Skills
收录 96,981 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
安全
渗透测试和红队报告撰写方法。涵盖执行摘要结构（面向非技术读者、以风险为主线的叙述）、技术发现格式（标题、严重性、受影响范围、描述、复现步骤、影响、修复建议、参考资料）、附带向量说明的 CVSS v3.1 / v4.0 评分、OWASP 风险评级、证据规范（编辑凭据、对客户数据进行哈希处理、为每项操作添加时间戳）、截图和 PoC 资料管理、发现项链式叙述、范围/限制/假设文档、复测证据和修复跟踪、交付格式（PDF、DOCX、HTML、用于 SIEM 摄取的 JSON）、客户与交付物的区分，以及常见报告错误（CVSS 评分过高、削弱分流人员的判断、未说明“所以呢”）。在项目结束撰写交付物、重组草稿以便高管阅读，或为咨询业务建立可复用的报告模板时使用。
在 Starknet 上使用 OpenZeppelin 的 UpgradeableComponent 升级 Cairo 智能合约。适用于用户需要：(1) 通过 replace_class_syscall 使 Cairo 合约可升级；(2) 集成 OpenZeppelin UpgradeableComponent；(3) 理解 Starknet 基于类的升级模型与 EVM 代理模式的区别；(4) 确保升级期间的存储兼容性；(5) 使用访问控制保护升级函数；或 (6) 测试 Cairo 合约的升级路径。
为 Java 项目提供与框架无关的 Docker 和容器镜像指导，包括 Dockerfile 设计、多阶段 Maven 构建、jlink 自定义运行时、Alpaquita 等微型运行时发行版、JVM 容器优化、非 root 执行、镜像元数据、.dockerignore、可复现构建、漏洞扫描、SBOM 注意事项以及适用于生产环境的安全默认值。适用于审查 Java Dockerfile、提升 Docker 镜像安全性、为 Java 容器添加 jlink 运行时、为 Java 项目添加容器化、优化 Java 容器镜像大小、审查 Docker 构建可复现性等请求。属于 Plinth Toolkit。
使用 Trivy 扫描 Docker 镜像，检测 OS 软件包和语言依赖中的漏洞、错误配置、暴露的机密以及许可证违规，并生成 SARIF、CycloneDX 或 SPDX 格式的输出。适用于扫描或设置特定镜像的准入门槛、将镜像扫描接入 CI/CD，或在事件调查期间检查镜像。关键词：Trivy、镜像扫描、--severity、--exit-code、SARIF、忽略文件、.trivyignore。不要用于集群范围扫描或非镜像目标——请使用 performing-container-security-scanning-with-trivy；工具链为 Grype 时，请使用 scanning-container-images-with-grype。
查找 JWT 加密漏洞，包括 alg:none 签名剥离，以及 RS256→HS256 密钥混淆；这些漏洞可让攻击者在不知道密钥的情况下，为任意身份（如管理员）伪造令牌。适用于应用使用 JSON Web Token 进行身份验证的情况（Authorization 标头、Cookie 或登录响应中的 `eyJ...` Bearer 令牌）。此技能专门负责 JWT 签名/加密伪造（alg:none、密钥混淆、kid/jku 标头注入）；hunt-ato 将 JWT 作为一种 ATO 攻击途径，hunt-auth-bypass 负责 SSO/SAML 令牌信任，hunt-api-misconfig 负责非加密类 JWT 处理。当伪造令牌可授予对其他用户数据或管理员专属端点的访问权限时，风险尤为严重。
开源情报、调查与核验工作的入口。在确定授权范围后，将任何标识符——姓名、电话号码、电子邮件地址、用户名、域名、公司、照片、加密货币地址、飞机尾号或 IMO——路由到适当的调查工作流。用户要求调查、研究、核验、审查、查询、背景调查、追踪、归因或寻找人或事物时使用；涉及尽职调查、KYC 或 KYB、交易对手或供应商风险、制裁和 PEP 筛查、AML、欺诈、商务邮件入侵、付款前核验供应商、招聘或平台诈骗、内部威胁、高管保护、攻击面审查、新闻调查或事实核查时使用；或有人询问“这是谁”“谁拥有这个”“这是真的吗”“这是从哪里来的”或“我该从哪里开始”时使用。参考：useosint.com/skills
[user] 对 Alibaba Cloud DDoS 安全产品执行安全检查和监控，涵盖 DDoS Basic Protection、DDoS Native Protection 和 DDoS Anti-DDoS Pro/Premium。支持查询黑洞/清洗事件、QPS 激增/下降、L4 流量异常、HTTP 状态码（4xx/5xx）环比激增、源站状态码异常和实例资产清单。当用户需要安全检查、DDoS 防护状态检查、攻击事件查询、流量异常调查，或确认是否已开通 DDoS 安全产品时，使用此 Skill。触发词：“DDoS inspection”“security check”“DDoS protection check”“attack event query”“traffic anomaly”
