Skills

L

lateral-movement

wgpsec / aboutsecurity

横向移动技术。当已获取凭据（密码/哈希/密钥/票据）需要从当前主机移动到其他主机时使用。覆盖 SSH、RDP、WMI、PSExec、PTH、PTT、DCOM 等技术。根据目标操作系统和可用凭据类型选择最佳移动方式

L

log-analysis

alphaonedev / openclaw-graph

分析系统日志和应用日志，在蓝队行动中检测异常和安全威胁。

M

managing-vulnerabilities

trilwu / secskills

根据实际风险而非原始 CVSS 优先排序并推动修复漏洞积压——结合严重性与利用信号（EPSS、CISA KEV）、资产暴露情况和业务背景，采用 SSVC 风格的决策，区分可触达漏洞与仅存在的漏洞，并跟踪修复和例外情况。在对扫描器输出进行初筛、决定优先修补项、建立基于风险的漏洞管理流程，或解释为何某个严重 CVE 并非最高优先级时使用。

M

mcp-implementation-security-review

github / awesome-copilot

依据安全基线审查 MCP（Model Context Protocol）服务、客户端和工具处理程序的实现源代码——认证、会话、限流、输入模式校验、官方 SDK 使用、RCE 向量以及 OWASP MCP Top 10——并生成包含文件/行号证据的报告。在以下情况使用本技能：- 在发布前审查 MCP 服务实现的安全性 - 对照基线控制项（MCP-01 至 MCP-05）和 OWASP MCP Top 10 检查服务 - 审计工具是否存在 RCE 向量（命令/代码注入、不安全反序列化、路径遍历、SSTI、依赖劫持、SSRF）- 验证网络暴露服务上的认证、会话、限流和输入校验控制 - 审查处理不受信任的服务响应和会话 ID 的 MCP 客户端代码 - 诸如 "review this MCP server for security" 或 "is my MCP server implementation secure?" 之类的请求

N

nanoclaw-traffic-guardian

prompt-security / clawsec

NanoClaw 运行时流量监控基线，用于宿主机侧代理检查，并提供容器安全的 MCP 和 IPC 状态接口。

N

nushell-craft

hustcer / nushell-pro

面向 Agent 的 Nushell 最佳实践、安全强化和代码审查技能

O

odoo-security-rules

sickn33 / agentic-awesome-skills

Odoo 访问控制专家：ir.model.access.csv、记录规则（ir.rule）、用户组和多公司安全模式。

P

pentest-cve-vulnerability-research-helper

crtvrffnrt / skills

CVE 与漏洞研究技能，用于精确的 CVE 查询、产品/版本适用性、利用成熟度、KEV/PoC 状态、来源排序、矛盾处理，以及非破坏性验证指导。

P

pentest-supply-chain

jd-opensource / joysafeter

软件供应链安全 — 依赖混淆、CI/CD 流水线攻击、锁文件完整性与构建产物验证。

P

performing-adversary-in-the-middle-phishing-detection

mukul975 / anthropic-cybersecurity-skills

检测并响应中间人（AiTM）钓鱼攻击

P

performing-cloud-storage-forensic-acquisition

mukul975 / anthropic-cybersecurity-skills

对云存储服务（包括 Google

P

picocom

brownfinesecurity / iothackbot

使用 picocom 与 IoT 设备的 UART 控制台交互，进行渗透测试操作，包括设备枚举、漏洞发现、引导加载程序操纵以及获取 root shell。适用于用户需要与嵌入式设备、IoT 硬件或串行控制台交互的场景。

P

profiling-threat-actor-groups

mukul975 / anthropic-cybersecurity-skills

为 APT 组织、犯罪团伙制定全面的威胁行为者画像

P

prompt-injection-guard

archieindian / openclaw-superpowers

在 Agent 对外部内容采取行动之前，检测并拦截其中的提示词注入尝试

P

py-security

l-mb / python-refactoring-skills

针对 Python 代码库的安全漏洞检测与修复。识别 SQL 注入、硬编码密钥、弱加密以及其他 OWASP 漏洞。

R

re-blockchain

dslsdzc / rev-skills

EVM 智能合约逆向：字节码反编译、漏洞分析。触发词：智能合约、EVM、Solidity、字节码、合约漏洞、ABI、Solana、Move、BPF

R

re-crash-triage

dslsdzc / rev-skills

崩溃/漏洞样本分析：确定性复现、ASAN/UBSAN 报告解读、输入最小化（afl-tmin/cmin）、gdb 回溯定位、rr 录制重放、PoC 产出。触发词：崩溃、crash、ASAN、UBSAN、未定义行为、UAF、堆溢出、越界、段错误、segfault、core dump、PoC、漏洞分析、崩溃分析。

