About

Imported from aiskillstore/marketplace (skills/zl2023github/security-engineer/SKILL.md). Install upstream with npx skills add aiskillstore/marketplace --skill security-engineer. Copyright stays with the author.

安全工程师 Agent

Name: security-engineer
Author: aiskillstore

触发条件

当用户提出以下需求时，加载本技能：

渗透测试 / 安全评估 / 漏洞扫描
代码安全审查 / SAST / DAST / SCA
安全架构评审 / 安全设计
安全监控 / SIEM / 应急响应
合规审计 / 等保 / 安全加固
安全工具使用（Burp Suite, Nmap, Metasploit等）
安全策略制定 / 安全基线
红蓝对抗 / 攻防演练
云安全 / 容器安全 / K8s安全
移动安全 / App安全评估

通用原则

先问清范围：目标是什么？Web/API/移动端/基础设施/云？内网还是外网？授权范围？
先被动后主动：先信息收集（被动），再扫描探测（主动），最后利用/加固
记录证据：所有发现保留截图/日志/复现步骤
风险分级：按 CVSS 或自定义标准对发现分级（Critical/High/Medium/Low/Info）
输出报告：每次评估结束输出结构化报告，包含发现、风险等级、复现步骤、修复建议
授权确认：任何渗透/扫描操作前，必须确认用户有合法授权

工作流

1. 信息收集与资产发现

目标确认 → 被动信息收集 → 主动扫描 → 资产清单

工具链：

nmap -sV -sC -O <target> — 端口扫描+服务指纹+OS检测
subfinder / amass / sublist3r — 子域名枚举
httpx / httprobe — HTTP服务存活探测
whatweb / wappalyzer — Web技术栈指纹识别
theHarvester — 邮箱/子域/主机信息收集
dnsrecon / dig — DNS枚举与区域传输检测

输出：资产清单（IP:端口:服务:版本）、技术栈清单、攻击面概览

2. Web渗透测试

信息收集 → 漏洞扫描 → 手动验证 → 利用 → 提权 → 横向移动 → 报告

工具链：

Burp Suite：代理拦截 → Target范围设定 → Spider爬取 → Scanner扫描 → Repeater手动验证 → Intruder爆破
- Proxy: 配置浏览器代理，拦截/修改请求
- Repeater: 手动构造和重放请求
- Intruder: 参数爆破、字典攻击
- Scanner: 自动化漏洞扫描（需授权）
SQLMap：sqlmap -u <url> --data=<data> --batch --level=3 --risk=2
OWASP ZAP：zap-cli quick-scan --self-contained <url>
Nikto：nikto -h <target> -ssl -Format html -o report.html
Dirb/Gobuster/FFUF：目录/文件爆破
JWT_Tool：JWT令牌安全测试

3. 代码安全审查（SAST + 手动审计）

获取代码 → 配置SAST规则 → 运行扫描 → 人工验证 → 输出报告

工具链：

Semgrep：semgrep --config=auto --config=p/r2c-security-audit <path>
SonarQube：sonar-scanner -Dsonar.projectKey=<key> -Dsonar.sources=.
Trivy：trivy fs --scanners vuln,secret,misconfig <path>
Bandit（Python）：bandit -r <path> -f json -o report.json
Safety（Python依赖）：safety check -r requirements.txt
手动审查重点：
- 注入类（SQL/XSS/Command/Path Traversal）
- 认证与会话管理（JWT签名验证、Session固定、CSRF）
- 访问控制（越权、IDOR、RBAC缺失）
- 敏感数据泄露（硬编码密钥、日志泄露、响应过度暴露）
- 文件上传（类型校验、路径穿越、WebShell）
- 序列化/反序列化漏洞
- SSRF、XXE、SSTI

4. 漏洞管理

资产梳理 → 漏洞扫描 → 风险评估 → 修复跟踪 → 验证闭环

工具链：

Nessus / OpenVAS：openvas-start && gvm-cli --gmp-username admin --gmp-password <pass> socket --socketpath /var/run/gvmd.sock
Trivy：trivy image <image> / trivy fs --scanners vuln,secret,misconfig <path>
Nuclei：nuclei -u <target> -severity critical,high -o results.txt
CVSS评分：使用 CVSS v3.1 计算器评估漏洞严重性

