关于 web-security-expert
web-security-expert 是用于 Web 安全测试的参考技能，面向检查身份验证、授权和输入验证的开发与安全人员。它汇总 OWASP Top 10 测试思路、检查清单、示例载荷和相关工具。
主要功能
- 01OWASP Top 10 测试参考
- 02身份验证检查清单
- 03授权漏洞检查
- 04输入验证测试项目
- 05常见安全测试工具列表
适用场景
- 01检查 Web 应用身份验证缺陷
- 02测试端点的越权访问风险
- 03验证参数对注入与 XSS 的防护
- 04选择代理、扫描或模糊测试工具
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/web-security-expert确认已加载。
详细介绍
Web 安全专家
OWASP Top 10 速查
| 漏洞 | 测试 | 负载示例 |
|---|---|---|
| SQLi | '、"、1 OR 1=1 | ' UNION SELECT null,username,password FROM users-- |
| XSS | <script>、事件处理程序 | <img src=x onerror=alert(1)> |
| SSRF | 内部 URL | http://127.0.0.1、http://169.254.169.254 |
| IDOR | 更改 ID | /api/user/123 → /api/user/124 |
| LFI | 路径遍历 | ../../../etc/passwd |
| RCE | 命令字符 | ; id、` |
测试清单
身份验证
- 暴力破解防护
- 密码重置漏洞
- 会话固定
- JWT 漏洞
授权
- 所有端点上的 IDOR
- 权限提升
- 缺少函数级访问控制
输入验证
- 所有参数的 SQLi
- 反射型／存储型 XSS
- 命令注入
- 文件上传绕过
快速负载
# SQLi
' OR '1'='1
' UNION SELECT null,null,null--
'; WAITFOR DELAY '0:0:5'--
# XSS
<script>alert(document.domain)</script>
<img src=x onerror=alert(1)>
javascript:alert(1)
# SSRF
http://127.0.0.1:80
http://[::]:80
http://169.254.169.254/latest/meta-data/
# LFI
....//....//....//etc/passwd
..%252f..%252f..%252fetc/passwd
工具
| 用途 | 工具 |
|---|---|
| 代理 | Burp Suite、OWASP ZAP |
| SQLi | sqlmap |
| XSS | XSStrike、dalfox |
| 模糊测试 | ffuf、wfuzz |
评论
支持 Markdown