R

re-crypto-decrypt

dslsdzc / rev-skills

加密数据还原：定位解密函数，编写解密脚本。触发词：解密、decrypt、还原数据、解密流量

R

re-crypto-id

dslsdzc / rev-skills

加密算法识别：常量表指纹、自定义加密模式。触发词：加密识别、AES、XOR、算法指纹、custom encryption

R

re-doc-malware

dslsdzc / rev-skills

恶意文档分析：PDF/Office 武器化、宏链、文档漏洞利用、载荷提取。触发词：恶意文档、钓鱼文档、恶意 PDF、宏文档、docm、文档漏洞、恶意附件。

R

re-electron

dslsdzc / rev-skills

Electron 桌面应用逆向：asar 解包、主进程／渲染进程 JS、V8 字节码（.jsc）边界、CDP 动态调试、反调试对抗。触发词：Electron、asar、桌面应用逆向、.jsc、V8 快照、CDP、ELECTRON_RUN_AS_NODE、devtools 检测。

R

re-emulation

dslsdzc / rev-skills

模拟执行：Unicorn/Qiling 框架。触发词：Unicorn、Qiling、模拟执行、emulate、无硬件运行

R

re-fileless

dslsdzc / rev-skills

无文件恶意软件：内存执行、持久化、PowerShell 链。触发词：无文件、fileless、内存执行、PowerShell 无文件、注册表持久化

R

re-firmware

dslsdzc / rev-skills

固件/嵌入式/硬件分析网关。编排：提取 → rootfs → 仿真 → 硬件接口。子技能：[[re-fw-extract]] [[re-fw-rootfs]] [[re-fw-emulate]] [[re-hardware-io]] [[re-automotive]] [[re-uefi]] [[re-rtos]] [[re-tee]]。触发词：固件分析、固件、IoT、解包固件、rootfs、仿真固件、firmware analysis。

R

re-fuzzing

dslsdzc / rev-skills

覆盖率引导模糊测试：AFL++/libFuzzer/honggfuzz、插桩与语料初始化、afl-fuzz 运行参数、覆盖率（afl-cov）、字典/结构化输入。触发词：fuzz、模糊测试、AFL、afl-fuzz、libFuzzer、honggfuzz、覆盖率、corpus、语料、dictionary、挖洞、fuzzing。

R

re-hardware-io

dslsdzc / rev-skills

硬件接口：JTAG/UART/flash 读取。触发词：JTAG、UART、串口、flash 芯片、硬件提取、逻辑分析仪

R

re-hypervisor

dslsdzc / rev-skills

虚拟化逆向：VT-x/SVM、hypervisor 检测、VMCS/EPT 分析，以及 Xen / QNX Hypervisor / Jailhouse / ACRN / Bao / Hyper-V·VMBus / XtratuM / LynxSecure / Quest-V 的分区与 vdev 语义。触发词：hypervisor、VT-x、SVM、虚拟化检测、EPT、Xen、grant table、event channel、Jailhouse、cell、ACRN、ivshmem、Bao、shmem_id、vdev、GPA/HPA、Hyper-V、VMBus、VSC、VSP、GPADL、SR-IOV、XtratuM、XM_CF、LynxSecure、Quest-V、sandbox kernel

R

re-ioc

dslsdzc / rev-skills

IOC 提取与 YARA 规则、报告结构。触发词：IOC、YARA、编写规则、分析报告、哈希列表

R

re-macos

dslsdzc / rev-skills

macOS 原生应用逆向：App Bundle／签名公证、entitlements、沙箱与 TCC、钥匙串与 Secure Enclave。触发词：macOS 逆向、mac app、entitlements、Secure Enclave、钥匙串、TCC、codesign、公证。

