SuperAPI AI 工具集
合作ENAI 行业资讯收藏

Skill 广场

找到适合任务的 Agent Skill，阅读介绍并复制安装命令。

更新于 10-18 00:12

安全与审计

7,211 个结果

ns-best-practices

ns-best-practices 是一个面向 Web 应用的安全与质量卫生检查技能，用于加固安全、修复 CSP/CORS/响应头、检查浏览器兼容性基线、执行无障碍（a11y）快速检查，以及按《Vercel Web Interface Guidelines》审查 UI、UX 与无障碍问题。它定位为聚焦的质量与安全卫生巡检，不能替代资深代码评审或视觉设计方向。适用场景包括：安全响应头 / CSP / HSTS、依赖审计与已知 CVE 排查、浏览器兼容基线、无障碍快速检查（地标、alt、标签），以及“审查我的 UI”这类 Web 界面指南与 UX a11y 审计。不适用于独特视觉重设计/反通用 AI 美学（应使用 ns-frontend-design）、针对变更的 MR 评审与 SOLID 深入分析（ns-reviewer）、新功能实现（ns-coder / ns-spec-driven）。工作流包含确定范围、对照检查清单、必要时完整阅读 UI 指南评审参考、扫描配置、输出含严重度与位置的发现表、在用户要求实现时给出最小安全差异。限制：不得在无证据时宣称生产安全、不得在未提示风险时破坏既有集成、不得替代高风险领域的威胁建模、UI 审计或原型收尾时不得跳过 ui-guidelines-review.md 却声称已完成完整 UI 检查。

安全与审计107 次安装

php-thinkphp-audit

php-thinkphp-audit 是面向 ThinkPHP 框架的安全审计工具，属于 php-code-audit-skill 技能集的一部分。它针对 ThinkPHP 常见的框架特性安全机制与典型风险点进行白盒静态审计，覆盖鉴权与权限控制、CSRF token 机制、模板引擎自动转义与 raw 输出、ORM/Model 写入链路导致的 Mass Assignment、数据库原生表达式与原始 SQL 注入入口，以及 debug/异常输出与安全配置开关等。所有发现会映射到通用漏洞类型体系（AUTH、CSRF、XSS、TPL、LOGIC、CFG、SESS、SQL 等），并附上映射原因。使用方式为提供 ThinkPHP 项目根目录（source_path），可选指定输出目录（output_path，默认 {source_path}_audit），审计报告输出到 {output_path}/framework_audit/thinkphp_{timestamp}.md。工具要求先给出识别 ThinkPHP 的证据点，再逐项执行必审清单，并至少提供 AUTH 或 CSRF 之一的可观测 PoC 验证框架。

安全与审计106 次安装

robotics-security

面向机器人系统的安全加固技能，覆盖 SROS2/DDS 安全、网络分段、凭据管理、安全启动与固件校验等主题，并涉及工业机器人 IEC 62443 合规要求。该技能以“机器人攻击面”为切入点，说明网络、中间件、应用、物理接口、固件与供应链各层的典型风险，例如未认证的 /cmd_vel 可能导致机器人意外运动、传感器欺骗可能引发碰撞、开放 DDS 组播发现可被被动枚举、USB/串口物理访问可获取 root shell 或刷写固件、未签名固件升级可能留下持久后门。主要内容包括：生成 SROS2 keystore 与按节点创建 enclave、编写治理与权限 XML（默认拒绝、按主题最小授权）、在 launch 文件中启用 Enforce 策略、网络控制/数据/管理平面分段与 iptables 规则、关闭 DDS 组播改用单播对等列表、SSH 与主机加固、fail2ban、无人值守安全更新、最小化软件包、凭据与证书轮换、密钥库文件权限、容器非 root 运行与镜像扫描签名，以及物理急停与信息安全的关系（急停需硬接线独立于软件）。

安全与审计106 次安装

security-threat-model

Security Threat Model 是一个用于系统化识别安全漏洞、威胁与缓解措施的安全分析技能，采用 STRIDE 方法论与信任边界映射。它通过五步流程帮助团队梳理系统架构与数据流、识别信任边界、对数据分类并明确合规要求、应用 STRIDE 六类威胁模型，最后定义缓解措施、监控与风险优先级。适用于处理敏感数据的系统，覆盖 Web 应用、OAuth API、微服务、文件上传、移动应用等常见架构模式，并强调假设入侵、纵深防御、最小权限等安全原则。

安全与审计106 次安装

exploiting-zerologon-vulnerability-cve-2020-1472

本技能介绍 Zerologon 漏洞（CVE-2020-1472）的利用方法。该漏洞是 Microsoft Netlogon 远程协议（MS-NRPC）中的严重权限提升漏洞（CVSS 10.0），源于 AES-CFB8 加密实现中初始化向量（IV）被错误设为全零。攻击者无需认证，仅需网络访问域控制器，即可建立 Netlogon 会话并将 DC 机器账户密码重置为空，从而完全控制域。技能涵盖漏洞识别、利用 Impacket 执行攻击、使用空密码进行 DCSync、获取域管理员权限，以及关键的机器账户密码恢复步骤，并附检测规则与防御建议。仅限授权安全测试与教育用途。

