、持久化、数据外带和清理提供命令示例。该技能以离线参考方式使用，可克隆仓库或按模块目录查阅。适合在授权安全测试、CTF 或学习环境中作为命令速查与操作思路参考。
该技能介绍在获得授权的安全评估中，使用 Burp Suite Professional 的扫描器、Intruder、Repeater 与 DOM Invader 等工具识别并验证反射型、存储型和 DOM 型 XSS 漏洞，涵盖环境配置、注入点探测、上下文载荷构造、过滤器与 CSP 绕过以及发现记录。
该技能介绍 Shadow Credentials（影子凭据）攻击技术，利用 Active Directory 对象 msDS-KeyCredentialLink 属性的写权限，向目标用户或计算机对象追加攻击者控制的公钥，随后通过 PKINIT 请求 TGT 并恢复目标 NT 哈希，实现无需重置密码的账户接管。技能覆盖使用 pyWhisker、Whisker、Certipy 等工具完成确认写权限、注入 Key Credential、PKINIT 取票、导出哈希、清理痕迹的完整流程，并映射 MITRE ATT&CK T1098.005，同时给出检测与缓解建议。仅限获得书面授权的安全测试与教学用途。
Azure Monitor Audit 是一个用于配置 Azure Monitor、活动日志（Activity Log）和 Log Analytics 的审计技能，帮助在 Azure 订阅中实现集中化审计日志、合规性监控与安全事件调查。它提供创建 Log Analytics 工作区、配置订阅级与资源级诊断设置、通过 Azure Policy 强制诊断设置、编写 KQL 查询进行安全调查、创建告警规则以及构建合规仪表板等能力。适用于满足 SOC 2、HIPAA、PCI DSS、ISO 27001 等合规要求，调查 Azure 中的安全事件或未授权活动，以及对管理和安全事件设置告警。
SaaS 安全态势管理技能，面向初创公司，通过命令行工具对依赖的 SaaS 工具栈进行审计与加固。核心覆盖 SSO 强制、OAuth 授权审查、影子 IT 管理、管理员账户保护等。可对 Google Workspace（GAM）、GitHub（gh CLI）、Slack（管理 API）、AWS（aws CLI）执行具体检查与修复，例如查看 OAuth tokens、已安装应用、审批与待批应用、IAM 凭证报告，并生成主清单模板。适用于 SOC 2 审计准备、可疑 OAuth 应用排查、SaaS 蔓延治理和入侵后加固。
中文介绍正在整理，稍后补充。
Forge Security Review 是一个针对 Atlassian Forge 应用的白盒安全审查技能，使用结构化的 Forge 专用安全规则和证据驱动的报告方式。它通过清单驱动的规则路由来降低 token 消耗，默认不预先加载全部规则文件。审查覆盖认证与授权、注入与输入验证、租户隔离与跨租户泄露、密钥与存储、出站请求/远程/CSP 与清单权限、公开入口点（web trigger）、智能体及其他 Forge 安全风险。该技能先运行静态分析脚本，再读取 manifest.yml，按信号加载相关类别索引规则，仅在代码模式触发检测启发式时加载深层子规则。对确认可利用的发现按 CVSS v3.1 评分，提供文件级证据、source-to-sink 追踪、CWE 映射和可复现的 PoC/测试步骤。除非用户明确要求修复，否则不修改应用代码。所有扫描输出写入 security-audit-artifacts/ 目录。
Security Comms 是一项面向网络安全从业者的沟通技能，用于把技术性安全工作翻译成非安全受众能直接使用的语言。它覆盖七类受众：董事会与非执行董事、高管层（CEO/CFO/COO/GC）、工程负责人与资深工程师、执行修复的普通工程师、客户成功与售前工程、处于公开披露场景的客户，以及采购/法务/合规对口方。该技能可基于技术输入起草文稿（董事会简报、高管决策备忘、工程工单、客户问答 FAQ、客户泄露通知、事后复盘叙述、审计发现翻译等），也可审查他人已写好的草稿，检查受众定位、决策要点、术语、含糊措辞与具体性。工作流强调先确定受众与所需决策、剥离无关技术细节、先写结论再补细节、尽可能量化。所有面向客户或涉及事件的沟通均需法务及人工复核后方可发出，AI 生成内容仅作为初稿。
该技能用于测试 Web 应用是否存在 HTTP Host 头注入漏洞，覆盖密码重置投毒、Web 缓存投毒、SSRF 以及虚拟主机路由等场景。技能提供了基于 curl 与 Burp Suite 的完整测试流程，包括基础 Host 头注入、密码重置投毒、缓存投毒、SSRF、虚拟主机枚举和连接状态攻击等步骤，并给出发现报告与修复建议。仅限获得授权的安全测试与教育用途。
用于捕获、分析和记录网络协议的技能，面向安全研究、互操作性与调试场景，提供协议逆向工程的工作流指引、最佳实践与检查清单。
