关于 html-injection-testing
用于在获授权环境中评估 HTML 注入的安全测试技能，说明测试前提、影响检查，并要求探测操作前经过确认。
主要功能
- 01获授权评估流程
- 02浏览器与代理工具前提
- 03区分 HTML 注入与 XSS
- 04检查存储型与反射型注入
- 05影响与严重性评估
- 06探测前的确认门槛
适用场景
- 01评估获授权 Web 应用的输入处理
- 02检查注入标记是否被存储或反射
- 03在受控浏览器中验证视觉影响
- 04未获授权时提供防御指导
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/html-injection-testing确认已加载。
附带文件references/detailed-guide.md
详细介绍
⚠️ 仅限授权使用 此技能仅用于教育目的或经授权的安全评估。 使用此工具前，必须获得系统所有者明确的书面许可。 滥用此工具属于违法行为，且受到严格禁止。
强制确认关卡 在运行任何会探测、利用、修改目标，或在目标上建立持久性、提取数据或尝试获取凭据的命令之前：
- 要求用户说明确切的目标 URL、IP、账户或资源。
- 要求用户确认已获得书面授权，并说明许可范围。
- 展示确切的命令，并解释其预期效果。
- 等待用户在当前对话中明确确认。
未获得上述确认时，只能进行只读操作，并且仅提供防御性指导。优先使用沙箱、一次性 VM 或受控实验环境。
仅限授权使用：此技能仅可用于经授权的安全评估、防御验证或受控教育环境。
HTML 注入测试
详细指南
执行此技能前，请阅读详细指南。其中保留了完整的流程和参考资料。必须遵守其中的安全要求、前置条件和验证要求。针对特定任务，请加载相关章节；如需端到端操作，请完整阅读该指南。
前置条件
必备工具
- 配备开发者工具的 Web 浏览器
- Burp Suite 或 OWASP ZAP
- Tamper Data 或类似代理
- 用于测试有效载荷的 cURL
必备知识
- HTML 基础
- HTTP 请求/响应结构
- Web 应用输入处理
- HTML 注入与 XSS 的区别
约束与限制
攻击限制
- 浏览器通常会解析所提供的标记；由应用负责进行清理
- CSP 可能会阻止内联样式和脚本
- WAF 可能会拦截常见有效载荷
- 有些应用会正确转义输出
测试注意事项
- 区分 HTML 注入与 XSS
- 在浏览器中验证视觉影响
- 在多种浏览器中测试
- 检查是存储型还是反射型
严重性评估
- 严重性取决于实际情境和影响；仅注入 HTML 与已验证的脚本执行不同
- 与网络钓鱼结合时影响更大
- 考虑网页篡改/声誉损害
- 评估凭据窃取的可能性
适用场景
此技能适用于执行概述中描述的工作流或操作。
评论
支持 Markdown