longbridge-security-list
中文介绍正在整理，稍后补充。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-15 00:40
安全与审计
3,587 个结果
security-payloads
security-payloads 是一个面向安全测试的载荷集合技能，来源于 SecLists 的 Payloads 目录，经过整理后以技能形式提供。它包含用于杀毒软件测试、文件上传测试、路径遍历测试和安全控制验证的载荷文件，例如 EICAR 测试文件、空字节文件名和命令执行文件名等。该技能适用于获得授权的渗透测试、漏洞赏金计划、CTF 竞赛以及受控环境下的安全研究和教学演示。资料明确强调，禁止将其用于未授权访问、未经许可的测试、恶意活动、隐私侵犯或任何非法用途。该技能基于 MIT 许可证发布，完整 SecLists 仓库约 4.5 GB，包含 6000 多个文件，覆盖密码、用户名、发现、模糊测试、载荷、Web Shell、模式匹配、AI 等多个类别。
owasp-audit
中文介绍正在整理，稍后补充。
testing-jwt-token-security
本技能用于在授权渗透测试中评估 JSON Web Token（JWT）实现的安全性，重点检查加密弱点、算法混淆攻击与授权绕过漏洞。适用于应用使用 JWT 做身份认证或授权、API 通过 Bearer 令牌或 Cookie 传递 JWT、评估使用 JWT/JWS/JWE 的 SSO 实现、测试签发 JWT 的 OAuth 2.0 或 OpenID Connect 流程，以及审计以 JWT 做服务间认证的微服务架构等场景。技能围绕 jwt_tool、Burp Suite 的 JWT 扩展、PyJWT、Hashcat、john 等工具展开，工作流覆盖解码分析结构、测试 alg:none 攻击、RS256 到 HS256 算法混淆、爆破 HMAC 密钥、篡改与注入声明（JKU、KID、x5u）、测试令牌生命周期与吊销等环节，并给出结构化发现报告的输出格式。
skill-security-audit
中文介绍正在整理，稍后补充。
sap-dependency-security
SAP 依赖安全与 MCP 可执行文件信任策略工具：通过安全升级、冷却期、分阶段发布和供应链防护来管理依赖。适用于升级依赖、配置防供应链攻击、解决依赖冲突或审计漏洞等场景。涉及 SAP 项目、BTP 部署工具、SAP SDK 或本仓库发布的 MCP 服务器时，可使用更严格的 SAP 开发模式。
security-passwords
该技能提供用于授权安全测试的精选密码列表，包含常见密码、暗网泄露密码和最差密码等，体积小于10MB。来源为 SecLists/Passwords，采用 MIT 许可证。适用于密码喷洒、凭据测试、密码策略验证、暴力破解测试和身份验证测试等授权场景。技能内包含 500 个最差密码、1 万个最常见密码、10 万个最常用密码（NCSC）、2017 年暗网泄露前 1 万密码以及约 1.2 万个可能密码等文件。使用时需通过文件路径读取文本内容。仅限获得书面授权的渗透测试、漏洞赏金、CTF 竞赛、受控环境安全研究、测试自有系统及教育演示等合法用途，严禁未授权访问、恶意活动或隐私侵犯。
security-headers-configuration
该技能用于为 Web 应用配置 HTTP 安全响应头，涵盖 CSP（内容安全策略）、HSTS、X-Frame-Options 和 XSS 防护等，帮助抵御 XSS、点击劫持、MIME 嗅探及其他基于浏览器的攻击。适用于新 Web 应用上线、安全审计整改、合规要求、浏览器安全加固、API 安全与静态站点防护等场景。技能提供 Node.js/Express（Helmet）、Nginx、Python Flask、Apache .htaccess 等实现参考，并附带安全头测试脚本，同时给出最佳实践清单。
security
中文介绍正在整理，稍后补充。
ClawdStrike
