SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-20 00:13
7,236 个结果
Seam Access Codes（底层 API）是 Seam 提供的智能锁访问码集成技能，用于在开发者现有代码库中直接、手动地控制智能锁的限时访问码。它通过 device_id 针对具体设备创建带 starts_at 和 ends_at 时间窗口的访问码，并支持后续更新与删除。集成时需安装 seam SDK（Node.js、Python、Ruby 均可），在预订创建、变更、取消等业务逻辑中直接调用 accessCodes.create/update/delete，并保存 access_code_id 以便后续操作。该技能强调每个房间必须映射到各自的设备 ID，禁止使用全局设备回退；同时提供 webhook 端点处理 access_code.set_on_device、access_code.failed_to_set_on_device、device.disconnected 等事件。适用于需要为会议室、短租房间等场景按预订时间自动下发和回收门锁密码的应用。
该技能用于通过协作对话生成有效的 opengrep/semgrep YAML 静态应用安全测试（SAST）规则。它支持两种工作流：引导式发现（通过交互式问答确定要检测的内容）和漏洞驱动式生成（给定 CVE、OWASP 类别或漏洞描述后自动生成规则）。适用于用户要求创建规则、编写规则、生成规则、检测某类漏洞，或提供 CVE/CWE/OWASP 参考并希望获得检测规则，以及分享代码片段询问如何捕获该模式、扫描代码库中某类漏洞、审计代码安全问题并希望获得可复用规则的场景。技能会加载项目文档中的规则语法、规则索引和引擎内部资料，并搜索现有社区规则以避免重复。生成规则时遵循完整结构，包含规则 ID、消息、严重级别、语言、元数据（CWE、OWASP 等），并生成配套测试文件（至少 2 个真阳性与 2 个真阴性）。还提供高级模式手册、误报减少方法、验证清单和批量生成流程。
面向币安（Binance）API 的认证与密钥管理技能，基于 auth-provider 安全存储并校验 API Key 权限，支持生产与测试网环境切换。
本技能用于对编译后的二进制文件、固件和移动应用包进行逆向工程，涵盖分类筛选、静态反汇编、反编译和动态插桩。适用于分析未知可执行文件、恢复算法或协议、定位闭源漏洞、固件分析以及 CTF 逆向挑战。核心方法是先做分类筛选（triage），再定位关键代码，避免盲目通读整个二进制。技能文档给出了 file、readelf、rabin2、checksec、strings、binwalk、upx 等分类命令，以及 Ghidra、radare2/rizin、Binary Ninja、IDA 的静态分析工作流，并介绍了 Frida、gdb、strace、QEMU、Unicorn、angr 等动态与模拟分析手段。同时说明了反分析技术的识别与应对，以及逆向报告的交付结构。
这是一个面向安全测试人员的反序列化漏洞利用技能文档，覆盖 Java、.NET、PHP、Python、Ruby 等语言。核心内容包括：通过魔术字节识别序列化格式（如 Java 的 AC ED 00 05、.NET 的 00 01 00 00、PHP 的 O: 与 a:、Python pickle 的 80 04、Ruby Marshal 的 04 08 等）；在目标类路径上寻找可用 gadget chain；使用 ysoserial、ysoserial.net、PHPGGC 等工具生成 payload；并说明盲测与带外（DNS/HTTP）确认手段。文档还列举了序列化数据的常见藏匿位置（会话 Cookie、消息队列、Redis/Memcached 缓存、文件上传、RMI/JMX/JNDI 等）以及应当拒绝的常见认知误区。整体强调先确认反序列化发生，再考虑升级利用，并限定仅可用于获得授权的测试。
