hubspot-security-queue
用于汇总 HubSpot 安全工单流水线队列的技能：生成 Markdown 报告，展示全部工单、按阶段分布、未分配工单及 AI 分诊状态，适合安全队列站会准备、分诊积压检查与安全运营汇报。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-27 00:15
安全与审计
7,561 个结果
kong-exploit
Kong API网关及Konga管理平台漏洞利用与检测技能。该技能覆盖Kong、Konga和Insomnia相关组件的已知漏洞利用手法与识别方法，包含CVE-2020-11710（Kong Admin API未授权访问，影响Kong <=2.0.3）、Kong Admin API SSRF代理攻击、CVE-2021-44103（Konga 0.14.9普通用户提权至管理员）、CVE-2025-1087（Insomnia <11.0.2 Nunjucks模板注入RCE）、CVE-2025-1353（Insomnia <=10.3.0 DLL劫持代码执行）。技能提供漏洞决策树、利用链优先级、端点端口对照表、SSRF与提权速查命令及综合检测脚本，用于授权渗透测试和安全评估场景。
ssti-detect
用于快速检测服务端模板注入（SSTI）漏洞并识别模板引擎的检测技能，适用于用户输入回显到页面、参数名含 template/name/message/greeting 等场景。仅做检测与引擎判断，不涉及具体利用。
astro-release-security
Astro Release Security（astro-release-security）是一个面向 withastro/astro 发布流程的发布阻断式安全审查技能，归属于 withastro/factory 技能集。它的核心用途是在 Astro Changesets 发布 PR 正式发布之前，对即将发布的代码进行安全审查，只报告足以阻断发布的、可被利用的漏洞，而不做普通代码审查。该技能要求完成完整的包清单核对、已公布安全公告的回归检查、新漏洞排查以及最终的对抗性验证，只有全部通过后才能返回 PASS。它基于已检出的发布快照和只读 git 信息工作，没有 shell 和网络，且明确禁止执行仓库控制的代码。适合 Astro 维护者在发布前用于安全把关，能对漏洞给出阻断判断和可复现的利用路径。
factory-review
针对 factory Worker 的拉取请求审查技能，聚焦正确性、Cloudflare Workers 平台陷阱与凭据卫生。
workos-migrate-auth0
用于把用户、密码、组织与 MFA 数据从 Auth0 迁移到 WorkOS 的技能文档。资料给出分步流程，包括导出 Auth0 用户、申请密码哈希导出、导入 WorkOS、迁移组织与处理 MFA，并附验证清单和常见错误恢复办法。
workos-migrate-aws-cognito
面向从 AWS Cognito 迁移到 WorkOS 的操作指南技能，覆盖用户评估、导出、字段映射、导入 WorkOS、密码重置、OAuth 社交登录、组织与组成员迁移、应用代码替换及验证回滚等步骤。
workos-migrate-clerk
用于把用户与组织数据从 Clerk 迁移到 WorkOS 的技能，覆盖密码哈希导出、用户批量导入、社交登录自动关联、组织与成员关系迁移，并说明 MFA 需重新注册等关键限制。
workos-migrate-descope
WorkOS 官方技能 workos-migrate-descope，用于把用户、组织与密码从 Descope 迁移到 WorkOS，覆盖预检、导出、导入、成员关系与验证流程。
workos-migrate-firebase
用于从 Firebase 迁移到 WorkOS 的迁移技能，覆盖密码哈希导入、社交登录、Magic Auth、企业 SSO、用户数据与应用代码迁移等步骤，并给出校验清单和常见错误处理。
workos-migrate-supabase-auth
用于从 Supabase Auth 迁移到 WorkOS 的操作指南，涵盖用户评估、数据导出、组织映射、用户导入、社交登录与 MFA 处理及迁移后验证。
asgardeo
Asgardeo 是 WSO2 的身份平台（Identity Platform），通过 `asg` CLI 进行端到端管理。该技能面向需要运行 `asg` 命令或操作 Asgardeo 组织的任务，例如注册与认证应用、用角色与 API scope 授权、管理用户/组/应用/角色/IdP/品牌/组织/智能体等身份资源，以及将 Asgardeo SDK 接入用户代码。它采用先会话（Gate 1）、再审批计划（Gate 2）的工作流程，按“为应用添加登录”“按角色控制权限”“智能体身份”“保护 MCP 服务器”“管理资源”“故障排查”等意图路由，并在结束时为每个变更资源给出 Asgardeo 控制台链接。凭据不会经过对话或命令，仅存于控制台或 env 文件。
