关于 injection-checking
injection-checking 是用于分流疑似注入问题的安全技能，帮助测试人员追踪输入最终到达的解释器或执行位置，并选择 XSS、SQLi、SSRF 或命令注入等专题。
主要功能
- 01输入到执行位置的分流
- 02浏览器与数据库注入主题
- 03模板与 URL 抓取主题
- 04XML 与命令注入主题
- 05其他注入类别
适用场景
- 01发现高风险输入路径后选择专项测试
- 02识别用户输入到达的解释器
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/injection-checking确认已加载。
附带文件EXTRA_INJECTION_TYPES.md
详细介绍
注入测试路由器
当输入到达危险的解释器或执行环境时，这是路由入口。
确认这是注入类问题后，使用它来判断问题主要涉及浏览器上下文、数据库、模板引擎、服务端请求、XML 解析还是系统命令。
适用场景
- 输入到达 HTML、JS、SQL、模板、URL 获取器、XML 解析器或 shell
- 你尚未决定从 XSS、SQLi、SSRF、XXE、SSTI、CMDi 还是 NoSQL 入手
- 你需要根据输入流选择正确的深度主题技能
技能映射
- XSS 跨站脚本攻击
- SQLi SQL 注入
- SSRF 服务端请求伪造
- XXE XML 外部实体
- SSTI 服务端模板注入
- CMDi 命令注入
- NoSQL 注入
- 不安全反序列化
- JNDI 注入
- 表达式语言注入
- CRLF 注入
- 其他注入类型（SSI、LDAP、XPath）
- 请求走私
- 原型污染
- 类型混淆
- HTTP 参数污染
- XSLT 注入
- CSV 公式注入
推荐流程
- 首先确定输入最终到达的接收点
- 然后选择与该解释器最匹配的主题技能
- 小型载荷示例和快速初步分类已合并到各主要技能中；无需额外的载荷路由器
相关类别
评论
支持 Markdown