该技能提供 Microsoft Entra Global Secure Access（GSA）的实践指导。GSA 是微软通过 Entra 控制平面交付的安全服务边缘（SSE）平台，包含两个共享同一客户端、策略面和身份模型的产品：Entra Internet Access（面向互联网与 Microsoft 365 流量的安全 Web 网关 SWG，可对网络流应用条件访问）和 Entra Private Access（替代传统 VPN 的 ZTNA，通过 Entra 认证的连接器前置本地与 IaaS 应用）。技能覆盖流量转发配置文件（Microsoft、Internet Access、Private Access）、部署方法、迁移路径、护栏与常见反模式，并附有 Microsoft Learn 官方文档链接。
该技能提供在 Microsoft Entra ID 中推广 Passkeys（设备绑定与同步）和 FIDO2 安全密钥的实操指导，目标是将租户从密码+SMS/应用推送迁移到无密码、抗钓鱼的身份验证。内容涵盖按人群选择 Passkey 类型、通过临时访问通行证（TAP）引导注册、使用条件访问身份验证强度强制执行，以及淘汰旧验证方法。适用于方法选型、注册活动、CA 强制执行和旧方法退役规划，不适用于通用 CA 策略编写、Windows Hello for Business 桌面设计或 Verified ID 凭证签发。
js-api-extract 是一个面向 SPA/前后端分离目标的 JavaScript 静态分析技能，从 JS bundle 中提取隐藏 API 端点、密钥、内部域名与 WebSocket 地址，用于 API 渗透的信息收集阶段。
多层网络渗透与隧道搭建技能，用于从 DMZ 跳转到内网、跨网段渗透，或目标位于多层防火墙与网络分区之后的场景。覆盖代理搭建（frp/chisel/SSH）、多跳隧道链、端口转发与 SOCKS 代理，面向从边界突破到域控的完整多层攻击路径。该技能以方法论为主线：先获取 DMZ 主机 Shell 并进行网络信息收集，判断主机是否为双网卡天然跳板或需搭建反向隧道，随后进行目标网络测绘；再依据目标出网情况通过决策树选择隧道方案（可出网时按是否具备 SSH 凭据、是否需要长期稳定或快速部署选择 SSH -D、frp 或 chisel；仅 HTTP 出网时使用 Neo-reGeorg；完全不出网时使用 SSH 反向隧道或在跳板中中转）；最后通过代理进入内网，按内网侦察、域环境攻击、凭据喷洒、横向移动的优先级推进。技能包含隧道工具选择速查表与注意事项，例如 proxychains 仅支持 TCP 而不支持 ICMP 与 UDP、隧道建立后应先用 proxychains curl 测试连通性再大范围扫描、使用 autossh 或 frp 断线重连保持稳定、记录每一跳的凭据与隧道命令以便重建。工具配置命令、多跳代理链、proxychains 用法等详细内容位于 references/tunnel-tools.md。
OWASP Top 10 是一个面向 Web 应用安全的知识型技能，围绕 OWASP Top 10 中最关键的十类安全风险，提供漏洞说明与缓解示例。内容涵盖失效的访问控制、加密失败、注入、不安全设计、安全配置错误、易受攻击的组件、认证失败、数据完整性失败、日志记录失败以及服务端请求伪造（SSRF）。该技能以代码对比方式展示“错误写法”与“推荐写法”，例如授权校验、使用 argon2 哈希密码、参数化查询、基于环境的调试配置、依赖扫描命令、强密码校验、JWT 安全验证、SRI 完整性校验、安全事件日志以及域名白名单等。适用于安全审计、实现安全控制、代码安全审查等场景，并关联 auth-patterns、input-validation、security-scanning 等相关技能。
该技能用于借助 Burp Suite 对 Web 应用进行安全测试，覆盖 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描以及手工测试流程。它通过代理式测试方法，帮助系统性地发现和利用 Web 应用漏洞。技能内容包含环境准备、拦截与修改请求、设置目标范围、使用 Repeater、运行自动化扫描、Intruder 攻击等核心工作流，并给出常见测试载荷、快捷键、示例与故障排查。适用于已获授权的 Web 应用安全测试场景。
Red Team Tools 是一套面向红队方法论与漏洞赏金狩猎的技能，提供从侦察、子域枚举、存活主机发现、技术指纹识别、内容发现到漏洞扫描与 XSS 自动化的完整工作流。它整合 Amass、Subfinder、httpx、ffuf、Nuclei、Dalfox、waybackurls 等工具，并给出可复用的命令与自动化脚本，帮助安全研究人员系统化地覆盖攻击面、发现漏洞并整理报告。