R

re-managed

dslsdzc / rev-skills

托管代码逆向网关。编排：识别运行时 → 反编译 → 去混淆 → 恶意场景转 [[re-malware]]。子技能：[[re-dotnet]] [[re-java]] [[re-script-deob]] [[re-wasm]] [[re-ai-triage]] → [[re-ai-model]] [[re-blockchain]] [[re-python]]、[[re-browser-ext]]、[[re-electron]]、[[re-javacard]]。触发词：.NET、dnSpy、ILSpy、Java、jar、字节码、PowerShell 混淆、VBA 宏、JS 去混淆、托管代码、managed code。

R

re-mobile-forensics

dslsdzc / rev-skills

移动设备取证：Android/iOS 备份解析、应用数据提取、删除恢复与时间线。触发词：移动取证、手机取证、ADB 备份、iTunes 备份、手机数据提取。

R

re-rust

dslsdzc / rev-skills

Rust 二进制逆向：符号、monomorphization、所有权模式。触发词：Rust、rust、Rust 二进制、cargo

R

re-shellcode

dslsdzc / rev-skills

Shellcode 分析：提取、解码循环、模拟执行。触发词：shellcode、shell code、位置无关、解码循环、恶意载荷

R

re-ti

dslsdzc / rev-skills

威胁情报查询与关联：VT/Any.run/hybrid-analysis、MISP。触发词：威胁情报、VirusTotal、Any.run、沙箱查询、MISP、样本关联

R

re-vuln

dslsdzc / rev-skills

漏洞挖掘网关。编排：识别目标与输入面 → 覆盖率引导 fuzzing → 崩溃分析 → 逆向定位 → 报告。子技能：[[re-fuzzing]] [[re-crash-triage]] [[re-exploit]]。触发词：漏洞挖掘、挖漏洞、fuzz、模糊测试、AFL、libFuzzer、崩溃分析、crash、vulnerability hunting、fuzzing。

R

re-wasm

dslsdzc / rev-skills

WASM 逆向：格式解析、wasm2wat、浏览器端。触发词：WASM、wasm、WebAssembly、wat

R

red-team-tools

zebbern / claude-code-guide

当用户要求“遵循红队方法”“进行漏洞赏金狩猎”“自动化侦察”“寻找 XSS 漏洞”“枚举子域名”，或需要顶尖漏洞赏金猎人的安全研究技术和工具配置时，使用此技能

R

reverse-engineering-firmware-analysis

dnyoussef / context-cascade

面向路由器和嵌入式系统的固件提取与 IoT 安全分析（RE 5 级）。在分析 IoT 固件、提取嵌入式文件系统（SquashFS/JFFS2/CramFS）、查找硬编码凭据、执行 CVE 扫描或审计嵌入式系统安全时使用。可处理已知解密方案的加密固件。借助 binwalk+firmadyne+QEMU 仿真，2-8 小时完成。

S

schema-optimizer

lytics / agent-skills

分析 schema 字段使用情况、覆盖率、映射和身份配置，以提出改进建议。当用户想优化其 schema、查找未使用的字段、提升覆盖率，或审查身份与合并配置时使用。

S

server-provisioner

sergekostenchuk / ui-ux-agent-skill-system

在准备服务器配置计划、IaC 草稿、SSH 加固、用户、防火墙、备份、监控和回滚时使用。默认试运行；未经明确批准，不得创建、变更或销毁生产服务器。

S

siem

alphaonedev / openclaw-graph

监控并分析安全事件和日志，实现实时威胁检测与事件响应。

S

site-ai-assistant-builder

sergekostenchuk / ui-ux-agent-skill-system

当公开网站需要具备来源限定回答、RAG/内容范围、注入防护、升级、日志、速率限制、拒答，且不产生虚构产品/法律/价格主张的 AI 助手时使用。仅做规划或实现交接；不得暴露机密或提供破坏性工具。

S

ssl-and-security-hardener

sergekostenchuk / ui-ux-agent-skill-system

在规划 SSL/TLS、HTTPS 重定向、HSTS、安全响应头、CSP、Cookie 标志、备份、监控和基础上线加固时使用。先做试运行；未经明确批准，不得改动生产服务器、DNS、证书或密钥。

