📦

onvifscan

Name: onvifscan
Author: BrownFineSecurity

Revisión del contenido r2 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red

Evaluar la seguridad de cámaras ONVIF

Las cámaras ONVIF pueden exponer autenticación débil y endpoints inseguros. Esta skill guía comprobaciones autorizadas con onvifscan y explica opciones de escaneo cautelosas.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "onvifscan" from https://skillstore.io/skills/brownfinesecurity-onvifscan.md and its manifest at https://skillstore.io/api/skills/brownfinesecurity-onvifscan/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/brownfinesecurity-onvifscan.md Manifest firmado GET /api/skills/brownfinesecurity-onvifscan/manifest Lockfile firmado GET /api/skills/brownfinesecurity-onvifscan/lockfile

Pruébalo

Usando "onvifscan". Planifica una comprobación auth segura para una cámara aprobada.

Resultado esperado:

La respuesta debe confirmar la autorización, identificar el objetivo, comenzar con una comprobación auth y evitar pruebas destructivas de endpoints.

Usando "onvifscan". Revisa si debería ejecutar una auditoría de credenciales.

Resultado esperado:

La respuesta debe requerir un alcance aprobado, recomendar listas de palabras pequeñas, definir condiciones de detención y explicar los riesgos de impacto en el dispositivo.

Usando "onvifscan". Resume los hallazgos de un escaneo ONVIF.

Resultado esperado:

La respuesta debe describir la exposición de autenticación, los hallazgos de credenciales, el alcance probado y los próximos pasos de remediación en lenguaje claro.

Auditoría de seguridad

Riesgo alto

v9 • 23/7/2026 Abrir el informe versionado

Most static findings are false positives caused by Markdown backticks or private-network examples. Six examples direct external scanner execution, while credential brute-forcing and potentially destructive tests lack mandatory authorization controls.

Archivos escaneados

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (2)

Alto

SKILL.md:8-14 SKILL.md:46-55 SKILL.md:69-72

Credential Brute-Forcing Without Authorization Controls

The skill directs credential attacks against user-supplied ONVIF targets but never requires ownership, written authorization, scope validation, or lockout approval.

The prose explicitly describes brute-forcing credentials and supplies commands and wordlist options. No authorization gate appears anywhere in the 81-line skill.

Alto

SKILL.md:41-44 SKILL.md:74-79

Potentially Destructive Endpoint Testing

The skill exposes an all-endpoints option that may test destructive operations, with only a caution note and no mandatory confirmation or endpoint preview.

Lines 43 and 78 explicitly state that the all-endpoints option can test potentially destructive endpoints. The skill defines no enforced safety gate.

Elementos de revisión de capacidades (6)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Medio

SKILL.md:31

Ruby/shell backtick execution

- Format: `onvifscan <subcommand> <url> [options]`

Line 31 provides an external onvifscan command template containing user-supplied target and option placeholders. Execution can cause network activity and unsafe interpolation could permit command injection.

Medio

SKILL.md:37-39

Ruby/shell backtick execution

```bash

Lines 37-39 explicitly present an onvifscan auth command for execution against a network target. The command invokes an external security scanner.

Medio

SKILL.md:48-50

Ruby/shell backtick execution

```bash

Lines 48-50 provide an executable onvifscan brute command against a network target. Running it initiates credential attempts through an external tool.

Medio

SKILL.md:60-62

Ruby/shell backtick execution

```bash

Lines 60-62 present a complete external auth-scan command. Execution sends ONVIF requests to the specified device.

Medio

SKILL.md:65-67

Ruby/shell backtick execution

```bash

Lines 65-67 provide a complete verbose auth-scan command invoking onvifscan against a network device. This is genuine external tool execution guidance.

