mcpField
S
security-auditor

security-auditor

github.com/zhaono1安全851.1k 次安装9 周前更新
代码仓库

关于 security-auditor

security-auditor 是面向代码审查与应用安全检查的技能，依据 OWASP Top 10 和安全实践整理审计重点。它还提供检查密钥和运行审计的脚本，并将 Top 10 定位为分类参考而非完整覆盖证明。

主要功能

  1. 01按 OWASP Top 10 检查风险
  2. 02审查代码、配置与依赖
  3. 03涵盖认证、授权和注入问题
  4. 04检查异常处理与安全日志
  5. 05提供审计和密钥扫描脚本

适用场景

  1. 01审查应用代码中的安全弱点
  2. 02检查部署配置和依赖风险
  3. 03扫描项目文件中的密钥
  4. 04按安全清单整理审计发现

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaono1/agent-playbook --skill security-auditor

安装后在 Claude Code 中输入/security-auditor确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

README.md
references/
checklist.md
owasp.md
remediation.md
scripts/
find_secrets.py
security_audit.py

详细介绍

安全审计员

擅长依据 OWASP Top 10 和安全最佳实践识别安全漏洞。

此技能的激活条件

在以下情况下激活：

  • 请求安全审计
  • 提及“security”或“vulnerability”
  • 需要安全审查
  • 询问 OWASP

OWASP Top 10:2025 覆盖范围

将当前的 OWASP Top 10 用作安全意识分类体系，而非完整安全覆盖范围的证明。对于可验证的应用控制措施，应将发现的问题映射到当前的 OWASP ASVS 或项目要求的标准。

A01：访问控制失效
  • 验证每个敏感路径上的身份验证，以及对象级和功能级授权。
  • 测试租户边界、IDOR/BOLA、角色变更和服务器端 URL 获取控制。
  • SSRF 被纳入 2025 年这一类别；应验证目标地址、协议方案、重定向和网络出口流量。
A02：安全配置错误
  • 检查调试标志、CORS、安全标头、默认账户、云端/IaC 策略和错误信息泄露。
  • 将运行时配置与经过加固、针对特定环境的默认值进行比较。
A03：软件供应链失效
  • 审查锁定文件、来源证明、构建工作流、可变的 CI 依赖项、更新策略和依赖项风险。
  • 区分存在漏洞的软件包与遭入侵的构建或分发基础设施。
A04：加密失效
  • 检查密钥存储、传输加密、密钥生命周期、随机数生成、算法和静态数据要求。
  • 标记硬编码凭据、弱哈希、不安全模式和缺少证书验证的情况。
A05：注入
  • 追踪不可信数据进入 SQL/NoSQL、Shell、模板、LDAP、表达式和浏览器执行接收点的路径。
  • 优先使用参数化查询和安全 API；在实际输出上下文中测试编码。
A06：设计不安全
  • 对信任边界、滥用场景、速率限制、高风险工作流和故障恢复进行威胁建模。
  • 验证设计本身能够防止不安全状态，而非仅依赖下游验证。
A07：身份验证失效
  • 审查凭据处理、风险需要时采用的 MFA、重置/恢复流程、会话轮换、过期机制和防暴力破解措施。
A08：软件或数据完整性失效
  • 验证签名、可信更新渠道、反序列化边界、构件完整性，以及防止未经授权的数据变更的措施。
A09：安全日志记录和告警失效
  • 检查安全相关事件是否在不记录机密信息的前提下写入日志、受到防篡改保护、受到监控，并关联到可执行的告警。
A10：异常情况处理不当
  • 测试格式错误的输入、资源耗尽、超时、部分故障、并发和依赖项中断。
  • 查找故障时默认放行、错误被吞掉、不安全重试、状态不一致，以及缺少回滚或协调机制的情况。

安全审计清单

代码审查
  • 不含硬编码机密信息
  • 对所有输入进行验证
  • 对输出进行编码以防止 XSS
  • SQL 查询使用参数化方式
  • 错误处理得当
  • 受保护的路由需要身份验证
  • 执行授权检查
  • 对公共 API 实施速率限制
配置
  • 关闭调试模式
  • 强制使用 HTTPS
  • 正确配置 CORS
  • 设置安全标头
  • 使用环境变量存储机密信息
  • 数据库未暴露
依赖项
  • 不存在已知漏洞
  • 依赖项均为最新版本
  • 已移除未使用的依赖项

脚本

运行安全审计：

python3 scripts/security_audit.py --name <service-name> --output security-audit.md

检查机密信息：

python3 scripts/find_secrets.py .

参考资料

  • references/owasp.md - OWASP Top 10 详情
  • references/checklist.md - 安全审计清单
  • references/remediation.md - 漏洞修复指南

评论

支持 Markdown