webapp-nikto
認可済みの Nikto Web サーバー評価を実行する
Web サーバーの設定ミスや古いコンポーネントを一貫してレビューするのは困難です。このスキルは、認可済みの Nikto スキャン、結果の取り扱い、修復に焦点を当てたレポート作成を支援します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
Agent向けリソース
AI Agent、クローラー、またはスクリプトがページ全体ではなくクリーンなコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「webapp-nikto」を使用しています。 ユーザーが、認可済みの 1 台の HTTPS Web サーバーに対するスキャン計画を求めています。
期待される結果:
認可確認、ターゲット URL、スキャン時間帯、安全なタイムアウト設定、レポート形式、検証手順を含む短い評価チェックリスト。
「webapp-nikto」を使用しています。 ユーザーが、複数のサーバー設定に関する検出結果を含む Nikto の結果を提供しています。
期待される結果:
- 深刻度別にグループ化された検出結果。
- 確認済みの問題から分離された、誤検知の可能性が高い項目。
- Web サーバーハードニング管理策に紐付いた修復ガイダンス。
「webapp-nikto」を使用しています。 チームが CI で定期的な Web サーバースキャンを実施したいと考えています。
期待される結果:
制御されたターゲット範囲、アーティファクト保持、アラートルール、適用前の手動レビューを含むパイプライン概要。
セキュリティ監査
高リスクStatic analysis found many command, network, script, environment, and filesystem patterns. Most are false positives from documentation templates or expected Nikto usage, but the skill contains confirmed dual-use scanning guidance, IDS/WAF evasion examples, and a CI template that pipes a remote installer into a shell. No evidence found of prompt injection, credential exfiltration, or malicious payloads, so this is not blocked as malware.
高リスクの問題 (2)
中リスクの問題 (3)
低リスクの問題 (3)
リスク要因
⚙️ 外部コマンド (5)
🌐 ネットワークアクセス (5)
📁 ファイルシステムへのアクセス (4)
🔑 環境変数 (3)
⚡ スクリプトを含む (2)
検出されたパターン
品質スコア
作れるもの
外部 Web サーバーレビュー
承認済みのインターネット公開 Web サーバーに対して、認可済みの Nikto チェックを計画・実行し、修復に向けた検出結果を準備します。
内部ハードニング検証
リリース前、またはインフラ変更後に、Web サーバーのパッチ適用、設定、ヘッダー、公開ファイルを検証します。
コンプライアンス証跡の収集
脆弱性管理と Web サーバーハードニング管理策を支援する、構造化されたスキャンアーティファクトと監査メモを生成します。
これらのプロンプトを試す
テストする権限がある 1 台の Web サーバーに対する Nikto スキャン計画を手伝ってください。スコープ、コマンドオプション、出力形式を含めてください。
設定ミス、情報漏えい、古いソフトウェアのチェックに重点を置いた、承認済みターゲット向けの Nikto スキャン計画を作成してください。
認可済みの Nikto スキャンを実行し、レポートを保存し、合意済みの深刻度基準に基づいてのみ失敗させる CI ワークフローを設計してください。
これらの Nikto 検出結果をレビューし、誤検知の可能性が高いものをグループ化し、確認済みの問題を OWASP と CWE に対応付け、修復の優先順位を推奨してください。
ベストプラクティス
- アクティブスキャンを実行する前に、書面による認可、ターゲット範囲、ポート、承認済みのスキャン時間帯を確認します。
- 保守的なタイミングと焦点を絞ったチューニングから始め、影響が許容できる場合にのみ範囲を拡大します。
- 深刻度を報告したり修復作業を割り当てたりする前に、検出結果を手動で検証します。
回避
- 所有者から明示的な許可を得ていないシステムをスキャンしないでください。
- 実際のパスワード、トークン、セッション Cookie を共有コマンドラインに直接含めないでください。
- コンテキストと手動検証なしに、Nikto の出力を最終的な証拠として扱わないでください。