Skills
收录 98,067 个为 Agent 打包的专项能力与操作指引,复制一行命令即可安装。
全部
本技能旨在帮助用户从 Google Maps 搜索结果中自动提取商家数据。当用户提出以下请求时,Agent 应主动应用本技能:搜索特定城市的咖啡店、查找附近的牙医或诊所、跟踪竞争对手在某一区域的位置、从 Google Maps 列表中提取销售线索、收集餐厅数据用于市场调研、查找某地区的酒店或住宿选项、定位共享办公空间或健身房等特定服务、监测社区内新开业商家、收集用于销售拓展的联系信息和地址、分析本地餐饮的价格区间和菜系、获取一批商家的评分和评论数、将本地商家数据导出到 CRM 或数据库。
使用 Apache ECharts v6 生成数据可视化图表(柱状图、折线图、面积图、饼图、环形图、散点图、雷达图、矩形树图),输出为 PNG。默认 1080×1080px,5 种样式预设,支持高亮标注。当用户说 "create a chart"、"visualize data"、"make a bar chart"、"line graph"、"pie chart"、"data visualization"、"chart this data"、"plot"、"graph" 或 "visualize these numbers" 时触发。
获取 2026 年国际足联世界杯(美加墨世界杯)数据的技能。从百度体育抓取 48 支参赛球队的分组配置、赛程、比赛详情(分析/阵容/赛况/统计/指数)、球队详情(资料/阵容/历史成绩/数据)、球员详情(资料/动态/数据/赛程)、排名数据(积分榜/球员榜/FIFA 排名)等,并从中国体育彩票接入官方竞彩玩法赔率(胜平负/让球/比分/总进球/混合过关)。当用户需要查询 2026 世界杯球队、赛程、比赛数据、阵容、历史成绩、排名、竞彩赔率时使用此技能。用于获取 2026 年 FIFA 世界杯数据的技能。数据抓取自百度体育和 sporttery.cn。
在 NixOS 主机上通过 REST API 与 Home Assistant 交互。在添加集成、查询实体、管理配置流、创建 API 令牌或以编程方式自动化 HA 设置时使用。还涵盖从设备注册表识别设备协议(Matter、Zigbee、Thread、HomeKit)。触发短语:「add HA integration」「configure home assistant」「query HA entities」「create HA token」「HA REST API」「pair homekit」「set up matter in HA」「add spotify to HA」「is this device zigbee or thread」「what protocol is this device」「move devices to ZHA」「identify matter devices」。
运行基于条件的 vault 健康诊断。8 个类别——schema 合规、孤立项检测、链接健康、描述质量、三空间边界、处理吞吐量、陈旧笔记、MOC 一致性。3 种模式——quick(schema + 孤立项 + 链接)、full(全部 8 项)、three-space(仅边界违规)。返回可执行的 FAIL/WARN/PASS 报告,附按影响程度排序的具体修复建议。触发词:"/health"、"check vault health"、"maintenance report"、"what needs fixing"。
搜寻 MFA / 2FA 绕过漏洞,涵盖 7 种模式:(1)敏感端点未强制执行 MFA(更改密码、更改邮箱时无需 MFA 挑战即可接受);(2)通过直接导航到登录后 URL 跳过 MFA 步骤;(3)MFA 令牌重放(同一验证码可接受两次);(4)在没有速率限制的情况下暴力破解 6 位 OTP(以服务器速度尝试 10^6 次);(5)OTP 验证中的竞态条件;(6)通过 /api/me 泄露恢复码;(7)备用验证因素降级(短信因素没有速率限制)。此外还包括攻击链:窃取 Cookie + 密码预言机 + 无逐步验证 = 无需 MFA 挑战即可 ATO。检测方法:在 Burp 中追踪身份验证流程,查找每次状态转换,检查 MFA 是由中间件还是逐端点控制,并检查 OTP 熵和 OTP 验证的速率限制。验证:攻击者会话能够到达 MFA 后状态。用于搜寻身份验证绕过、MFA 流程,以及将原语串联为 ATO 的攻击。
排查会话管理漏洞:会话固定(登录时未重新生成)、注销/更改密码/更改邮箱时失效处理不足、可预测或熵低的会话 ID、无 exp/撤销机制的 JWT 会话、刷新令牌轮换/重用检测缺陷、OAuth/SSO 会话关联、设备绑定会话(DBSC)降级,以及 Cookie 属性问题(Secure/HttpOnly/SameSite/__Host-)。使用两个真实会话(攻击者 A + 受害者 B)验证,对每个 200 响应进行正文差异比较,并对窃取攻击链进行带外确认。严重程度为中到危急(会话固定→管理员账户劫持;未失效→持续账户接管)。
SSRF 漏洞猎测技能。基于 15 份公开漏洞赏金报告构建,涵盖 AWS 元数据 SSRF(HackerOne $25k Analytics PDF、Shopify Exchange $25k、Capital One 1.06 亿条记录泄露、Dropbox/HelloSign $4,913)、GCP 元数据 SSRF(Snapchat $4k)、Azure IMDS SSRF(Azure DevOps $15k 漏洞链、ChatGPT Custom Actions MSRC)、DNS 重绑定 SSRF(Concrete CMS、GitLab UrlBlocker)、gopher 协议到 Redis RCE(Yahoo Mail $15k)、链接预览 SSRF(Reddit Matrix $6k)以及无头浏览器 PDF 生成器 SSRF 漏洞链。在任何目标上猎测 SSRF 时使用;盲测案例必须通过 OOB Collaborator 确认。
一个开放协议,规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话,MCP 服务负责提供工具、资源和提示模板,两者通过标准消息通信,同一个服务可以被不同客户端复用。
