Agent Skills
› PentesterFlow/agent
PentesterFlow/agent
GitHub该技能用于安全漏洞扫描与验证，指导Agent使用curl等工具对目标进行探测，复现漏洞并生成包含影响分析和修复建议的报告。
Install All Skills
npx skills add PentesterFlow/agent --all -g -y
Skills in Collection (11)
该技能用于安全漏洞扫描与验证，指导Agent使用curl等工具对目标进行探测，复现漏洞并生成包含影响分析和修复建议的报告。
需要对目标系统进行安全漏洞探测
需要验证特定安全风险或漏洞
npx skills add PentesterFlow/agent --skill my-skill -g -y
提供不安全反序列化漏洞利用指南，涵盖Java、.NET、Python等格式指纹识别与Gadget链构造。
检测到Java/.NET/Python等序列化数据
分析反序列化漏洞利用
npx skills add PentesterFlow/agent --skill deserialize -g -y
GraphQL渗透测试技能，用于发现端点、枚举Schema并检测授权漏洞、查询批处理、别名过载及注入攻击。
目标暴露/graphql端点或GraphiQL界面
需要针对GraphQL进行安全审计
npx skills add PentesterFlow/agent --skill graphql -g -y
JWT攻击手册，指导对JWT令牌进行算法混淆、kid注入、SSRF及弱密钥破解等安全测试与漏洞利用。
目标系统使用JWT认证
需要测试JWT安全性
npx skills add PentesterFlow/agent --skill jwt -g -y
提供竞态条件与TOCTOU漏洞的测试剧本，涵盖单包攻击、HTTP/1.1流水线等手法，用于检测并发场景下的业务逻辑缺陷。
测试礼品卡或优惠券重复使用
验证余额或限制检查的并发安全性
检测文件上传与读取的竞态漏洞
npx skills add PentesterFlow/agent --skill race -g -y
提供针对授权域名的外部攻击面测绘流程，包括子域名枚举、存活探测和技术指纹识别。默认使用curl和http工具进行被动侦察，避免使用专用扫描器，确保操作安全合规。
用户给定根域名并请求映射攻击面
需要进行子域名枚举或技术指纹识别
npx skills add PentesterFlow/agent --skill recon -g -y
提供 SSRF（服务端请求伪造）漏洞的完整测试流程，包括确认漏洞、绕过过滤、探测云元数据及内部服务，并生成验证报告。
目标参数接受 URL 或主机名
怀疑存在服务端请求伪造漏洞
npx skills add PentesterFlow/agent --skill ssrf -g -y
针对服务端模板注入（SSTI）的渗透测试技能，用于指纹识别模板引擎并执行RCE或沙箱逃逸。
用户输入被反射到模板中
{{7*7}}渲染为49
npx skills add PentesterFlow/agent --skill ssti -g -y
针对 Supabase 前端暴露 anon key 的场景，通过提取密钥、解析 OpenAPI 及测试 RLS 策略，验证并证明数据泄露（RLS disclosure）或写入滥用（RLS write abuse），仅限授权目标。
前端包含 Supabase anon JWT
发现 /rest/v1/ 等 API 请求
疑似存在 RLS 配置缺陷
npx skills add PentesterFlow/agent --skill supabase -g -y
自动化子域接管漏洞检测流程，通过扫描悬空CNAME/NS记录并匹配HTTP指纹，验证第三方资源未授权状态。
发现疑似悬空的子域解析记录
需要批量检测子域接管风险
执行资产暴露面安全评估
npx skills add PentesterFlow/agent --skill takeover -g -y
Web漏洞狩猎技能，指导对特定端点进行IDOR、注入、SSRF及已知CVE的手动测试。强调使用curl生成真实PoC和具体影响评估，避免盲目使用重型扫描器，确保发现的可验证性。
需要对指定主机或端点进行安全测试
已完成侦察并需要验证具体漏洞
npx skills add PentesterFlow/agent --skill webvuln -g -y
