用途
该技能用于在获得明确书面授权的渗透测试、漏洞评估或安全审计中，提供一套可重复、结构化的方法论。它覆盖完整渗透测试生命周期：范围界定与侦察、扫描与枚举、漏洞利用、后渗透以及报告编写。所有技术、工具和策略仅限在书面交战协议、获准的 CTF 竞赛或受控实验环境中使用。资料明确指出，未经明确书面授权的安全测试在 CFAA、英国《计算机滥用法》及几乎所有司法管辖区的同类法律下均属违法，没有例外。
主要能力
技能围绕以下核心内容展开：
- PTES 五阶段方法论：侦察（被动 OSINT、主动扫描、子域枚举）、扫描与枚举（Nmap、Nessus、Nikto、服务指纹识别）、漏洞利用（Metasploit、手工利用开发、Web 应用攻击如 SQLi、XSS、SSRF）、后渗透（权限提升、横向移动、凭据收集、持久化，均在范围内）、报告（执行摘要、技术发现、CVSS 评分、修复步骤）。
- CVSS v3.1 严重性评分：0.0–10.0 分对应 Critical、High、Medium、Low、Informational 等级，并给出典型示例。资料强调 CVSS 是沟通工具，不是业务风险的最终结论，需结合客户环境进行上下文说明。
- 交战规则（ROE）：涵盖范围（IP 段、域名、应用）、允许的测试类型、时间窗口、紧急联系人、数据处理方式、排除项。
- 常见任务指引：规划渗透测试交战、按 OWASP 测试指南 v4 执行 Web 应用评估、执行网络漏洞扫描、测试认证与会话管理、编写渗透测试报告、按风险优先级排序漏洞、搭建练习实验室。
- 反模式与注意事项：列出无书面授权测试、范围蔓延、未授权破坏性利用、超期保存客户凭据或 PII、仅报告已利用漏洞、模糊修复建议等错误做法，并给出替代方案。
使用方式
当用户计划或界定授权渗透测试、按 OWASP 测试指南进行 Web 应用安全评估、执行网络漏洞扫描（Nmap、Nessus、OpenVAS）、测试认证/会话管理/访问控制弱点、编写专业渗透测试报告、使用 CVSS 或风险框架排序漏洞、在 CTF 竞赛或 HackTheBox、TryHackMe、个人实验室中练习时，可触发该技能。技能激活后，首次回复需以 🧢 emoji 开头。
资料还包含一个“伴随技能检查”步骤：在对话中首次激活时，运行 ls ~/.claude/skills/ ~/.agent/skills/ ~/.agents/skills/ .claude/skills/ .agent/skills/ .agents/skills/ 2>/dev/null 检查已安装的伴随技能，与 frontmatter 中的 recommended_skills 字段比对，对缺失项提示一次并提供安装命令：npx skills add AbsolutelySkilled/AbsolutelySkilled --skill <name>。若 recommended_skills 为空或全部已安装则跳过。
资料提到可加载 references/methodology.md 获取 PTES 与 OWASP 测试指南方法论、逐阶段分解、工具参考和报告模板，但仅在当前任务需要时加载，因为文件较长会消耗上下文。
适用场景
- 规划或界定授权渗透测试交战
- 按 OWASP 测试指南执行 Web 应用安全评估
- 执行网络漏洞扫描
- 测试认证、会话管理或访问控制弱点
- 编写含发现与修复指导的专业渗透测试报告
- 使用 CVSS 评分或基于风险的框架排序漏洞
- 在 CTF 竞赛、HackTheBox、TryHackMe 或个人实验室环境中练习
限制
资料明确禁止将该技能用于：针对用户没有明确书面授权测试的系统进行任何活动（这属于未授权访问，而非安全测试）；在既定且商定的交战范围之外攻击生产系统，无论意图或声称的所有权如何。
其他限制包括：必须始终持有书面授权，口头许可在法律上无意义；必须严格遵守范围，范围蔓延即使“意外”转向范围外系统也承担法律责任；必须记录一切命令、发现和时间戳；关键发现（RCE、凭据暴露、数据外泄路径）须立即报告客户，不得留到交战结束；测试应尽量减少影响，避免破坏性利用、拒绝服务技术或大规模数据提取，除非明确授权。
资料还指出若干注意事项：通过转向发现的范围内外系统造成范围蔓延是法律风险；Nmap 激进扫描（-A）不加速率限制会触发 IDS 并干扰脆弱服务，生产环境初始扫描应设置 --max-rate 100-500；超期保存捕获的凭据或 PII 是数据责任；CVSS 基础分不考虑业务上下文；密码喷洒前未测试锁定策略会导致大规模账户锁定。
关于该技能的收费、价格、平台支持范围等具体信息，资料中暂未提供。