ClawdStrike 是一款面向 OpenClaw 网关主机的安全审计与威胁建模技能。它用于核查 OpenClaw 的配置、暴露面、技能与插件、文件系统卫生状况，并输出确定性的 OK/VULNERABLE 报告，包含严重程度、证据与修复建议。该技能要求以 Verified 模式运行，立即执行 scripts/collect_verified.sh，并仅使用严格白名单内的命令，禁止运行远程内容、禁止泄露密钥、默认不修改系统，仅以说明形式提供修复方案。报告基于 verified-bundle.json 生成，逐项评估必查清单，附简短威胁模型，并以证据表格呈现，每行需引用已验证的键并给出脱敏摘要。
security-usernames
这是一个面向授权安全测试的用户名枚举词表技能，整理自 SecLists 的 Usernames 目录。它汇集了常用用户名、系统默认用户名以及常见姓名列表，帮助安全测试人员在获得授权的前提下进行用户名枚举、默认凭据测试、用户发现与账号验证。技能中明确包含 top-usernames-shortlist.txt（最常见用户名）、cirt-default-usernames.txt（系统默认用户名）和 Names/names.txt（常见名字）等文件，并提供读取这些词表的 Python 示例代码。使用时需注意仅限合法授权场景，如获得书面许可的渗透测试、范围内的漏洞赏金项目、CTF 比赛、受控环境的安全研究、测试自有系统及教学演示；禁止用于未经授权的访问尝试、恶意活动或隐私侵犯。
vulnerability-scanning
该技能用于在代码、依赖项与容器镜像中自动发现安全漏洞，可结合 Trivy、Snyk、npm audit、Bandit 等工具在 CI/CD 流程中执行安全扫描。资料提供了依赖扫描、容器扫描、GitHub Actions 集成、Python 代码分析以及 Node.js 调用扫描工具的具体命令与示例代码，并列出将扫描纳入流水线、对高危/严重问题使构建失败、持续跟踪漏洞、记录已接受误报等实践建议。
security-webshells
该技能收录用于检测与分析目的的 Web Shell 样本，涵盖 PHP、ASP、ASPX、JSP、Python、Perl 等类型。资料显示其来源为 SecLists 的 Web-Shells 子集，可用于 Web Shell 检测测试、安全监控验证、恶意软件分析、IDS/IPS 签名测试与取证研究。内容以文件形式组织，可通过脚本遍历读取样本文件。仅限获得授权的安全测试、漏洞赏金（范围内）、CTF 比赛、受控环境研究与教学演示使用；资料明确禁止未授权访问、无许可测试、恶意活动、隐私侵犯及任何违法用途。
codeql
CodeQL 代码扫描配置指南，覆盖通过 GitHub Actions 工作流和 CodeQL CLI 两种方式搭建与运行代码扫描。内容包括默认设置与高级设置的选择、工作流触发器、权限、语言矩阵、构建模式、查询套件、单体仓库按组件扫描、依赖缓存、自定义查询包与模型包、SARIF 输出与上传、告警严重级别与分类处理、Copilot Autofix、日志与调试、常见故障排查以及自托管运行器的硬件要求。支持 C/C++、C#、Go、Java/Kotlin、JavaScript/TypeScript、Python、Ruby、Rust、Swift 和 GitHub Actions 等语言标识符。适合需要为代码仓库建立静态安全分析、在 PR 中拦截安全问题或本地运行 CodeQL 分析的开发者与安全团队。
security-scanning-security-hardening
这是一个面向应用、基础设施与合规控制的协调式多层安全扫描与加固技能。它通过多智能体编排实现纵深防御，流程分为四个阶段：第一阶段执行综合安全评估，包括使用 Semgrep/SonarQube 进行 SAST 扫描、使用 OWASP ZAP 进行 DAST 扫描、使用 Snyk/Trivy 进行依赖审计、使用 GitLeaks/TruffleHog 进行密钥检测并生成 SBOM，随后进行 STRIDE 威胁建模与架构安全评审；第二阶段聚焦漏洞修复，涵盖 SQL 注入、XSS、认证绕过、不安全反序列化等关键漏洞修复，以及后端、前端、移动端安全加固；第三阶段实施认证授权增强、基础设施安全控制与密钥管理；第四阶段进行渗透测试验证、合规框架核验以及 SIEM 安全监控集成。该技能适合运行协调式安全加固计划、建立纵深防御控制以及根据扫描与威胁建模结果排定修复优先级。如果只需要快速扫描而无需修复、缺乏安全测试授权，或环境无法承受侵入式安全控制，则不适合使用。
