Agent Skills
› Unclecheng-li/VulnClaw
› web-pentest
web-pentest
GitHub提供Web应用完整渗透测试流程，涵盖技术栈识别、目录枚举、认证与输入验证测试（如SQL注入、XSS）、逻辑漏洞检测及报告输出。
触发场景
进行Web应用安全评估
执行渗透测试任务
检查Web系统漏洞
安装
npx skills add Unclecheng-li/VulnClaw --skill web-pentest -g -y
SKILL.md
Frontmatter
{
"name": "web-pentest",
"routing": {
"phases": [
"recon",
"vuln_discovery"
],
"task_types": [
"pentest"
],
"target_types": [
"web",
"api"
],
"vulnerability_classes": [
"auth_bypass",
"file_upload",
"idor",
"business_logic"
]
},
"description": "Web应用渗透测试 — 针对Web应用的完整渗透流程，含技术栈识别、目录枚举、认证测试、输入验证、逻辑漏洞"
}
Web 应用渗透测试 Skill
针对 Web 应用的专项渗透测试流程，覆盖从信息收集到漏洞验证的完整链路。
需要更深入的 Web 安全知识？ 使用 web-security-advanced Skill，包含完整的注入攻击族、协议安全、Playbook 等。
1. 技术栈识别
- 使用 fetch 工具获取 HTTP 响应头
- 使用 chrome-devtools 工具分析前端技术
- 识别后端框架和 CMS
2. 目录枚举
- 常见目录：/admin, /api, /upload, /config, /backup
- 敏感文件：robots.txt, sitemap.xml, .env, .git/HEAD
- API 文档：/swagger, /docs, /api-docs
3. 认证测试
- 默认凭据测试
- 暴力破解检测
- 会话管理缺陷
- JWT 安全测试
4. 输入验证测试
- SQL 注入
- XSS（反射/存储/DOM）
- SSRF
- LFI/RFI
- 命令注入
- 文件上传
5. 逻辑漏洞测试
- 越权访问（水平/垂直）
- 业务逻辑绕过
- 竞态条件
- 支付逻辑漏洞
6. 输出
- Web 渗透报告
- PoC 脚本
参考文档
references/web-injection.md— 注入攻击详细参考references/web-logic-auth.md— 认证与逻辑漏洞references/web-modern-protocols.md— 现代协议安全
版本历史
- fcad047 当前 2026-07-11 17:52
- 47fd4a0 2026-07-05 09:19