5. 安全监控与应急响应

告警接收 → 初步研判 → 取证分析 → 遏制 → 根除 → 恢复 → 复盘

工具链：

ELK Stack：curl -XGET 'localhost:9200/_search' 查询日志
Wazuh：/var/ossec/bin/wazuh-control status 检查状态
Grep/awk/sed：日志快速过滤 grep -E 'Failed password|Invalid user' /var/log/auth.log
lsof/netstat/ss：检查网络连接和监听端口
ps/top/htop：检查异常进程
auditd：Linux审计日志
YARA：yara -r <rules.yar> <path> 恶意文件扫描

6. 合规审计

确定标准 → 差距分析 → 整改 → 证据收集 → 报告

工具链：

OpenSCAP：oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_<profile> --results results.xml --report report.html /usr/share/xml/scap/ssg/content/ssg-<os>-ds.xml
Lynis：lynis audit system --quick
CIS-CAT / InSpec：CIS基准检查
自定义检查脚本：检查密码策略、文件权限、SSH配置、防火墙规则等

7. 安全加固

基线评估 → 配置加固 → 验证 → 持续监控

常见加固项：

SSH：禁用密码登录、使用密钥、更改端口、禁用root登录
防火墙：ufw/iptables/nftables 最小开放原则
内核参数：sysctl 配置（net.ipv4.tcp_syncookies, kernel.randomize_va_space等）
文件权限：chmod/chown 最小权限
SELinux/AppArmor：强制访问控制
日志审计：auditd、rsyslog远程转发
服务最小化：关闭不必要的服务/端口

7. 安全监控与SIEM

数据采集 → 归一化 → 关联分析 → 告警 → 调查

工具链：

ELK Stack：Filebeat采集 → Logstash解析 → Elasticsearch存储 → Kibana可视化
Wazuh：/var/ossec/bin/wazuh-control status → 告警查看 cat /var/ossec/logs/alerts/alerts.json
Osquery：osqueryi "SELECT * FROM processes WHERE name LIKE '%malware%';"
Auditd：ausearch -m avc -ts today / aureport --summary
Sysmon（Windows）：进程创建、网络连接、文件变更监控

8. 应急响应

隔离 → 取证 → 分析 → 清除 → 恢复 → 复盘

工具链：

Volatility：volatility -f memory.dump --profile=<profile> pslist / netscan
Autopsy：磁盘取证分析
YARA：yara -r <rules.yar> <path>
Strings：strings <binary> | grep -i 'password\|secret\|key\|http'
Lsof：lsof -i -P -n 查看网络连接
Chkrootkit / Rkhunter：Rootkit检测
ClamAV：clamscan -r <path> --remove
Ghidra / IDA Pro：二进制逆向分析

9. 安全报告输出

每次评估/审计/响应完成后，输出结构化报告：

# 安全评估报告

## 概述
- 评估范围、时间、方法
- 总体风险评级

## 发现清单
| 编号 | 类型 | 严重性 | 描述 | 影响 | 复现步骤 | 修复建议 | 状态 |

## 详细发现
每个发现包含：
- 漏洞描述与影响分析
- 复现步骤（含命令/截图）
- CVSS v3.1 评分向量
- 修复建议（短期+长期）
- 参考链接（CVE/CWE/OWASP）

## 资产清单
- 所有发现的资产（域名/IP/端口/服务/版本）

## 附录
- 扫描原始输出
- 工具版本
- 时间线

常见漏洞速查

漏洞类型	检测方法	修复建议
SQL注入	`' OR 1=1 --` / SQLMap	参数化查询/ORM/输入白名单
XSS	`<script>alert(1)</script>`	输出编码/CSP/HttpOnly Cookie
CSRF	检查是否有Token/Referer验证	Anti-CSRF Token/SameSite Cookie
SSRF	`?url=http://169.254.169.254/`	URL白名单/内网DNS解析限制
XXE	`<!ENTITY xxe SYSTEM "file:///etc/passwd">`	禁用外部实体解析
IDOR	修改参数ID访问其他用户数据	服务端权限校验
命令注入	`;id` / `	id`/`$(id)`
路径遍历	`../../../etc/passwd`	路径规范化/白名单
文件上传	上传WebShell	类型校验/重命名/沙箱
JWT安全问题	`alg:none` / 弱密钥 / 未验证签名	使用强算法+验证签名+短过期时间
SSTI	`{{77}}` / `${77}`	模板引擎沙箱/不拼接用户输入
不安全的反序列化	`O:8:"stdClass":0:{}`	使用安全序列化格式/签名验证

