📦
pytm
81بناء نماذج تهديدات pytm ككود
غالبا ما تصبح نمذجة التهديدات قديمة ومنفصلة عن تغييرات البنية. تساعد هذه المهارة في إنشاء نماذج pytm، وتحليل STRIDE، وسير عمل المخططات لمراجعات الأمان وCI.
الأمان والامتثال عرض
المهارات api-mitmproxy
📦
api-mitmproxy
v0.1.0 مراجعة المحتوى r2 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات
تحليل حركة API باستخدام mitmproxy
تحتاج اختبارات أمان API إلى رؤية واضحة لسلوك الطلبات والاستجابات المباشرة. ترشد هذه المهارة إلى سير عمل mitmproxy المصرّح به للفحص والتعديل وإعادة التشغيل وإعداد التقارير.
يدعم: Claude Codex Code(CC)
لا تثبّت هذا Skill تلقائيًا.
تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "api-mitmproxy" from https://skillstore.io/skills/agentsecops-api-mitmproxy.md and its manifest at https://skillstore.io/api/skills/agentsecops-api-mitmproxy/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "api-mitmproxy". أحتاج إلى فحص تدفق تسجيل دخول API في بيئة staging مصرّح بها.
النتيجة المتوقعة:
- خطة التقاط محددة النطاق تتضمن إعداد الوكيل، وتثبيت الشهادة، وحدود حسابات الاختبار.
- قائمة تحقق لمراجعة الترويسات، وملفات تعريف الارتباط، والرموز، ورموز الحالة، ورسائل الخطأ.
- مخطط تقرير يحجب بيانات الاعتماد ويخزن ملفات التدفق بأمان.
جارٍ استخدام "api-mitmproxy". أريد تكرار فحوصات API أثناء CI دون كشف الأسرار.
النتيجة المتوقعة:
- مخطط سير عمل mitmdump يشغل الاختبارات عبر وكيل محلي.
- إرشادات لتنقيح القيم الملتقطة قبل حفظ artifacts.
- معايير فشل تستند إلى فحوصات معروفة للمصادقة، والتفويض، والتحقق من صحة المدخلات.
جارٍ استخدام "api-mitmproxy". يستخدم تطبيق جوال تثبيت الشهادات في إصدار مختبري.
النتيجة المتوقعة:
- خطة اختبار مضبوطة تؤكد التصريح، وأجهزة المختبر، وخطوات التراجع.
- خيارات لتكوين الوكيل ومراجعة الثقة بالشهادات.
- ملاحظات حول توثيق سلوك التثبيت دون جمع بيانات مستخدم غير ضرورية.
التدقيق الأمني
حرجv9 • ٢٣/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
Most static alerts are false positives caused by Markdown fences, educational vulnerable-code examples, and documented security references. Confirmed risks include a mutable remote script piped to Bash, third-party token access, unauthenticated all-interface proxy bindings, and destructive certificate reset guidance. Additional concerns are mutable CI action references, authorization token logging, and persistent interception CA trust.
6
الملفات التي تم فحصها
2,014
الأسطر التي تم تحليلها
8
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (5)
حرج
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The workflow pipes an unverified installer from a mutable GitHub branch directly into Bash. This creates a direct CI supply-chain execution path.
حرج
Recursive delete on root/home
rm -rf ~/.mitmproxy/
The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.
مرتفع
Mutable Third-Party CI Actions
The CI template executes third-party actions through mutable tags, including @master, while exposing repository data and a GitHub token.
The action references are visibly tag-based, and @master is mutable. GitHub Actions execute code with job workspace and permission access.
متوسط
Authorization Token Logging
An addon captures Authorization values and prints the first 20 characters, which can expose reusable credential material in console or CI logs.
The example explicitly stores Authorization header values and prints a token prefix. Log access can reveal sensitive credential material.
متوسط
Persistent Interception CA Trust
The workflow installs and enables trust for an interception CA on client devices without directing users to remove that trust after testing.
The instructions install and trust the mitmproxy CA on Android and iOS. No cleanup step removes the trusted CA after the assessment.