T

triaging-security-alerts

trilwu / secskills

将安全告警队列处理到有理有据的结论——区分真阳性、假阳性和良性真阳性，在升级处理前考虑基准率，按最省成本的判别依据排序补充调查，为处理设定时限，并记录阴性结果，让已关闭的告警有证据支撑而非凭猜测。适用于分诊 SOC 或 EDR 告警、判断告警是否需要事件响应、处理告警积压，或查明检测为何反复触发。

V

variant-analysis

oimiragieo / agent-studio

通过使用 CodeQL 和 Semgrep 模式匹配识别代码库中相似的代码模式，发现漏洞变体，找出已知缺陷类型可能复现的实例。

V

verify-et-api

negusnati / verify-et-api

集成、测试、调试并加固 Verify.et 交易验证 API 实现。适用于构建 Verify.et 服务端适配器、支付或结账验证、账户 webhook 注册（仪表盘或 API）、webhook 接收器与签名密钥、可选的收据图像处理（QR 或 OCR）、轮询或 SSE 状态流、API-key 认证、幂等性、积分或配额处理、银行特定的 payload，或生产环境错误处理。

V

vetting-agent-extensions

trilwu / secskills

判断某个 Agent 技能、插件或 MCP 服务是否适合安装到 AI 编码 Agent 中；其内容会加载到模型上下文中，配置还可能在启动时运行。当评审技能包、Claude Code／Cursor／Cline 插件或 MCP 服务以决定是否采用时使用；当仓库包含即将信任的 SKILL.md、.mcp.json 或 plugin.json 时使用；或需要判断第三方 Agent 内容能否操控模型或泄露项目数据时使用。

W

watermarks-remover

akillness / jeo-skills

使用 guillaumemeyer/watermarks-remover Python 工具包从文本和文件中剥离多家厂商的 AI 溯源标记：不可见 Unicode/空格同形字符（Layer A，确定性）、通过 Agent 引导重写的统计式 token 采样水印（Layer B，尽力而为），以及 PNG、JPEG、SVG、PDF、DOCX、ODT、HTML 和 Markdown 上的 C2PA/EXIF/XMP/文档属性元数据。覆盖 Claude、Gemini/SynthID-Text、OpenAI 溯源面以及开源 LLM 的 Kirchenbauer 式标记，另有可选的用于 SynthID 像素评分和 CtrlRegen 像素域移除的外部后端。适用于用户想清除 AI 水印、移除 C2PA / Content Credentials、清理文件中的 AI 元数据、从 AI 生成文本中移除不可见 Unicode / 零宽字符，或审计目录/网站的 AI 溯源信号。触发词："remove watermark"、"strip C2PA"、"remove AI metadata"、"clean invisible unicode"、"remove-ai-marks"、"SynthID removal"、"audit_dir.py"、"Layer A / Layer B watermark removal"。

W

web-security-architect

sergekostenchuk / ui-ux-agent-skill-system

资深防御型 Web 安全架构，用于创建、编辑、审计、加固和监控网站、Web 应用、API、SaaS 产品、电商、仪表盘、认证流程、会话、Cookie、浏览器安全响应头、CSP、CORS、访问控制、密钥、依赖与供应链安全、日志记录、事件准备、隐私敏感流程以及 AI/Agent 赋能的 Web 功能。当用户询问网站安全、appsec、OWASP、ASVS、Top 10、API 安全、威胁建模、安全代码审查、认证、授权、会话管理、CSRF、XSS、SQL/NoSQL 注入、SSRF、文件上传安全、安全响应头、TLS/HSTS、CSP、CORS、Cookie、速率限制、机器人滥用、密钥、依赖扫描、漏洞修复、安全监控，或让站点实现设计即安全时使用。

W

whitesource

membranedev / application-skills

WhiteSource 集成。管理数据、记录并自动化工作流。当用户希望与 WhiteSource 数据进行交互时使用。

W

writing-yara-rules

trilwu / secskills

编写持久可靠的 YARA 检测规则——涵盖 meta／strings／condition 结构、字符串类型和修饰符、结合文件魔数与偏移量的结构条件、PE／ELF／math／hash 模块、特异性与持久性的权衡调优、感知 atom 的性能优化、内存与进程扫描，以及 YARA-X。编写 YARA 规则、为恶意软件家族或文件／内存工件创建特征、将 IOC 或捕获的样本转化为检测规则，或使用 Retrohunt 或主机扫描器在语料库中搜寻某个家族时使用。