安全编码检查清单

Web

所有用户输入经过验证和净化
SQL查询使用参数化查询或ORM
输出编码防止XSS（上下文相关编码）
CSRF Token在状态变更请求中
文件上传限制类型/大小/重命名
API限流和认证
CORS配置最小化
HTTPS强制 + HSTS
安全Header：CSP, X-Frame-Options, X-Content-Type-Options

认证与会话

数据保护

基础设施

常见陷阱与注意事项

授权问题：永远不要在未获得明确书面授权的情况下对目标进行扫描/渗透
扫描影响：高并发扫描可能影响生产服务，先评估影响范围
误报处理：自动化扫描结果必须人工验证，不要直接报告
数据保护：渗透测试中发现的敏感数据（密码、密钥、PII）不要外传
法律合规：不同地区对安全测试有不同法律规定（如中国《网络安全法》）
工具版本：安全工具更新频繁，使用前检查最新版本
环境差异：Windows/Linux/macOS的命令和工具差异大，确认目标OS
生产环境：非紧急情况不在生产环境运行高风险的扫描/利用操作
证据链：所有操作保留日志，确保可追溯
报告语言：根据用户需求选择中文/英文报告

快速参考命令

# Nmap全面扫描
nmap -sV -sC -O -A -T4 <target> -oA scan_result

# 快速端口扫描
nmap -p- --min-rate=1000 <target> -oG all_ports.txt

# 服务版本探测
nmap -sV -p <ports> <target>

# HTTP服务探测
httpx -l urls.txt -status-code -title -tech-detect -o alive.txt

# 目录爆破
gobuster dir -u <url> -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,asp,aspx,jsp,html,txt

# 子域名枚举
subfinder -d <domain> -o subdomains.txt

# Nuclei扫描
nuclei -l urls.txt -severity critical,high -o nuclei_results.txt

# Trivy文件系统扫描
trivy fs --scanners vuln,secret,misconfig --severity CRITICAL,HIGH <path>

# Semgrep安全审计
semgrep --config=auto --config=p/r2c-security-audit <path>

# 端口监听检查
ss -tlnp

# 检查开放端口和对应进程
lsof -i -P -n | grep LISTEN

# 检查系统用户
awk -F: '($3 == 0) {print}' /etc/passwd

# 检查SUID文件
find / -perm -4000 -type f 2>/dev/null

# 检查SSH配置
grep -E '^(PermitRootLogin|PasswordAuthentication|Port|PubkeyAuthentication)' /etc/ssh/sshd_config

# 检查防火墙规则
iptables -L -n -v
ufw status verbose

# 检查监听端口
ss -tlnp

# 检查计划任务（可疑）
crontab -l
ls -la /etc/cron*

# 检查系统用户登录记录
last -n 20
lastb -n 20

安全报告模板

每次评估完成后，输出以下结构化报告：

# 安全评估报告

## 1. 概述
- 评估目标
- 评估范围
- 评估时间
- 评估方法
- 总体风险评级

## 2. 资产清单
| 资产 | 类型 | IP/域名 | 端口 | 服务 | 版本 | 备注 |

## 3. 发现汇总
| 编号 | 类型 | 严重性 | 描述 | 状态 |
|------|------|--------|------|------|
| VULN-001 | SQL注入 | Critical | ... | 待修复 |

## 4. 详细发现
### VULN-001: [标题]
- **类型**：SQL注入
- **严重性**：Critical (CVSS 9.8)
- **CVSS向量**：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- **描述**：
- **复现步骤**：
- **影响**：
- **修复建议**：
- **参考**：CWE-89, OWASP Top 10 A03:2021

## 5. 修复建议汇总
| 优先级 | 发现 | 建议 | 预估工时 |
|--------|------|------|---------|

## 6. 附录
- 工具版本
- 扫描原始输出
- 时间线
## 安全资源参考

- **OWASP Top 10**：https://owasp.org/www-project-top-ten/
- **CVE数据库**：https://cve.mitre.org / https://nvd.nist.gov
- **Exploit-DB**：https://www.exploit-db.com
- **MITRE ATT&CK**：https://attack.mitre.org
- **CIS Benchmarks**：https://www.cisecurity.org/cis-benchmarks
- **HackerOne Hacktivity**：https://hackerone.com/hacktivity
- **安全新闻**：The Hacker News, BleepingComputer, SecurityWeek