bugcrowd-reporting
面向 Bugcrowd 平台提交的漏洞报告战术技能，补充通用报告写作：讲解 VRT 分类的检索与回退策略、手动严重性覆盖、严重性请求段落、OOS 条款反驳模板、链式漏洞交叉引用、QA 与生产目标选择及研究者侧提交规范。
hunt-ato
hunt-ato 是账户接管（ATO）的分类与利用路径技能，整理密码重置投毒、Token 泄露与预测、Token 不过期、改邮箱不重认证等 9 条路径及优先级链条，用于 Web 渗透测试与漏洞赏金中定位和上报账户接管漏洞。
hunt-cache-poison
hunt-cache-poison 是来自 xiaolai/claude-bughunter 的缓存投毒漏洞狩猎技能，基于 4 份公开漏洞赏金报告构建，适用于在授权目标上测试缓存投毒。资料列出高价值目标、攻击面信号、分步测试方法、检测命令与绕过思路。
hunt-cloud-misconfig
面向云与基础设施错误配置的漏洞排查技能，覆盖公开 S3 存储桶、宽松桶策略、Firebase 开放规则、EC2 元数据凭据、暴露的管理面板等检测，并提供 LocalStack 本地验证流程，源自 xiaolai/claude-bughunter。
hunt-dispatch
hunt-dispatch 是 /hunt 编排器的技能集加载器（skill-set loader），用于在渗透测试或红队行动开始时确定并加载合适的攻击技能。它先对目标做一次指纹识别（仅红队模式），根据 Okta、Microsoft 365/Entra、企业 VPN、VMware vCenter、云 IAM、供应链、APK 等信号匹配对应的平台攻击技能；随后按顺序加载常驻技能、平台技能和 hunt-* 系列技能。支持 redteam 与 wapt 两种模式，wapt 还可区分 blackbox 与 greybox。加载完成后打印一份确定性的技能分类清单，再把控制权交回 /hunt 执行后续探测。该技能本身不运行任何探测，只负责加载上下文，并声明不记录 SOW、灰盒凭据等敏感信息。
hunt-idor
面向 IDOR（不安全的直接对象引用）漏洞的猎取技能，基于 26 份公开漏洞赏金报告构建，适用于对任意目标开展 IDOR 测试。涵盖高价值资产类型、攻击面信号、分步测试方法、检测载荷、常见成因、绕过技巧与验证门槛，强调多账号对照与可复现验证。
hunt-mfa-bypass
该技能用于挖掘 MFA / 2FA 绕过漏洞，覆盖 7 种不同模式：OTP 无速率限制、OTP 使用后未失效、响应篡改、跳过 MFA 步骤（工作流绕过）、MFA 验证竞态、备用码暴力破解、"记住此设备"信任提升。当绕过可在无既有会话下导致账户接管（ATO）时，通常评为 High/Critical。技能提供 ffuf 暴力测试命令、aiohttp 竞态脚本、curl 跳过步骤验证等具体测试方法，并说明与 hunt-ato、hunt-race-condition、hunt-auth-bypass、hunt-misc、security-arsenal、triage-validation 等技能的链式组合方式。
hunt-ssrf
hunt-ssrf 是一个用于挖掘 SSRF（服务端请求伪造）漏洞的狩猎技能，基于 9 份公开漏洞赏金报告构建，适用于对任意目标进行 SSRF 排查，强调必须用带外（OOB）回调确认盲 SSRF。
meme-coin-audit
面向 EVM 与 Solana meme 币与代币的安全审计技能，用于快速识别 rug pull 与代币级漏洞。涵盖隐藏增发、蜜罐、费用操纵、LP 抽干、联合曲线操纵、权限保留、假放弃所有权、抢跑放大等类别，并提供扫描脚本与 PoC 模板。
mid-engagement-ir-detection
面向红队实战的技能：在针对有 SOC 监控的目标进行测试期间，检测客户端实时部署的缓解措施、并发攻击者活动与安全状态变化，并把变化本身作为发现记录下来。
report-writing
面向 HackerOne、Bugcrowd、Intigriti、Immunefi 等漏洞赏金平台的漏洞报告写作技能，提供各平台报告模板、标题公式、CVSS 3.1/4.0 评分、严重性判断与人类化写作语气指南，强调以影响为先、表述具体、避免理论化措辞。
triage-validation
triage-validation 是漏洞赏金流程中的发现验证技能：在撰写任何报告前，用 7 问门、4 个提交前门与「永不提交」清单筛查发现，淘汰不合格线索，并为条件成立的问题要求构建完整利用链。