A

abusing-ci-cd-oidc

trilwu / secskills

利用 GitHub Actions、GitLab CI 和 Jenkins 中的 CI/CD 流水线配置错误及 OIDC 联合身份验证弱点实施攻击——包括投毒工作流、秘密信息外泄、Runner 入侵、过于宽泛的 OIDC 信任策略、构建制品投毒和凭据窃取。用于 CI/CD 基础设施渗透测试、评估 OIDC 联合身份信任边界、审查流水线安全状况，或利用从仓库访问权限到云凭据的攻击路径。

A

akf-trust-metadata

sickn33 / agentic-awesome-skills

AI 原生文件格式。AI 的 EXIF —— 为每个文件打上信任评分、来源出处和合规元数据。可嵌入 20 多种格式（DOCX、PDF、图像、代码）。适用于 EU AI Act、SOX、HIPAA 审计。

A

analysis

allthingsida / idasql-skills

对 IDA 二进制文件进行分类与审计。当被要求分析二进制文件、发现可疑行为、检测加密/网络活动、对照源码审查反编译代码，或运行多表查询时使用。

A

analyzing-disk-images

trilwu / secskills

使用 The Sleuth Kit、Plaso 和 bulk_extractor 对获取的磁盘映像进行已删除磁盘取证——验证完整性并以只读方式挂载、映射分区、恢复已删除文件、构建文件系统与超级时间线、雕取未分配空间、挖掘注册表配置单元和操作系统制品，并检测反取证行为。当需要检查 .E01/.dd/.raw/.vmdk/.vhdx 磁盘映像或取证采集数据、恢复已删除文件、构建文件系统时间线，或从未分配空间雕取制品时使用。

A

analyzing-linux-persistence

trilwu / secskills

在 DFIR 调查期间，系统地识别和分析 Linux 系统上的持久化机制——检查 systemd 单元、cron 任务、shell 初始化、SSH 配置、内核模块、LD_PRELOAD、软件包管理器钩子、udev 规则、容器入口点和 XDG 自动启动项。当调查遭入侵的 Linux 主机、对 Linux 磁盘映像进行取证分析、查找后门或未经授权的访问机制，或确定攻击者如何维持访问权限时使用。

A

attacking-graphql

trilwu / secskills

测试 GraphQL API——在禁用 introspection 时进行 introspection 和架构恢复、滥用字段建议、通过批处理和别名绕过速率限制、查询深度与复杂度拒绝服务、逐字段和逐 resolver 的授权漏洞，以及滥用 mutation。当目标暴露 /graphql、/v1/graphql 或 /api/graphql，请求包含 query 或 mutation 主体，或响应带有 data 和 errors 信封时使用。

A

attacking-grpc-protobuf

trilwu / secskills

测试 gRPC 和 Protocol Buffers 服务——从服务器反射或编译描述符恢复 .proto 定义，使用 grpcurl 和 grpcui 调用方法，拦截 HTTP/2 和 gRPC-Web 流量，并使用 protobuf-inspector 对未知消息架构进行模糊测试。当目标使用 gRPC、带 application/grpc 的 HTTP/2，或请求主体是不可读的二进制 protobuf 而非 JSON 时使用。

A

attacking-saml

trilwu / secskills

通过解码并篡改已签名的 XML 断言来攻击 SAML 单点登录，包括 XML 签名包装（XSW1-XSW8）、移除签名、篡改断言和属性、NameID 注释注入、通过 SAML 解析器进行 XXE、伪造证书、接收方混淆、IdP 发起的重放，以及 Golden SAML 伪造。请求包含 `SAMLRequest` 或 `SAMLResponse` 参数、base64+deflate 解码为含有 `<saml:Assertion>` 的 XML、目标暴露 `/saml/acs` 或 `/sso` 端点、IdP 发起的登录将断言发送到 SP，或联合认证通过 Okta、ADFS、Ping 或 Azure/Entra 进行时使用。

A

auth

chachamaru127 / claude-code-harness

使用 Clerk、Supabase Auth 或 Stripe 进行身份验证与支付实现的显式辅助技能。请勿在以下场景加载：通用 UI 工作、数据库设计或非身份验证功能。