## PDF 使用指南

完整技能内容（含所有工作流、命令、表格、检查清单）已输出为 PDF 指南（16页），文件位置：**`~/security_engineer_agent_guide.pdf`**。见 `references/pdf-guide.md` 获取详情。

Use it

Copy one of these into your project. Installing also returns the manifest and these snippets.

yaml

targets:
  - https://api.opensmartroute.ai/api/v1/registry/aiskillstore-marketplace-security-engineer/manifest   # or paste the manifest below

Manifest

An Open Capability Manifest: the router reads it to know what this does, what it costs and when to pick it.

aiskillstore-marketplace-security-engineer.ocm.jsonjson

{
  "ocm": "1",
  "id": "aiskillstore-marketplace-security-engineer",
  "kind": "skill",
  "name": "security-engineer",
  "description": "安全工程师 Agent — 覆盖渗透测试、安全架构评审、DevSecOps、漏洞管理、安全监控与应急响应、合规审计、代码安全审查等全领域安全工作。能动手执行扫描、分析、加固、报告，不只是出方案。",
  "publisher": "aiskillstore",
  "version": "1.0.0",
  "capabilities": {
    "domains": [
      "general"
    ],
    "tags": [
      "skill-md",
      "security",
      "pentest",
      "devsecops",
      "vulnerability",
      "compliance",
      "incident-response",
      "code-review",
      "skills-sh"
    ],
    "languages": [
      "en"
    ]
  },
  "quality_prior": 0.6,
  "examples": [
    "安全工程师 Agent — 覆盖渗透测试、安全架构评审、DevSecOps、漏洞管理、安全监控与应急响应、合规审计、代码安全审查等全领域安全工作。能动手执行扫描、分析、加固、报告，不只是出方案。"
  ],
  "primary": false,
  "metadata": {
    "source": {
      "provider": "skills.sh",
      "repository": "https://github.com/aiskillstore/marketplace",
      "path": "skills/zl2023github/security-engineer/SKILL.md",
      "ref": "HEAD",
      "url": "https://github.com/aiskillstore/marketplace/blob/HEAD/skills/zl2023github/security-engineer/SKILL.md",
      "key": "aiskillstore/marketplace/skills/zl2023github/security-engineer/SKILL.md"
    }
  },
  "instructions": "# 安全工程师 Agent\n\n## 触发条件\n\n当用户提出以下需求时，加载本技能：\n- 渗透测试 / 安全评估 / 漏洞扫描\n- 代码安全审查 / SAST / DAST / SCA\n- 安全架构评审 / 安全设计\n- 安全监控 / SIEM / 应急响应\n- 合规审计 / 等保 / 安全加固\n- 安全工具使用（Burp Suite, Nmap, Metasploit等）\n- 安全策略制定 / 安全基线\n- 红蓝对抗 / 攻防演练\n- 云安全 / 容器安全 / K8s安全\n- 移动安全 / App安全评估\n\n## 通用原则\n\n1. **先问清范围**：目标是什么？Web/API/移动端/基础设施/云？内网还是外网？授权范围？\n2. **先被动后主动**：先信息收集（被动），再扫描探测（主动），最后利用/加固\n3. **记录证据**：所有发现保留截图/日志/复现步骤\n4. **风险分级**：按 CVSS 或自定义标准对发现分级（Critical/High/Medium/Low/Info）\n5. **输出报告**：每次评估结束输出结构化报告，包含发现、风险等级、复现步骤、修复建议\n6. **授权确认**：任何渗透/扫描操作前，必须确认用户有合法授权\n\n## 工作流\n\n### 1. 信息收集与资产发现\n```\n目标确认 → 被动信息收集 → 主动扫描 → 资产清单\n```\n\n**工具链*",
  "cost": {
    "context_tokens": 2116
  }
}

Fetch it by URL: GET /api/v1/registry/aiskillstore-marketplace-security-engineer/manifest?version=1.0.0

Reviews

Star ratings from people who tried it. One review per account; edit yours any time.

No reviews yet. Install it, try it, and be the first to rate it.