عناصر مراجعة القدرات (8)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Git platform tokens
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
The workflow provides GITHUB_TOKEN to a third-party action referenced by a mutable version tag. A compromised action could use the token's repository permissions.
مرتفع
Hidden file in home directory
rm -rf ~/.mitmproxy/
The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.
متوسط
Hardcoded IP address
mitmproxy --mode regular --listen-host 0.0.0.0 --listen-port 8080
The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.
متوسط
Hardcoded IP address
mitmweb --mode regular --listen-host 0.0.0.0 --listen-port 8080
The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.
متوسط
Hardcoded IP address
mitmproxy --mode reverse:https://api.example.com --listen-host 0.0.0.0 --listen-port 443
The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.
متوسط
Hardcoded IP address
- Ensure mitmproxy is listening on correct interface (0.0.0.0)
The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.
متوسط
Hidden file access
rm -rf ~/.mitmproxy/
The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.
منخفض
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The URL selects a mutable branch-hosted installer and sends its response directly to Bash. Changed or compromised remote content would execute in CI.
عوامل الخطر
⚙️ الأوامر الخارجية (50)
assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 SKILL.md:40-52 SKILL.md:52-63 SKILL.md:63-69 SKILL.md:69-100 SKILL.md:100-102 SKILL.md:102-106 SKILL.md:106-112 SKILL.md:112-114 SKILL.md:114-118 SKILL.md:118-124 SKILL.md:124-125 SKILL.md:125-142 SKILL.md:142-144 SKILL.md:144-148 SKILL.md:148-162 SKILL.md:162-164 SKILL.md:164-173 SKILL.md:173-175 SKILL.md:175-179 SKILL.md:179-181 SKILL.md:181-185 SKILL.md:185-187 SKILL.md:187-191 SKILL.md:191-193 SKILL.md:193-207 SKILL.md:207-223 SKILL.md:223-245 SKILL.md:245-251 SKILL.md:251-268 SKILL.md:268-274 SKILL.md:274-295 SKILL.md:295-301 SKILL.md:301-317 SKILL.md:317-320 SKILL.md:320-322 SKILL.md:322-347 SKILL.md:347-360 SKILL.md:360-378 SKILL.md:378-390 SKILL.md:390-396 SKILL.md:396-402 SKILL.md:402-408
🌐 الوصول إلى الشبكة (39)
assets/ci-config-template.yml:240 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 SKILL.md:129 SKILL.md:231 SKILL.md:256 SKILL.md:280 SKILL.md:20 SKILL.md:21 SKILL.md:47 SKILL.md:163 SKILL.md:186 SKILL.md:192 SKILL.md:202 SKILL.md:353 SKILL.md:354 SKILL.md:481 SKILL.md:482 SKILL.md:483 SKILL.md:484 SKILL.md:47 SKILL.md:65 SKILL.md:68 SKILL.md:163 SKILL.md:443 SKILL.md:353 SKILL.md:354
📁 الوصول إلى نظام الملفات (9)
🔑 متغيرات البيئة (23)
assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444
⚡ يحتوي على سكربتات (2)
الأنماط المكتشفة
Pipe to shell patternRecursive delete on root/home
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/agentsecops-api-mitmproxy?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/agentsecops-api-mitmproxy?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-api-mitmproxy/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/agentsecops-api-mitmproxy.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
AgentSecOps. (2026). api-mitmproxy security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9اقتباس BibTeX
@techreport{agentsecops-agentsecops-api-mitmproxy-2026,
author = {AgentSecOps},
title = {api-mitmproxy security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-mitmproxy security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9"
identifiers:
- type: other
value: "skillstore:agentsecops-api-mitmproxy:audit:9"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 55
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
70
المجتمع
91
الامتثال للمواصفات
ما الذي يمكنك بناؤه
فحص طلبات API
التقاط ومراجعة ترويسات الطلبات، والرموز، والمعلمات، والاستجابات أثناء اختبار API ويب مصرّح به.
تصحيح أخطاء حركة API للجوال
تكوين جهاز اختبار عبر mitmproxy وتوثيق سلوك API لتطبيق جوال في مختبر مضبوط.
