web-security-testing

⚠️ 仅限授权使用 此技能仅用于教育目的或经授权的安全评估。 使用此工具前，必须取得系统所有者明确的书面许可。 滥用此工具属于违法行为，严禁滥用。

Web 安全测试工作流

概述

用于测试 Web 应用是否存在 OWASP Top 10 漏洞的专用工作流，包括注入攻击、XSS、身份验证失效和访问控制问题。

何时使用此工作流

在以下情况下使用此工作流：

• 测试 Web 应用安全性
• 执行 OWASP Top 10 评估
• 开展渗透测试
• 验证安全控制
• 参与漏洞赏金计划

强制确认关卡 在运行任何会探测、利用、修改目标、在目标上持久化、从目标提取数据或尝试访问凭据的命令前：

1. 请用户说明确切的目标 URL、IP、账户或资源。
2. 请用户确认已获得书面授权，并说明许可范围。
3. 展示确切的命令，并解释其预期效果。
4. 等待用户在当前对话中明确确认。

未获得此确认时，只能进行只读操作，并仅提供防御性指导。优先使用沙盒、一次性 VM 或受控实验环境。

授权评估范围

除上述强制的逐命令确认关卡外，还应明确测试时段、请求限制、排除路径和停止条件。仅参与漏洞赏金计划并不意味着获得了执行所有列出测试的授权。使用合成账户和数据，并采用非破坏性探测；凭据填充、暴力破解、存储型载荷和自动化扫描器均需明确授权。若出现不稳定或意外发现敏感数据，应立即停止，仅保留经过脱敏的最少证据，并报告尚未测试的区域，而不要标记为已全面覆盖。

工作流阶段

阶段 1：侦察

调用的技能

• scanning-tools - 安全扫描
• top-web-vulnerabilities - OWASP 知识

操作

1. 绘制应用攻击面
2. 识别技术栈
3. 发现端点
4. 查找子域名
5. 记录发现

可复制粘贴的提示词

Use @scanning-tools to perform web application reconnaissance

阶段 2：注入测试

调用的技能

• sql-injection-testing - SQL 注入
• sqlmap-database-pentesting - SQLMap

操作

1. 测试 SQL 注入
2. 测试 NoSQL 注入
3. 测试命令注入
4. 测试 LDAP 注入
5. 记录漏洞

可复制粘贴的提示词

Use @sql-injection-testing to test for SQL injection

Use @sqlmap-database-pentesting to automate SQL injection testing

阶段 3：XSS 测试

调用的技能

• xss-html-injection - XSS 测试
• html-injection-testing - HTML 注入

操作

1. 测试反射型 XSS
2. 测试存储型 XSS
3. 测试基于 DOM 的 XSS
4. 测试 XSS 过滤器
5. 记录发现

可复制粘贴的提示词

Use @xss-html-injection to test for cross-site scripting

阶段 4：身份验证测试

调用的技能

• broken-authentication - 身份验证测试

操作

1. 测试凭据填充
2. 测试暴力破解防护
3. 测试会话管理
4. 测试密码策略
5. 测试 MFA 实现

可复制粘贴的提示词

Use @broken-authentication to test authentication security

阶段 5：访问控制测试

调用的技能

• idor-testing - IDOR 测试
• file-path-traversal - 路径遍历

操作

1. 测试垂直权限提升
2. 测试水平权限提升
3. 测试 IDOR 漏洞
4. 测试目录遍历
5. 测试未授权访问

可复制粘贴的提示词

Use @idor-testing to test for insecure direct object references

Use @file-path-traversal to test for path traversal

阶段 6：安全标头

调用的技能

• api-security-best-practices - 安全标头

操作

1. 检查 CSP 实现
2. 验证 HSTS 配置
3. 测试 X-Frame-Options
4. 检查 X-Content-Type-Options
5. 验证 Referrer Policy

可复制粘贴的提示词

Use @api-security-best-practices to audit security headers

阶段 7：报告

调用的技能

• reporting-standards - 安全报告

操作

1. 记录漏洞
2. 评估风险等级
3. 提供修复建议
4. 创建概念验证
5. 生成报告

可复制粘贴的提示词

Use @reporting-standards to create security report

OWASP Top 10（2021）检查清单

这是 2021 年版的分类体系；请选择评估所需的版本，并明确映射覆盖范围。检查清单并不能证明已测试每个类别。

• A01：访问控制失效
• A02：加密失效
• A03：注入
• A04：不安全设计
• A05：安全配置错误
• A06：存在漏洞的组件
• A07：身份验证失效
• A08：软件/数据完整性
• A09：日志记录/监控
• A10：SSRF

质量门槛

• 已测试所有 OWASP Top 10 类别
• 已记录漏洞
• 已收集概念验证
• 已提供修复方案
• 已生成报告

相关工作流套件

• security-audit - 安全审计
• api-security-testing - API 安全
• wordpress-security - WordPress 安全

限制

• 仅当任务明确符合上述范围时，才使用此技能。
• 不要将输出视为针对特定环境的验证、测试或专家审查的替代品。
• 如果缺少必要输入、权限、安全边界或成功标准，请暂停并请求澄清。