排查“忘记密码”/账户恢复身份验证缺陷——5 种模式：（1）对有效和无效邮箱返回不同响应，导致用户名枚举；（2）重置令牌直接暴露在 API 响应正文中；（3）令牌使用后未失效，可重放；（4）密码重置链接可从不同 IP/浏览器使用，未绑定；（5）重置请求端点没有速率限制。这些是独立的恢复流程身份验证缺陷原语，有别于重置邮件主机头投毒（hunt-host-header）和完整 ATO 攻击链（hunt-ato 将密码重置作为 ATO 路径；在此验证原语，再在那里串联）。检测方法：追踪从请求到令牌再到使用的完整忘记密码流程；检查有效/无效邮箱的响应差异；测试令牌消费后的重放。风险为中到高（枚举=中，令牌复用=高，与已知邮箱串联时账户接管=严重）。
从公开的 JS 包中发现单页应用隐藏的后端 API，然后测试该 API 是否存在访问控制失效或缺少身份验证。这是现代侦察中收益最高的 Web 手法之一：SPA 会将完整的后端路由映射发送到浏览器，而其背后的 API 经常缺少登录页面所暗示的身份验证中间件。本技能基于一次获授权的测试，在其中发现了一个未验证身份的金融 API，而一次报告数百个“严重”问题的 ASM 扫描却完全漏掉了它。目标提供 JS 密集型 SPA（React/Vue/Angular/Next）、“app”/“console”/“dashboard”/“portal”子域名，或侦察中出现任何 `*api*` 主机时均可使用。泄露的构建产物（source maps / .env / .git / asset-manifest）由 hunt-source-leak 处理；API 版本清单和行为差异分析由 hunt-shadow-api 处理；本技能负责从运行中的 SPA 的 JS 包映射后端路由，并测试访问控制失效或身份验证缺失。
运行 `@metaharness/darwin security bench`（上游项目“Darwin Shield”/ ADR-155）——针对包含 10 个漏洞和 9 个诱饵的语料库，迭代改进冠军安全检测测试框架，并依据四个基线（B0 static、B1 LLM-single-pass、B2 fixed-agent、B3 Darwin-champion）评估其 TPR/FPR/patch-pass/repro/unsafe 指标。当 @metaharness/darwin 不存在时可优雅降级。这是 ruflo 自身 ADR-155 夜间自学习安全测试框架最接近的参考实现（PR #2417）。
搜寻影子／僵尸／未记录的 API 接口面（OWASP API9 不当资产清单管理）：枚举完整的 API 版本历史（v1/v2/beta/legacy 路径、基于 header 和子域名的版本控制），获取并比对所有可访问的 OpenAPI/Swagger 规范（包括只能通过 Wayback Machine 找到的规范），并对比旧版本与当前版本在身份验证／速率限制／验证方面的行为差异，查找回归问题，而不只是比较响应结构。不同于 hunt-api-misconfig（负责在取得规范或端点后进行利用，例如批量赋值、JWT、OData、Swagger 链式攻击）；也不同于 hunt-subdomain（负责主机级发现）。此 skill 专门负责版本清单和行为差异比对工作流。目标存在带版本的 API 路径、多个规范、提及已弃用端点的变更日志，或移动应用中硬编码的后端调用看起来比当前 Web 应用更旧时使用
根据 2024–2025 年最佳实践正确配置 DNS 区域，以实现邮件送达（SPF、DKIM、DMARC）、安全（DNSSEC、CAA）和自动化（OVH API、Cloudflare、Terraform）。适用场景：**配置邮件身份验证**——使用 SPF、DKIM、DMARC 避免邮件进入垃圾邮件文件夹；**保护域名安全**——DNSSEC、CAA 记录、防欺骗；**自动化 DNS 管理**——OVH API、Cloudflare API、Terraform；**调试 DNS 问题**——dig、nslookup……
配置并使用 Nuxt 的 nuxt-users 模块。在添加身份验证、用户管理、角色、密码重置、数据库配置（SQLite / MySQL / PostgreSQL），或命令行命令（migrate、create-user）时使用。涵盖 nuxt.config（nuxtUsers）、composables（useAuthentication、useUsers、usePublicPaths、usePasswordValidation、useNuxtUsersLocale）、组件（NUsersLoginForm、NUsersLogoutLink 等）以及授权（白名单、权限）。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。