mcpField
T
testing-security

testing-security

github.com/wojons安全336 次安装30 周前更新
代码仓库

关于 testing-security

面向应用和基础设施开发者的安全测试技能，用于查找漏洞、弱点与潜在威胁。涵盖扫描、渗透测试及配置、身份验证和数据保护检查。

主要功能

  1. 01已知漏洞扫描
  2. 02模拟攻击的渗透测试
  3. 03身份验证与授权测试
  4. 04输入验证和注入检查
  5. 05配置与数据保护审查

适用场景

  1. 01为敏感数据应用排查风险
  2. 02准备安全审计或渗透测试
  3. 03检查身份验证和授权机制
  4. 04验证部署配置与输入处理

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/wojons/skills --skill testing-security

安装后在 Claude Code 中输入/testing-security确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

README.md
references/
README.md
scripts/
example.sh

详细介绍

安全测试

识别应用程序和基础设施中的漏洞、安全弱点及潜在威胁。

适用场景

在以下情况下使用此技能：

  • 开发处理敏感数据的应用程序
  • 遵循安全标准（ISO 27001、SOC 2、HIPAA）
  • 准备安全审计或渗透测试
  • 测试身份验证和授权系统
  • 检查常见漏洞（OWASP Top 10）
  • 验证输入校验和净化
  • 确保配置和部署安全

我的功能

  • 扫描已知安全问题
  • 通过渗透测试模拟真实攻击
  • 测试身份验证和授权
  • 测试输入校验和注入漏洞
  • 审查安全配置
  • 测试数据保护和加密
  • 测试会话管理和 Cookie 安全性
  • 测试 API 安全性并检查速率限制

示例

# Security scanning tools
npm audit                         # Node.js dependency vulnerabilities
snyk test                        # Snyk vulnerability scanning
trivy image myapp:latest         # Container vulnerability scanning
bandit -r src/                   # Python security scanner
gosec ./...                     # Go security checker

# SAST (Static Application Security Testing)
semgrep scan --config auto       # Semgrep SAST
brakeman -A -w1                  # Ruby on Rails security scanner
sonarqube scan                  # Comprehensive code analysis

# DAST (Dynamic Application Security Testing)
zap-baseline.py -t https://app.example.com  # OWASP ZAP
nikto -h https://app.example.com             # Web server scanner

# Dependency checking
npm audit fix                   # Fix Node.js vulnerabilities
bundler-audit check             # Ruby gem vulnerabilities
pip-audit                      # Python package vulnerabilities

输出格式

Security Test Results:
──────────────────────────────
Critical Vulnerabilities (3):
  ❌ SQL Injection in user search endpoint
    Risk: High | CVE-2023-12345
    Fix: Use parameterized queries
    
  ❌ Hard-coded API key in config file
    Risk: Critical | CWE-798
    Fix: Move to environment variables
    
  ❌ Missing rate limiting on login endpoint
    Risk: Medium | CWE-770
    Fix: Implement rate limiting

Medium Vulnerabilities (7):
  ⚠️ Missing security headers (CSP, HSTS)
  ⚠️ Verbose error messages expose system info
  ⚠️ Session timeout too long (24 hours)

Dependency Vulnerabilities:
  ⚠️ lodash 4.17.15: Prototype pollution (CVE-2020-8203)
  ✅ All other dependencies up to date

Summary: 3 critical, 7 medium issues found
Recommendation: Fix critical issues before release

注意事项

  • 遵循 OWASP Top 10 Web 应用安全指南
  • 测试经过身份验证和未经过身份验证的访问
  • 检查业务逻辑漏洞
  • 在设计阶段考虑威胁建模
  • 在 CI/CD 流水线中实施安全措施
  • 定期进行安全扫描和渗透测试
  • 及时更新依赖项，安装安全补丁
  • 培训开发者掌握安全编码实践

评论

支持 Markdown