📦

dast-ffuf

Name: dast-ffuf
Author: AgentSecOps

v0.1.0 コンテンツリビジョン r2 重大 ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

認可された ffuf Web ファジングを実行

Web チームには、ノイズが多すぎたり安全でなかったりするスキャンではなく、再現性のある DAST ワークフローが必要です。このスキルは、Claude、Codex、Claude Code が、フィルター、スコープ、レポート手順を含む認可済みの ffuf テストを計画するのに役立ちます。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

この Skill を自動インストールしないでください。

基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "dast-ffuf" from https://skillstore.io/skills/agentsecops-dast-ffuf.md and its manifest at https://skillstore.io/api/skills/agentsecops-dast-ffuf/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-dast-ffuf.md 署名済み manifest GET /api/skills/agentsecops-dast-ffuf/manifest 署名済み lockfile GET /api/skills/agentsecops-dast-ffuf/lockfile

テストする

「dast-ffuf」を使用しています。ステージング Web アプリの認可済みディレクトリ列挙。

期待される結果:

許可されたホスト、wordlist、match codes、filters、rate limits を含む、スコープを定めたスキャン計画。
検出されたディレクトリを確認し、誤検知を除外するための検証チェックリスト。

「dast-ffuf」を使用しています。承認済み API エンドポイントのパラメータファジング。

期待される結果:

パラメータ名、値、リクエストメソッド、レスポンス比較のためのテスト手順。
異常、確認済みの検出結果、フォローアップチェックを分けるレポート概要。

「dast-ffuf」を使用しています。ステージング環境向け CI DAST ゲート。

期待される結果:

制御されたインストール、限定されたスキャンスコープ、保存された成果物、レビュー手順を含むパイプライン計画。
機密ファイル、予期しない管理者パス、繰り返し発生するスキャンエラーに関する失敗ポリシー。

セキュリティ監査

重大

v9 • 2026/7/23 バージョン別レポートを開く

Most static hits are false positives from Markdown syntax, reference links, and labeled security examples. The CI template has a critical supply-chain risk because it pipes an unpinned remote script into Bash. The skill also provides high-impact credential fuzzing and reconnaissance workflows that require explicit authorization.

スキャンされたファイル

2,006

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (7)

重大

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The CI template pipes an unpinned remote installer directly into Bash without checksum or signature verification. Upstream compromise would produce arbitrary runner execution.

高

SKILL.md:380

Network scanning tools

2. Port scanning (nmap)

The recommended reconnaissance workflow includes nmap port scanning. It is dual-use active network discovery that requires explicit target authorization.

高

SKILL.md:152-183

Credential Fuzzing and Account Enumeration Workflow

The skill instructs users to identify valid usernames, test password lists, and combine credential lists. This can enable account compromise outside an authorized scope.

The workflow explicitly describes username discovery, password fuzzing, and clusterbomb credential combinations against login endpoints.

中

SKILL.md:164

System reconnaissance

-mr "Invalid password|Incorrect password" # Match responses indicating valid user

The response matcher is expressly used to identify valid usernames from authentication differences. That creates a real account-enumeration capability.

中

SKILL.md:300

System reconnaissance

Respect rate limits and avoid detection:

The prose explicitly advises avoiding detection while fuzzing. Rate limiting reduces load, but the stated evasion goal can also support stealthy unauthorized scanning.

中

SKILL.md:185-205

Discovery and Retrieval of Exposed Sensitive Files

The workflow searches for backup and sensitive files, then advises downloading discovered content. This can expose credentials, personal data, or proprietary information.

The cited workflow explicitly enumerates backup extensions and sensitive paths, then directs the user to download and analyze discovered files.

低

SKILL.md:145

System reconnaissance

-fs 0 # Filter by response size to identify valid vhosts

The ffuf command performs virtual-host enumeration by comparing responses. This is legitimate authorized DAST functionality but remains an active reconnaissance capability.

機能レビュー項目 (1)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The URL points to a mutable branch script whose response is executed immediately. A compromised upstream branch or connection can deliver arbitrary CI code.

