用途
pentest-report 是一个用于生成结构化渗透测试报告的技能。当需要生成渗透测试报告时，该技能会遵循 OWASP 标准与方法论，产出适合合规审查、利益相关方沟通和修复规划的专业级报告。
遵循的标准与方法论
报告遵循以下标准：
- OWASP Web Security Testing Guide (WSTG) v4.2 — 结构化测试方法论
- OWASP Top 10 (2021) — 最关键的 Web 应用安全风险
- OWASP Application Security Verification Standard (ASVS) v4.0 — 详细安全要求
- CVSS v3.1 — 用于严重性评级的通用漏洞评分系统
主要能力
范围与方法论发现
技能会通过一系列命令探测应用类型、Web 框架、API 类型、认证机制、数据库、前端框架，并映射 API 端点（攻击面）、统计端点总数、检查基础设施（Dockerfile、docker-compose、k8s、terraform、nginx.conf 等）。
OWASP Top 10 (2021) 评估
技能系统性地测试每个类别：
- A01:2021 — 失效的访问控制：检查缺失授权中间件、IDOR、路径遍历、缺失基于角色的访问控制、CORS 配置错误、缺失 CSRF 保护等。
- A02:2021 — 加密失败：检查弱哈希算法、弱加密、硬编码加密密钥、不安全随机数、密码哈希、明文敏感数据、TLS 配置等。
- A03:2021 — 注入：检查 SQL 注入、NoSQL 注入、命令注入、XSS、模板注入、LDAP 注入、XPath 注入等。
- A04:2021 — 不安全设计：检查缺失速率限制、缺失输入验证库、缺失错误边界/全局错误处理、业务逻辑缺陷等。
- A05:2021 — 安全配置错误：检查生产配置中的调试模式、默认凭据、暴露的堆栈跟踪、安全响应头、宽松 CORS、暴露的内部路径/端口、Dockerfile 安全、.env 提交、暴露的 API 文档等。
- A06:2021 — 易受攻击和过时的组件：执行 Node.js 漏洞审计、Python 漏洞审计、检查过时包、Node.js 版本 EOL 状态、已知易受攻击的包版本、未维护的包等。
- A07:2021 — 识别和认证失败：检查密码策略、会话管理、JWT 配置、暴力破解防护、密码重置流程、多因素认证、令牌存储等。
- A08:2021 — 软件和数据完整性失败：检查不安全反序列化、CI/CD 安全、子资源完整性、Webhook 签名验证等。
- A09:2021 — 安全日志和监控失败：检查日志框架、安全事件日志、日志中的敏感数据、错误监控、审计跟踪等。
使用方式
该技能以技能（Skill）形式提供，具体安装与调用方式暂未提供。技能内部通过执行各类代码扫描命令（如 grep、npm audit、pip audit 等）来发现潜在漏洞，并据此生成报告。
适用场景
- 合规审查
- 利益相关方沟通
- 修复规划
限制
资料中未提供关于收费、价格、平台支持范围、具体效果保证等信息。该技能主要基于代码扫描进行静态分析，可能无法覆盖运行时或业务逻辑层面的所有漏洞。