أتمتة فحوصات الانحدار
استخدام سكربتات mitmdump والتدفقات المحفوظة لتكرار فحوصات أمان API مركزة ضمن سير عمل CI.
جرّب هذه الموجّهات
بدء التقاط آمن
ساعدني في إعداد mitmproxy لاختبار API محلي مصرّح به. ضمّن إعداد الوكيل، وخطوات الشهادة، وإرشادات التخزين الآمن.
مراجعة حركة المصادقة
أرشدني خلال مراجعة حركة المصادقة الملتقطة. ركز على التعامل مع الرموز، ومخاطر إعادة التشغيل، وفحوصات التفويض، والتنقيح.
تخطيط اختبار جوال
أنشئ خطة لاختبار API للجوال باستخدام mitmproxy. ضمّن ضوابط النطاق، وإعداد الشهادة، وقيود التثبيت، والتعامل مع الأدلة.
تصميم سير عمل أتمتة
صمم سير عمل انحدار أمني لـ API قائم على mitmdump. ضمّن التعامل مع التدفقات الملتقطة، وأهداف الإضافات، ومعايير الفشل، وحماية البيانات.
أفضل الممارسات
- اختبر فقط الأنظمة وحركة المرور المشمولة بتصريح مكتوب.
- احجب الرموز، وملفات تعريف الارتباط، والبيانات الشخصية، والأسرار قبل حفظ الالتقاطات أو مشاركتها.
- اربط خدمات الوكيل بـ localhost ما لم يكن الوصول البعيد مطلوبا ومحميا.
تجنب
- لا تعترض حركة الإنتاج أو حركة أطراف ثالثة دون موافقة صريحة.
- لا تلتزم بملفات التدفق، أو ملفات HAR، أو الشهادات، أو بيانات الاعتماد الملتقطة إلى نظام التحكم بالمصدر.
- لا تعرض mitmweb أو مستمعي الوكيل على الشبكات العامة دون مصادقة وضوابط جدار حماية.
الأسئلة المتكررة
ما الذي تساعدني هذه المهارة على فعله؟
يساعد في تخطيط وتشغيل سير عمل mitmproxy المصرّح به لفحص حركة API وتعديلها وإعادة تشغيلها وإعداد التقارير عنها.
هل يمكنه اختبار واجهات HTTPS API؟
نعم. يشرح تثبيت الشهادات وإعداد الوكيل اللازمين لفحص حركة HTTPS في بيئة مضبوطة.
هل هذا مناسب لحركة الإنتاج؟
فقط مع تصريح صريح، ونطاق صارم، وتخزين آمن، وضوابط خصوصية. تعد بيئات المختبر وstaging خيارات افتراضية أكثر أمانا.
هل يتضمن إرشادات للأتمتة؟
نعم. يغطي سكربتات mitmdump، والتدفقات المحفوظة، وإعادة التشغيل، وتصدير HAR، وأنماط الاختبار الموجهة لـ CI.
ما الأدوات التي يجب تثبيتها؟
تتطلب سير العمل أدوات mitmproxy ودعم Python لسكربتات الإضافات. قد تتطلب اختبارات الجوال إعدادا خاصا بالجهاز.
كيف يجب التعامل مع الأسرار الملتقطة؟
تعامل مع الالتقاطات كبيانات حساسة. احجب بيانات الاعتماد، وقيّد الوصول، وشفر التخزين، واحذف الملفات عندما لا تعود مطلوبة.
تفاصيل المطور
المؤلف
AgentSecOpsالترخيص
MIT
إصدار المؤلف
v0.1.0
مراجعة Skillstore
r2
مرجع
9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2
حداثة الصيانة
٢٤/٧/٢٠٢٦
الاستخدام
6 تنزيلات · 226 مشاهدات
بنية الملفات
المزيد من AgentSecOps
عرض الكل📦
container-hadolint
72التحقق من ملفات Dockerfile باستخدام Hadolint
يمكن أن تخفي ملفات Dockerfile حزماً غير آمنة، ومستخدمي root، ونقاط دخول ضعيفة، وأخطاء في التعامل مع الأسرار. ترشد هذه المهارة إلى عمليات فحص Hadolint، وبوابات CI، وخطوات المعالجة قبل بناء الصور.
