关于 top-web-vulnerabilities
面向 Web 应用安全学习与获准评估的漏洞参考技能，介绍常见漏洞模式，并要求在任何主动测试前完成授权与目标确认。
主要功能
- 01常见 Web 漏洞参考
- 02强调书面授权与范围确认
- 03主动测试前展示命令并等待确认
- 04提供防御性指导与测试前提
适用场景
- 01学习 Web 应用漏洞及其限制
- 02在获准范围内规划安全评估
- 03未获确认时获取防御建议
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/top-web-vulnerabilities确认已加载。
附带文件references/detailed-guide.md
详细介绍
⚠️ 仅限授权使用 本技能仅用于教育目的或经授权的安全评估。 在使用本工具前，你必须获得系统所有者的明确书面许可。 滥用本工具属于违法行为，严禁使用。
强制确认关卡 在运行任何针对目标进行探测、利用、更改、驻留、提取数据或尝试访问凭据的命令之前：
- 要求用户说明确切的目标 URL、IP、账户或资源。
- 要求用户确认已获得书面授权以及允许的范围。
- 展示确切的命令并解释其预期效果。
- 在当前对话中等待明确确认。
若无该确认，请保持只读，仅提供防御性指导。优先使用沙箱、一次性虚拟机或受控实验环境。
Top 100 Web 漏洞参考
详细指南
在执行本技能之前，请阅读详细指南。该指南保留了完整的流程和参考资料。将其安全性、前提条件和验证要求视为强制性的。对于有针对性的工作，加载相关章节；对于端到端的工作，请完整阅读该指南。
前提条件
- 对 Web 应用架构有基本了解（客户端 - 服务器模型、HTTP 协议）
- 熟悉常见的 Web 技术（HTML、JavaScript、SQL、XML、API）
- 理解身份验证和授权概念
- 能够使用 Web 应用安全测试工具（Burp Suite、OWASP ZAP）
- 建议了解安全编码原则
约束与限制
- 漏洞定义代表常见模式；具体实现各有不同
- 缓解措施必须根据技术栈和架构进行调整
- 新漏洞不断出现；参考资料应持续更新
- 某些漏洞在不同类别之间存在重叠（例如，IDOR 出现在多种场景中）
- 缓解措施的有效性取决于是否正确实施
- 自动化扫描器无法检测所有漏洞类型（尤其是业务逻辑）
何时使用
本技能适用于执行概述中描述的工作流或操作。
评论
支持 Markdown