リスク要因

⚙️ 外部コマンド (50)

🌐 ネットワークアクセス (50)

📁 ファイルシステムへのアクセス (3)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 SKILL.md:403

🔑 環境変数 (23)

⚡ スクリプトを含む (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

検出されたパターン

Pipe to shell patternSystem reconnaissance×3Network scanning tools

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-dast-ffuf/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-dast-ffuf/security.svg)](https://skillstore.io/skills/agentsecops-dast-ffuf?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-dast-ffuf?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-dast-ffuf/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-dast-ffuf.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). dast-ffuf security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-dast-ffuf/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-dast-ffuf-2026,
  author = {AgentSecOps},
  title = {dast-ffuf security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-dast-ffuf/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dast-ffuf security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-dast-ffuf/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-dast-ffuf:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

隠れたアプリケーションコンテンツをマッピングする

ステージングシステム上のディレクトリ、ファイル、バックアップ、管理者パスについて、スコープを定めた ffuf discovery を計画します。

評価中にパラメータをテストする

認可された API とフォームエンドポイント向けに GET と POST のファジング計画を作成します。

CI に DAST チェックを追加する

フィルター、成果物、失敗条件を含む、制御された ffuf パイプラインステップを作成します。

これらのプロンプトを試す

安全なコンテンツスキャンを計画する

Use dast-ffuf to plan an authorized directory scan for my staging app. Include scope, wordlist choice, filters, and rate limits.

API パラメータをファジングする

Create an ffuf plan to test approved API parameters. Include GET and POST cases, match rules, and validation steps.

認証テストのスコープを確認する

Design a controlled authentication fuzzing workflow for an approved test account. Include lockout safeguards and stop conditions.

CI DAST ゲートを設計する

Draft a CI ffuf testing approach for staging. Include safe installation, scan limits, artifact handling, and failure criteria.

ベストプラクティス

ファジングワークフローを実行する前に、書面による認可と正確なターゲットスコープを確認してください。
スキャン強度を上げる前に、小さな wordlists、低い並列数、遅延を使用してください。
検出されたファイルに認証情報や個人データが含まれる可能性があるため、出力は安全に保管してください。

回避

明示的な許可なしにサードパーティシステムをファジングしないでください。
本番ユーザーや共有 ID システムに対して password fuzzing を実行しないでください。
pinning と verification なしに、リモートインストーラスクリプトをシェルへパイプしないでください。

よくある質問

このスキルは何に役立ちますか？

コンテンツ検出、パラメータファジング、仮想ホストテストのための認可済み ffuf DAST ワークフローを計画するのに役立ちます。

それ自体で ffuf を実行しますか？

いいえ。ガイダンスとコマンドパターンを提供します。ツールはユーザーまたはエージェント環境で実行する必要があります。

公開ターゲットで使用できますか？

書面による認可があり、テストスコープが定義されているシステムでのみ使用してください。

必要なツールは何ですか？

ffuf、適切な wordlists、ターゲットへのネットワークアクセス、スキャン結果を保存する場所が必要です。

スキャンノイズを減らすにはどうすればよいですか？

検出結果を報告する前に、match filters、response size filters、auto-calibration、手動検証を使用してください。

なぜこのスキルはセキュリティ上センシティブなのですか？

認可された環境外では害を及ぼす可能性がある、アクティブな Web ファジングと認証テストをガイドするためです。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/dast-ffuf

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/26

利用状況

5 ダウンロード · 248 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

一般的なWeb脆弱性を評価する

作成者 sickn33

Webチームには、一般的なアプリケーションリスクを一貫して認識する方法が必要です。このスキルは、原因、影響、緩和策を含む構造化された脆弱性リファレンスを提供します。

セキュリティ＆コンプライアンス表示

dast-ffuf

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (7)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

隠れたアプリケーションコンテンツをマッピングする

評価中にパラメータをテストする

CI に DAST チェックを追加する

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

AgentSecOps のその他のスキル

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

関連スキル

senior-security

security-guardian

security-bluebook-builder

security-and-hardening

ffuf-claude-skill

top-web-vulnerabilities