OpenParable
Skip to content
← Back to skills

Web Pentest

DevOps & Security
web-pentest

Web Pentest is an Agent Skill for devops & security published in the Unclecheng-li/VulnClaw repository on GitHub: a SKILL.md instruction file an AI agent can load to do this task.

Web应用渗透测试 — 针对Web应用的完整渗透流程，含技术栈识别、目录枚举、认证测试、输入验证、逻辑漏洞

View on GitHub ↗
QUICK START

How to use this skill

Bring this guide into your coding agent with a prompt tailored to the tool you use.

  1. Open your project in Codex.
  2. Copy and paste the prompt below.
  3. Review files and risks before approving any action.
Prompt to paste
Inspect the Agent Skill at https://github.com/Unclecheng-li/VulnClaw/blob/HEAD/vulnclaw/skills/specialized/web-pentest/SKILL.md and all supporting files. Report provenance, permissions, scripts, dependencies, and security risks. Propose an exact installation into .agents/skills/web-pentest, but wait for my approval before writing files or running scripts.

Copying this prompt does not install or run the skill. Review third-party files before use.

Web 应用渗透测试 Skill

针对 Web 应用的专项渗透测试流程，覆盖从信息收集到漏洞验证的完整链路。

需要更深入的 Web 安全知识？ 使用 web-security-advanced Skill，包含完整的注入攻击族、协议安全、Playbook 等。

1. 技术栈识别

  • 使用 fetch 工具获取 HTTP 响应头
  • 使用 chrome-devtools 工具分析前端技术
  • 识别后端框架和 CMS

2. 目录枚举

  • 常见目录：/admin, /api, /upload, /config, /backup
  • 敏感文件：robots.txt, sitemap.xml, .env, .git/HEAD
  • API 文档：/swagger, /docs, /api-docs

3. 认证测试

  • 默认凭据测试
  • 暴力破解检测
  • 会话管理缺陷
  • JWT 安全测试

4. 输入验证测试

  • SQL 注入
  • XSS（反射/存储/DOM）
  • SSRF
  • LFI/RFI
  • 命令注入
  • 文件上传

5. 逻辑漏洞测试

  • 越权访问（水平/垂直）
  • 业务逻辑绕过
  • 竞态条件
  • 支付逻辑漏洞

6. 输出

  • Web 渗透报告
  • PoC 脚本

参考文档

  • references/web-injection.md — 注入攻击详细参考
  • references/web-logic-auth.md — 认证与逻辑漏洞
  • references/web-modern-protocols.md — 现代协议安全