安全与审计106 次安装

performing-soap-web-service-security-testing

该技能用于对 SOAP Web 服务进行安全测试。它通过解析 WSDL 定义来识别可用操作与参数，并针对 XML 注入、XXE（XML 外部实体）、XML 炸弹、SQL 注入、SOAPAction 头欺骗以及 WS-Security 绕过等常见问题执行检测。技能以 Python 脚本形式提供，依赖 requests、lxml 等库，可自动遍历服务操作、发送构造的 SOAP 请求、根据响应特征判断潜在漏洞，并生成包含严重级别（CRITICAL/HIGH）的评估报告。适用于企业、金融、医疗、政府等仍广泛部署 SOAP 服务的环境中的授权安全评估与审计。

安全与审计106 次安装

fsecure-internet-security-patch-activator-malware

该项目是一个伪装成 F-Secure 安全软件的恶意仓库，标题明确指出其性质为恶意软件分发（MALWARE DISTRIBUTION）。它冒充正规的 F-Secure 安全软件仓库，实际分发以“补丁（patch）”和“激活器（activator）”为名的恶意文件，以及伪造的许可证密钥生成器。资料将其列为安全警告对象，说明它不是可使用的工具或技能，而是需要警惕、避免下载并应当举报的威胁来源。资料同时给出了识别特征、潜在威胁类型、以及下载后的应急处理建议和正规软件获取渠道。

安全与审计106 次安装

security-auditor

security-auditor 是一个专注于 DevSecOps、应用安全与合规框架的安全审计技能。它面向安全审计与风险评估、SDLC 安全控制与 CI/CD 合规审查、漏洞调查与缓解方案设计、认证授权与数据保护控制验证等场景。技能内容涵盖安全自动化、现代认证与授权、OWASP 与漏洞管理、应用安全测试、云安全、合规治理、安全编码、网络与基础设施安全、安全监控与事件响应、新兴安全技术以及安全测试与验证等方向，并强调纵深防御、最小权限、永不信任用户输入、安全失败、依赖扫描与左移安全等行为准则。使用前需确认范围、资产与合规要求，并需获得授权；不适用于缺乏授权或范围批准的安全测试、需要法律顾问或正式合规认证的场景，以及仅需快速自动扫描而无需人工审查的情况。

安全与审计106 次安装

broken-authentication

该技能用于识别和利用 Web 应用中的身份认证与会话管理漏洞，属于 OWASP Top 10 中“失效的身份认证”测试范畴。它提供了从认证机制分析、密码策略测试、凭据枚举、暴力破解、会话管理与会话固定测试，到多因素认证绕过、密码重置安全分析等完整工作流程，并列出所需工具（如 Burp Suite、Hydra）、常用测试载荷、会话 Cookie 标志说明与速率限制绕过头。使用前提是必须获得系统所有者的明确书面授权，且仅限教育与授权安全评估用途；工具内置强制确认门，未获确认前只做只读操作并提供防御性建议。技术限制包括验证码、速率限制、MFA 可能阻碍自动化测试，测试账号与生产环境可能存在行为差异。

安全与审计106 次安装

security-review

Security Review 是一个已被硬性弃用的独立安全审查技能，来自 yeachan-heo/oh-my-codex。其资料明确标注为「Deprecated standalone security review skill」，并说明该技能已被硬性弃用，不应再被调用或路由。对于包含安全考量的新审查工作流，资料建议直接使用 $code-review。除上述弃用状态与迁移指引外，该技能的具体审查能力、使用步骤、适用场景、收费方式与平台信息暂未提供。

安全与审计106 次安装

security-vite

security-vite 是一套面向 Vite 应用的安全审计模式，重点检查 SPA 与开发服务器相关的安全问题。它关注三类风险：环境变量泄露（尤其是 VITE_* 前缀变量会被打包进客户端 JavaScript）、构建期密钥（如 vite.config.ts 的 define 块中注入的敏感值）、以及代理与开发服务器配置。该技能提供审计步骤、常见错误示例、环境变量文件加载优先级说明、envPrefix 覆盖风险、构建期与运行期密钥的区别，以及快速审计命令和加固清单。适用于在开发或审查 Vite 项目时主动排查密钥暴露、源码映射泄露、开发服务器暴露到网络、仅客户端鉴权等问题。

安全与审计105 次安装

fsecure-internet-security-malware-distribution

该条目并非可用的 AI 工具或技能，而是一份安全警示文档，记录了一个伪装成 F-Secure Internet Security 安全软件的恶意仓库。资料指出该仓库以“补丁激活器”“激活修复”等名义诱导下载，实际可能用于分发木马、勒索软件或间谍软件，并包含伪造时间戳、虚高星标、无真实源码、外链下载页等特征。文档同时提供了断网、杀毒扫描、检查可疑进程与启动项、取证分析、上报滥用、系统恢复等应急步骤，并强调只应从官方渠道获取安全软件。

安全与审计105 次安装