Agent Skills
› PentesterFlow/agent
PentesterFlow/agent
GitHub安全技能，用于目标探测、漏洞复现及报告生成。支持curl命令执行和脚本调用，适用于安全测试场景。
Install All Skills
npx skills add PentesterFlow/agent --all -g -y
Skills in Collection (11)
安全技能，用于目标探测、漏洞复现及报告生成。支持curl命令执行和脚本调用，适用于安全测试场景。
需要执行安全扫描或漏洞验证
用户请求进行目标探测
npx skills add PentesterFlow/agent --skill my-skill -g -y
针对不安全反序列化漏洞的渗透测试指南，涵盖Java、.NET、Python等多语言格式指纹识别与Gadget链构造，辅助安全人员验证RCE风险。
检测输入数据存在反序列化操作
发现序列化数据特征如rO0或gASV
分析Cookie或参数中的可疑序列化内容
npx skills add PentesterFlow/agent --skill deserialize -g -y
GraphQL渗透测试指南，涵盖端点发现、Schema提取（含绕过WAF）、鉴权漏洞(IDOR)、批量查询及DoS等安全测试流程。
目标暴露/graphql端点
存在GraphiQL或Apollo界面
需进行GraphQL安全审计
npx skills add PentesterFlow/agent --skill graphql -g -y
JWT攻击手册，涵盖alg=none绕过、HS/RS混淆、kid注入及SSRF等漏洞利用。用于在目标使用JWT认证时，通过解码和伪造令牌实现身份认证突破。
需要对JWT令牌进行安全测试或渗透测试
发现目标系统存在JWT认证机制且疑似存在配置缺陷
npx skills add PentesterFlow/agent --skill jwt -g -y
提供竞态条件与TOCTOU漏洞的渗透测试方案，涵盖礼品卡、验证码及文件上传等场景。指导使用单包攻击或HTTP流水线并行请求绕过限流，并通过状态对比确认漏洞存在。
需要测试并发请求导致的状态不一致问题
检查一次性代码、余额扣减或文件上传是否存在竞态漏洞
npx skills add PentesterFlow/agent --skill race -g -y
针对授权域名的外部攻击面侦察技能，涵盖子域名枚举、存活探测及技术指纹识别。通过脚本化调用公共日志源和HTTP请求，自动化完成资产发现与初步内容探索。
用户提供根域名并要求进行攻击面映射
需要进行被动子域名枚举或技术栈指纹识别
npx skills add PentesterFlow/agent --skill recon -g -y
针对SSRF漏洞的深度测试技能，涵盖确认盲点、探测过滤规则、利用云元数据、内网服务发现及影响证明。适用于参数接收URL或主机名的场景，旨在验证并展示服务器端请求伪造的安全风险。
目标参数接受URL或主机名输入
怀疑存在服务端侧向请求行为
npx skills add PentesterFlow/agent --skill ssrf -g -y
提供SSTI漏洞检测与利用流程，涵盖引擎指纹识别及Jinja2/Twig等主流模板引擎的RCE利用技巧。
发现用户输入被注入服务端模板引擎
{{7*7}}回显为49疑似存在SSTI
npx skills add PentesterFlow/agent --skill ssti -g -y
针对 Supabase 前端集成场景的 RLS 安全审计技能。用于提取前端 anon key，映射 API 端点，并测试匿名状态下的数据读取泄露及写入滥用漏洞，提供合规的 PoC 验证方法。
目标应用使用 Supabase 服务
前端代码中包含 Supabase anon JWT
需要检测 Row-Level-Security 配置缺陷
npx skills add PentesterFlow/agent --skill supabase -g -y
提供子域接管漏洞检测流程，包括枚举子域名、解析CNAME/NS记录以发现悬空记录，并通过HTTP指纹匹配确认第三方服务资源未占用。最终通过证明影响来验证漏洞，旨在协助安全测试人员发现高风险的子域接管问题。
检测子域接管漏洞
扫描悬空CNAME或NS记录
发现未占用的第三方云资源关联子域
npx skills add PentesterFlow/agent --skill takeover -g -y
Web漏洞狩猎剧本，指导对特定端点进行IDOR、注入、SSRF及已知CVE的手动验证。强调使用curl生成真实PoC并评估实际影响，避免依赖重型扫描器。
需要手动验证Web应用安全漏洞
收到目标主机或端点需进行渗透测试
npx skills add PentesterFlow/agent --skill webvuln -g -y
