mcpField
C
competition-supply-chain

competition-supply-chain

github.com/zhaoxuya520安全43.7k93 次安装5 周前更新
代码仓库

关于 competition-supply-chain

面向 CTF 安全分析的下游技能，用于追踪从源代码、依赖解析到构建、发布和运行时的软件来源。它帮助定位交付产物偏离预期的环节，并整理精简的证据链。

主要功能

  1. 01追踪从源代码到运行时的来源链
  2. 02比较声明依赖与实际交付依赖
  3. 03检查构建、打包和发布阶段
  4. 04定位来源首次偏离之处
  5. 05保留产物与流水线证据

适用场景

  1. 01调查依赖漂移类挑战
  2. 02确定运行时实际使用的产物
  3. 03查找发布流水线改变预期产物的环节

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-supply-chain

安装后在 Claude Code 中输入/competition-supply-chain确认已加载。

附带文件agents/openai.yamlreferences/supply-chain.md

详细介绍

竞赛供应链

仅在 $ctf-sandbox-orchestrator 已激活并已建立沙箱假设、节点归属和证据优先级之后，才将此技能用作下游专项能力。如果尚未满足这些前提，请先回到 $ctf-sandbox-orchestrator。

当挑战实质上涉及来源、依赖漂移、构建输出、发布流程，或实际交付的运行时产物是什么时，请使用此技能。

除非用户明确要求英文，否则请用简体中文回复。

快速开始

  1. 将问题拆分为源码、依赖解析、构建、打包、发布和运行时消费。
  2. 判断预期产物与运行时产物首次出现分歧的位置。
  3. 将来源保留为一条紧凑的链条，而不是分散的观察集合。
  4. 复现仍能展示该问题的最小构建或打包路径。
  5. 将已提交的意图与流水线实际产出的内容区分开。

工作流

1. 端到端追踪来源
  • 梳理源码检出、锁文件、依赖拉取、安装前/后步骤、构建脚本、打包、发布目标和运行时消费者。
  • 比较声明的版本、解析得到的版本和交付的产物。
  • 记录 registry、缓存、镜像或 CI 环境差异。
2. 协调构建时与运行时
  • 将清单与镜像层、挂载的密钥、生成的文件和运行时钩子进行比较。
  • 判断决定性变更发生在依赖安装、构建步骤、发布步骤还是运行时引导阶段。
3. 报告断点
  • 说明来源出现分歧的最早位置。
  • 将证据保留为从源码到运行时消费者的一条简短链条。

阅读此参考

  • 加载 references/supply-chain.md 以获取来源检查清单、证据打包方式和常见流水线故障模式。

需要保留的内容

  • 声明的依赖、解析得到的依赖和运行时产物版本
  • CI 步骤名称、registry 拉取、产物哈希和镜像或软件包层
  • 实际接受或执行该产物的运行时消费者

评论

支持 Markdown