Skills
收录 100,928 个为 Agent 打包的专项能力与操作指引,复制一行命令即可安装。
全部
用于列出、查看或管理 Salesforce 组织中的 DevOps Center 项目——显示所有项目、创建项目,或更新现有项目的名称、描述或启用状态。任何列表请求都应调用 sf devops project list;也适用于创建项目、设置新的流水线基础、为功能初始化 DevOps Center、更新项目设置或启用/停用(归档)项目。整合了 sf devops project list/create/update。不要用于工作项、流水线、晋级或冲突操作——这些由其他 skills 处理。
Foundry IQ 知识库。适用场景:使本地或 Blob 文档可搜索;创建/诊断知识库;处理不支持的连接器或多源知识库创建/重新配置(即使涉及 classic-search 术语);将现有知识库连接到 Agent(包括多源知识库);创建/复用 Search 服务;通过引用从现有知识库检索;无需提及品牌词。针对查询/目标问题,请先阅读其流程。不适用:其他知识库提供商、仓库文件搜索、不涉及 Foundry IQ 知识库或连接器请求的经典 Azure AI Search 索引/查询/应用工作、通用 Agent 创建。
缓存投毒漏洞狩猎技能。基于 10 份公开漏洞赏金报告构建,涵盖 X-Forwarded-Host 投毒、X-HTTP-Method-Override / GCS 缓存、通过缓存将反射型 XSS 转为存储型 XSS、经典 Omer-Gil Web Cache Deception、绕过 Cloudflare Cache Deception Armor、会话令牌缓存欺骗、Akamai 逐跳 smuggling 导致的服务端边缘投毒,以及 Kettle 2024 年针对 Cloudflare/Fastly/GCP 的路径规范化 WCD。能够到达应用逻辑的 Host/X-Forwarded-Host 注入(重置链接投毒、路由 SSRF、OAuth issuer)归 hunt-host-header 管理;本技能负责投毒响应被缓存并提供给其他用户的情况。适用于狩猎缓存投毒、Web Cache Deception 和 CDN 前置应用。
通用在线视频与音乐下载、媒体提取技能。用户表达“下载这个/保存这个/download this”等下载意图并附带 HTTPS URL 时,即使没有提到“视频”或“音乐”,也使用本技能进行探测并下载。内置完整的微信视频号与 Spotify 单曲适配器,并支持 YouTube、B站/Bilibili、X/Twitter、抖音/Douyin、TikTok、小红书/Xiaohongshu、Instagram、Facebook、Vimeo、Twitch、Reddit、微博、AcFun 等 yt-dlp extractor;也适用于 MP3、字幕、媒体信息和 yt-dlp 更新。仅粘贴 URL 而没有下载意图时,不会自动下载。绝不使用 UI 自动化操作微信、小红书或风控验证页面。
Salesforce 中 Unified Catalog Service Process 生命周期的统一入口——查找并部署 Service Process 模板、从头创建 Service Process、激活流程,或将其整理到目录类别下。它会发现平台自身针对所请求操作的引导式设置方案,并遵循实时步骤,因此结果和防护措施始终与组织匹配。业务用户想要使用 Unified Catalog 或 Service Process 模板、查找或浏览模板、部署或安装指定模板、端到端设置、激活 Service Process,或将 Service Process 添加、归档或放置到目录或类别下时使用。触发条件:设置 Unified Catalog 模板、查找 Service Process 模板、部署 X 模板、激活 service process、将 service process 添加到目录。若请求涉及 Data Cloud 数据套件、CRM Analytics 或 App Framework 目录,而非 Unified Catalog Service Process,则不要触发。
面向本地工具的 bug bounty 编排器配套技能——包含同一套完整的 bug bounty 工作流,但当你还需要确定工具、字典和克隆仓库在本机的安装位置(jhaddix、SecLists、trufflehog、ffuf、dalfox、ghauri)时,使用此版本;纯编排/路由请使用 bug-bounty 技能。涵盖的工作流包括:侦察(子域名枚举、资产发现、指纹识别、HackerOne 范围、源代码审计);狩猎前学习(已披露报告、技术栈研究、思维导图、威胁建模);漏洞挖掘(IDOR、SSRF、XSS、认证绕过、CSRF、竞态条件、SQLi、XXE、文件上传、业务逻辑、GraphQL、HTTP 请求走私、缓存投毒、OAuth、时序侧信道、OIDC、SSTI、子域名接管、云配置错误、ATO 链、Agentic AI);LLM/AI 安全测试(聊天机器人 IDOR、提示注入、间接注入、ASCII 走私、数据外泄通道、通过代码工具实现 RCE、系统提示词提取、ASI01-ASI10);A-to-B 漏洞链(IDOR→认证绕过、SSRF→云元数据、XSS→ATO、开放重定向→OAuth 盗窃、S3→bundle→密钥→OAuth);绕过表(SSRF IP 绕过、开放重定向绕过、文件上传绕过);特定语言的 grep(JS 原型污染、Python pickle、PHP 类型转换、Go template.HTML、Ruby YAML.load、Rust unwrap);报告(7-Question Gate、4 个验证关卡、自然语气写作、按漏洞类别划分的模板、CVSS 3.1、PoC 生成、始终拒绝列表、条件链表、提交检查清单)。当你需要查找工具/字典/克隆仓库的本地安装路径进行漏洞狩猎,或在此本地工具包环境中使用完整工作流时使用;通用路由请使用 bug-bounty 技能。中文触发词:漏洞赏金、安全测试、渗透测试、漏洞挖掘、信息收集、子域名枚举、XSS 测试、SQL 注入、SSRF、安全审计、漏洞报告
用于寻找竞态条件漏洞的技能。基于 12 份公开漏洞赏金报告构建,包含现代 HTTP/2 单包攻击案例(James Kettle 在 DEF CON 2023 的“Smashing the State Machine”;RyotaK / Flatt Security 2024 年将首次序列同步扩展至 10,000 个请求)。涵盖优惠券重复兑换、礼品卡重复消费、MFA OTP 验证竞态、账户创建竞态、水龙头/加密货币代币重复铸造、电子邮件激活竞态、投票/点赞数膨胀、密码重置令牌竞态、通过并发请求绕过速率限制。用于寻找竞态条件、TOCTOU 漏洞和基于时序的 MFA 绕过。
一个开放协议,规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话,MCP 服务负责提供工具、资源和提示模板,两者通过标准消息通信,同一个服务可以被不同客户端复用。