skills-security-audit
中文介绍正在整理，稍后补充。
email-security-auditor-cpp
Email Security Auditor 是一个用 C++ 编写的电子邮件账户安全测试与审计工具，属于 Security Skills 技能集合。它主要用于在获得授权的安全测试中验证邮箱凭据、检测 SMTP/IMAP 认证机制、批量核验邮箱账户，并支持密码安全评估与凭据填充检测测试。工具提供从发布页安装或从源码构建两种方式，依赖 OpenSSL 与 pthread，支持多线程并发验证、速率限制、代理支持以及配置文件和环境变量设置。官方明确提示：仅可用于自有或已获明确授权的系统，未经授权访问邮箱账户属于违法行为。
security
中文介绍正在整理，稍后补充。
cloud-penetration-testing
这是一个面向云环境安全评估的技能，用于对 Microsoft Azure、AWS 和 Google Cloud Platform（GCP）的云基础设施进行安全测试。该技能仅限获得明确书面授权的安全评估、防御性验证或受控教学环境使用，并设有强制确认环节：在运行任何探测、利用、更改、持久化、提取数据或尝试凭据访问的命令前，必须先让用户说明确切的目标 URL、IP、账户或资源，确认书面授权与允许范围，展示确切命令及其预期效果，并在当前对话中获得明确确认；否则保持只读并提供防御性指导。技能提供了 Azure、AWS、GCP 所需 CLI 工具的安装命令、所需知识（云架构基础、IAM、API 认证机制、DevOps 与自动化概念）、所需访问权限（书面授权、测试凭据、范围与交战规则）以及法律与技术限制、检测注意事项，并给出 Azure 密码喷洒、AWS S3 存储桶枚举、GCP 服务账号利用等示例场景。
security-review
Security Review Skill 是一个用于代码安全审查的技能，旨在确保代码遵循安全最佳实践并识别潜在漏洞。根据资料，该技能在添加认证、处理用户输入、使用密钥凭据、创建 API 端点、实现支付/敏感功能、处理文件上传、传输敏感数据或集成第三方 API 时激活。它提供涵盖以下方面的安全检查清单与验证步骤：密钥管理（禁止硬编码密钥，使用环境变量）、输入验证（使用 zod 等 schema 校验用户输入与文件上传）、SQL 注入防护（使用参数化查询）、认证与授权（使用 httpOnly cookie、权限校验、Supabase 行级安全）、XSS 防护（使用 DOMPurify 清洗 HTML、配置 CSP 头）、CSRF 防护（CSRF token、SameSite cookie）、速率限制、敏感数据暴露防护（日志脱敏、通用错误信息）、区块链安全（Solana 钱包签名与交易验证）、依赖安全（npm audit、锁定文件）等。此外还包含自动化安全测试示例、部署前安全检查清单，以及 OWASP Top 10 等资源链接。
django-application
中文介绍正在整理，稍后补充。
dd-audit-security-investigation
中文介绍正在整理，稍后补充。
faasjs-best-practices
中文介绍正在整理，稍后补充。
analyzing-azure-activity-logs-for-threats
该技能用于分析 Azure 活动日志以发现威胁，通过 azure-monitor-query 查询 Azure Monitor 活动日志与登录日志，检测可疑的管理操作、不可能旅行（impossible travel）、权限提升等安全风险。面向安全运营（SOC）分析师，适用于安全事件调查、检测规则与威胁狩猎查询构建、此类分析的标准化流程，以及相关攻击技术的安全监控覆盖验证。使用前需熟悉安全运营概念与工具，具备可安全执行的测试或实验环境、Python 3.8+ 及所需依赖，并取得相关测试活动的适当授权。