该技能用于在 Ionic React + Capacitor 应用中集成 Auth0 登录、登出与深度链接。它结合 @auth0/auth0-react SDK 与 @capacitor/browser、@capacitor/app 插件，在 iOS 和 Android 上实现原生移动端认证。使用前需具备 Node.js 18+、Ionic CLI、已配置 Capacitor 的 Ionic React 应用、Auth0 账号与租户，iOS 需 Xcode 14+ 与 CocoaPods，Android 需 Android Studio（API 21+），并可选安装 Auth0 CLI。技能提供从配置 Auth0、安装依赖、设置 Auth0Provider、实现登录、处理回调、实现登出到构建测试的完整工作流，并列出常见错误与修复方式。
CSF Mapping 是一个将组织安全现状映射到 NIST 网络安全框架 2.0（治理、识别、保护、检测、响应、恢复）的技能，用于生成差距分析、成熟度分级与治理级路线图。它面向 CISO、董事会、审计方和保险方，输出可读的评估报告，而非漏洞利用或具体审计发现。
Web Security 是一套面向 Web 开发的安全实践规范，强调把 Web 安全视为核心需求而非事后补救，默认假设输入是恶意的、运行环境不可信。其核心原则包括：永不信任用户输入，始终在边界处验证和清理数据，优先采用安全默认值而非可配置项。在 XSS 与注入方面，要求避免 dangerouslySetInnerHTML 和原始 HTML 注入，正确转义和编码动态内容，绝不把不可信数据插入 HTML、CSS 或 JS 上下文，并确保 SQL 注入防护。在认证与授权方面，要求不把密钥或令牌存放在不安全位置，尽量避免用 localStorage 保存敏感凭据，适用时使用 HTTP-only 安全 Cookie，并始终在服务端强制执行授权。在浏览器安全 API 方面，要求遵守 CORS、CSP 和浏览器安全边界，用内容安全策略限制脚本与资源执行，启用 CSP 时避免内联脚本和样式。在数据处理方面，要求最小化数据暴露、不记录敏感信息。在依赖与供应链方面，要求避免不必要的包，把第三方代码当作不可信输入。总体原则是：简单性可减少攻击面，不确定时选择更严格的选项。
这是一个面向 Ionic Angular 应用（搭配 Capacitor）的 Auth0 认证集成技能。当需要在 Ionic Angular 应用中添加 Auth0 登录、登出或深度链接功能时使用。该技能整合 @auth0/auth0-angular SDK 与 Capacitor Browser 和 App 插件，覆盖登录、登出、用户资料展示，以及通过系统浏览器（iOS 的 SFSafariViewController、Android 的 Chrome Custom Tabs）进行安全令牌管理。技能提供自动与手动两种配置路径、逐步安装与代码示例、常见错误修复建议，并说明该技能不适用于 Ionic React、Ionic Vue、纯浏览器 Angular SPA、React Native、Expo 或原生 iOS/Android 等场景。
这是一个针对阿里云云防火墙（Cloud Firewall）技能的最小化冒烟测试（smoke test）工具，属于安全类技能。其核心用途是验证云防火墙技能的只读清单查询路径是否可用。测试前提是已配置好 AK/SK 和地域信息。测试步骤包括：先运行元数据 API 列表脚本，然后选择一个只读的列表或详情 API 执行，最后记录请求摘要和响应摘要。预期结果是能够获取到资源列表，或者得到明确的权限不足提示。该测试不涉及任何写操作，仅用于验证读取路径的连通性。
该技能用于通过 Microsoft Graph API 解析 Office 365 统一审核日志（Unified Audit Log），以检测商业电子邮件入侵（BEC）攻击留下的痕迹，包括可疑的收件箱规则创建、向外部地址转发邮件、邮箱委派变更以及未经授权的 OAuth 应用授权同意等。它面向安全事件调查、检测规则构建、威胁狩猎查询以及 SOC 分析流程，帮助识别受损账户指标并生成带时间线的风险报告。
该技能用于在基于 Capacitor 的 Ionic Vue 应用中接入 Auth0 的登录、登出与深链接处理，核心是把 @auth0/auth0-vue 与 @capacitor/browser、@capacitor/app 配合使用，在 iOS 与 Android 上完成原生移动端认证。技能提供配置 Auth0、安装依赖、注册 Auth0 插件、实现登录与登出、通过深链接处理回调以及构建测试的分步流程，并列出了常见错误与修复方式。
OpenClaw Security Hardening 是一套用于加固自托管 OpenClaw 环境的安全技能，目标是在向团队成员或外部网络开放访问之前降低暴露面。它围绕威胁建模、主机基线加固、应用运行时加固、密钥与令牌保护、网络分段、检测与恢复路径以及验证清单等方面给出可操作的控制措施。技能强调将 OpenClaw 绑定在 localhost 或私有 VLAN，前置反向代理处理 TLS、认证与限流，按最小权限运行专用非管理员账户，使用密钥库或平台密钥管理器存储秘密并定期轮换，避免直接暴露原始服务端口到互联网。同时提供 Linux 基线检查命令、反向代理控制示例、令牌轮换清单、分层访问模式，以及服务重启、密钥吊销、事件隔离与回滚演练等最小运行手册，帮助减少凭证窃取、远程代码执行影响范围和数据外泄风险。
面向 Azure 安全开发的专家知识技能，汇集最佳实践、决策、配置、集成与部署指南，包含本地速查内容与远程文档获取能力。