الأمان والامتثال عرض
📦
dast-nuclei
38تشغيل فحوصات Nuclei DAST
قد تفوّت الفحوصات اليدوية للثغرات CVEs المعروفة ومشكلات التهيئة عبر تطبيقات الويب وواجهات APIs. تساعد هذه المهارة في تخطيط فحوصات Nuclei، وضبط سير عمل CI، ومراجعة النتائج.
الأمان والامتثال عرض
📦
sast-semgrep
38فحص الكود باستخدام Semgrep SAST
تحتاج فرق التطوير إلى مراجعة أمنية ثابتة وقابلة للتكرار دون بناء القواعد من الصفر. ترشد هذه المهارة عمليات فحص Semgrep، والربط مع OWASP وCWE، وتخطيط المعالجة، والتكامل مع CI.
الأمان والامتثال عرض
📦
sca-trivy
38فحص الحاويات والاعتماديات باستخدام Trivy
يمكن أن تؤدي CVEs غير المعروفة وأخطاء التهيئة إلى تأخير الإصدارات الآمنة. ترشد هذه المهارة إلى عمليات فحص Trivy، وإنشاء SBOM، وترتيب أولويات المعالجة عبر مسارات التسليم الشائعة.
الأمان والامتثال عرض
📦
dast-zap
38فحص تطبيقات الويب باستخدام OWASP ZAP
يصعب توحيد اختبار أمان الويب وقت التشغيل عبر الفرق. توفر هذه المهارة تدفقات عمل OWASP ZAP للفحوصات المصرح بها، واختبار API، والمصادقة، وتقارير CI/CD.
الأمان والامتثال عرض
مهارات ذات صلة
عرض الكل📦
senior-security
81تعزيز مراجعات أمان التطبيقات
بواسطة alirezarezvani
غالبًا ما تفتقر مراجعات الأمان إلى قوائم تحقق متسقة وسير عمل قابل لإعادة الاستخدام. توفر هذه المهارة قوالب تمهيدية لمراجعات الأمان، وإرشادات مرجعية، وسكربتات تقارير بسيطة لـ Claude وCodex وClaude Code.
الأمان والامتثال عرض
📦
web-security-testing
80تشغيل اختبار أمان الويب وفق OWASP
بواسطة sickn33
تحتاج فرق الويب إلى طريقة قابلة للتكرار للتحقق من مخاطر التطبيقات الشائعة قبل الإصدار. تنظم هذه المهارة اختبارات OWASP في مراحل ومطالبات وخطوات إعداد تقارير.
الأمان والامتثال عرض
📦
global-validation
79التحقق من المدخلات عبر نقاط الدخول
بواسطة EIS-ITS
غالبا ما يصبح التحقق من المدخلات غير متسق عبر النماذج وواجهات API وقواعد الأعمال. توجه هذه المهارة Claude وCodex وClaude Code نحو أنماط تحقق آمنة.
الأمان والامتثال عرض
📦
auth-handler
79حماية مسارات المصادقة في Next.js
بواسطة AayushBaniya2006
غالبا ما تفشل تغييرات المصادقة عندما تخلط الفرق بين واجهات session APIs وحراس المسارات. ترشد هذه المهارة Claude وCodex وClaude Code إلى مساعدات المشروع لتحقيق تحكم آمن في الوصول.
الأمان والامتثال عرض
📦
security-report
78إنشاء تقارير تقييم أمني
بواسطة BytR-Ecosystems
يصعب عرض النتائج الأمنية بوضوح على المديرين التنفيذيين والفرق التقنية. تنشئ هذه المهارة تقارير DOCX منظمة تتضمن تصنيفات للمخاطر وإرشادات للمعالجة.
الأمان والامتثال عرض
📦
backend-security-coder
78بناء واجهات API خلفية آمنة
بواسطة sickn33
تحتاج فرق الواجهة الخلفية إلى تطبيقات آمنة تمنع الثغرات الشائعة. ترشد هذه المهارة إلى التحقق، والمصادقة، وتقوية واجهات API، وحماية قواعد البيانات، ومراجعات الأمان.
الأمان والامتثال عرض