该技能基于 OWASP Top 10（2021）标准，对代码进行系统性安全审查，覆盖 SQL 注入、XSS、SSRF、访问控制失效、加密失败等常见漏洞。使用时提供待审查的代码文件或代码片段，并说明需要检查的 OWASP 类别（或要求完整审查），即可获得逐项审计报告。审查涵盖 A01 至 A10 共十个类别，每个发现均附带具体修复代码并标注 file:line_number，按严重程度分为红（高）、黄（中）、绿（低）三级并给出优先修复清单。适用于 Web 应用的安全导向代码审查。
漏洞评估技能，提供从范围确定、信息收集、漏洞扫描、验证到风险评估与报告编写的流程、工具用法和最佳实践，覆盖网络、主机、应用与代码扫描。
1Password 是一个通过 1Password CLI（op）进行机密信息与 API 密钥管理的技能，可处理保险库条目、服务账户和密钥引用。该技能注册在 Neo4j 技能图谱中，仅用于发现和匹配用途，并非通过传统 ClaWHub 方式安装；当任务匹配时，智能体会提示按需安装。如需在本地使用，可通过命令 clawhub install 1password 安装。该技能适用于需要 1Password 能力的场景。关于其具体功能细节、收费情况、支持平台及更多使用步骤，资料暂未提供。
火山引擎技能安全扫描器（Volcengine Skills Scanner），用于审计和扫描工作区中其他技能的安全风险。它将技能目录打包上传至火山引擎安全扫描服务，输出 JSON 结果并以中文报告展示风险等级、详情与建议。
network_egress_test 是 charpup/skill-security-auditor 中的一个测试类技能，从其名称与来源可以看出，它用于安全扫描场景下的网络出站（egress）相关测试。根据现有资料，该技能被明确标注为“security scanning 的测试技能”，其介绍内容也仅为简短的测试说明，未提供具体实现细节、参数配置或使用步骤。该技能可能用于验证技能安全审计流程中，对网络外发行为的检测逻辑是否正常工作，属于安全扫描工具链中的测试用例性质组件。由于资料有限，其具体功能范围、支持的网络协议、检测规则、输出格式、收费情况与运行平台均暂未提供。适用场景可理解为安全审计、技能安全扫描的测试与验证环节，供开发或安全人员在构建、调试安全审计流程时参考使用。使用时请以官方实际文档为准，本条目仅基于所给资料进行客观整理，未对功能效果作任何推测或保证。
用于在无权限前提下审计智能合约可利用漏洞的安全审计技能。提供侦察、源码与字节码分析、DeFi 攻击面检查、漏洞分级、Foundry 分叉验证和报告生成的系统化流程。
webhook-security 是一套面向生产环境的 Webhook 安全处理技能，提供签名验证、时间戳校验、幂等处理与自建发送端方案，覆盖 Stripe、GitHub、Twilio 等第三方服务，含 TypeScript 与 Python 实现示例。
angr 符号执行技能，用于 CTF 逆向中符号化输入并自动求解：将 stdin、argv、文件或内存缓冲区符号化，用 find/avoid 模式探索路径，再由求解器算出满足校验的输入。含安装、Python 版本要求、模板与常见坑。
Java 字节码逆向技能，覆盖 jar/war/class 解包、CFR/JD-GUI/javap 反编译、ProGuard/Allatori 混淆识别与字符串解密、Java 加固脱壳，以及 JDB 动态调试。适用于还原 Java 逻辑、定位密钥与网络逻辑、分析恶意 Java 样本。
壳与混淆器识别技能，通过签名、节名、入口点和熵等特征判断样本是否加壳及壳名。基于 DIE、PEiD、file、strings、objdump、ent、binwalk、pefile 等工具完成静态初勘，为后续脱壳路径提供依据，覆盖 UPX、ASPack、FSG、VMProtect 等常见壳的识别与陷阱说明。
面向早期创业者的竞品情报技能：联网调研 5-8 家真实竞品，生成带来源的功能对比矩阵、定位空白、威胁排序与可占据的细分市场建议。
面向安全基础领域的 CSRF 防护校验技能，在请求中提及“csrf protection validator”或询问相关模式与最佳实践时自动激活，提供分步指导、可投产的代码与配置、最佳实践建议及校验结果。