Medio

SKILL.md:70-72

Ruby/shell backtick execution

```bash

Lines 70-72 provide a complete brute-force command using external wordlist files. Running it initiates credential attacks against the target device.

Factores de riesgo

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/brownfinesecurity-onvifscan/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/brownfinesecurity-onvifscan/security.svg)](https://skillstore.io/skills/brownfinesecurity-onvifscan?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/brownfinesecurity-onvifscan?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/brownfinesecurity-onvifscan/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/brownfinesecurity-onvifscan.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

BrownFineSecurity. (2026). onvifscan security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/brownfinesecurity-onvifscan/audits/9

Cita BibTeX

@techreport{brownfinesecurity-brownfinesecurity-onvifscan-2026,
  author = {BrownFineSecurity},
  title = {onvifscan security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/brownfinesecurity-onvifscan/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "onvifscan security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "BrownFineSecurity"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/brownfinesecurity-onvifscan/audits/9"
identifiers:
  - type: other
    value: "skillstore:brownfinesecurity-onvifscan:audit:9"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Comprobar la autenticación de cámaras

Un evaluador de seguridad comprueba si las cámaras ONVIF aprobadas requieren autenticación en endpoints expuestos.

Auditar credenciales de dispositivos

Un equipo de producto IoT prueba dispositivos de laboratorio para detectar credenciales predeterminadas débiles antes del lanzamiento.

Revisar flotas de cámaras gestionadas

Un proveedor de servicios gestionados verifica rangos de cámaras aprobados por el cliente durante una revisión de seguridad programada.

Prueba estos prompts

Planificar una comprobación auth

Ayúdame a planificar una comprobación autorizada de autenticación ONVIF para una cámara en esta dirección. Pregunta primero por cualquier detalle de seguridad que falte.

Comparar modos de escaneo

Compara los modos de escaneo auth y brute para mi prueba aprobada de dispositivo ONVIF. Recomienda el punto de partida más seguro y explica las compensaciones.

Preparar auditoría de credenciales

Prepara un plan cauteloso de auditoría de credenciales para mi cámara ONVIF de laboratorio usando listas aprobadas de nombres de usuario y contraseñas. Incluye condiciones de tasa y detención.

Diseñar evaluación de flota

Diseña un flujo de trabajo de evaluación ONVIF para una flota de cámaras aprobada. Incluye validación de alcance, orden de escaneo, captura de evidencias y reglas de escalamiento.

Mejores prácticas

Confirma la autorización escrita y el alcance antes de cualquier escaneo.
Comienza con comprobaciones de autenticación antes de las pruebas de credenciales.
Usa listas de palabras pequeñas y aprobadas, y detente ante señales de estrés del dispositivo.

Evitar

Escanear cámaras públicas o de terceros sin permiso.
Ejecutar la opción all-endpoints en dispositivos de producción sin aprobación.
Usar listas de contraseñas grandes contra dispositivos integrados frágiles.

Preguntas frecuentes

¿Qué ayuda a probar esta skill?

Ayuda a planificar comprobaciones de autenticación ONVIF y auditorías de credenciales para evaluaciones autorizadas de cámaras IP.

¿La skill incluye el binario del escáner?

No. El comando onvifscan ya debe estar instalado y disponible en el entorno de trabajo.

¿Puedo usarla en cámaras públicas?

Úsala solo en dispositivos de tu propiedad o para los que tengas permiso explícito por escrito para realizar pruebas.

¿Cuál es el primer escaneo más seguro?

Comienza con una comprobación de autenticación contra un dispositivo aprobado antes de considerar pruebas de credenciales.

¿Por qué son riesgosas las pruebas brute-force?

Puede causar bloqueos de cuentas, carga en el dispositivo o intentos de acceso no autorizado si el alcance y los límites no se controlan.

¿Corrige los problemas descubiertos?

No. Ayuda a identificar problemas, pero la remediación depende del firmware del dispositivo, la configuración y los controles de red.

Detalles del desarrollador

Autor

BrownFineSecurity

Licencia

MIT

Revisión de Skillstore

Aviso de versión

El autor no declaró una versión.

Repositorio

https://github.com/BrownFineSecurity/iothackbot/tree/master/skills/onvifscan

Ref.

a39a91716eadede5f4cdefd78178fed4e837a128

Actualidad del mantenimiento

26/7/2026

Uso

6 descargas · 228 vistas

Estructura de archivos

📄 SKILL.md