web-security-testing
Web アプリを OWASP Top 10 の脆弱性についてテストする
このワークフローは、偵察からレポート作成まで、OWASP Top 10 手法に従って Web アプリケーションの包括的なセキュリティテストを実施する手順を案内します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「web-security-testing」を使用しています。 @web-security-testing を使用して https://example.com の Web アプリケーションをテストする
期待される結果:
- フェーズ 1 を開始：偵察
- - アプリケーションの表面をマッピング
- - 使用されている技術を特定
- - エンドポイントを発見
- - サブドメインを特定
- - 初期調査結果を文書化
- フェーズ 2：インジェクションテストに進む準備完了
「web-security-testing」を使用しています。 @web-security-testing のフェーズ 3 です。検索機能で XSS をテストしてください。
期待される結果:
- フェーズ 3：XSS テスト
- テストベクトル：反射型、貯蔵型、DOM ベース
- 実行するテストケース：
- - <script>alert(1)</script>
- - <img src=x onerror=alert(1)>
- - <svg onload=alert(1)>
- 概念証明とともにすべての成功したバイパスを文書化する
セキュリティ監査
安全Static analysis flagged 33 potential issues (31 external_commands, 2 weak cryptographic algorithms). After evaluation, all findings are FALSE POSITIVES. The external_commands detections are markdown code formatting (backticks) used for skill references like @scanning-tools, not actual shell execution. The cryptographic flags are false positives from keywords in the OWASP checklist. This is a legitimate security testing workflow with no malicious code.
高リスクの問題 (1)
中リスクの問題 (1)
品質スコア
作れるもの
包括的なセキュリティ評価
詳細なフェーズごとのテストで、構造化された OWASP Top 10 手法に従って Web アプリケーションの完全なセキュリティ監査を実施する。
バグバウンティ偵察
バグバウンティハンティングでこのワークフローを使用し、対象アプリケーションの脆弱性を体系的かつ構造化された方法でテストする。
セキュリティ検証
本番デプロイ前に Web アプリケーションのセキュリティコントロールが適切に実装されていることを検証する。
これらのプロンプトを試す
@web-security-testing を使用して、Web アプリケーションのセキュリティ脆弱性をテストします。ターゲット：[URL]
@web-security-testing のフェーズ 2 です。[URL] のログインフォームの [param] パラメータで SQL インジェクションをテストしてください
@web-security-testing のフェーズ 3 に従って、[URL] のコメントセクションで XSS 脆弱性をテストしてください
@web-security-testing のすべてのフェーズを完了しました。発見事項と修復手順を要約したセキュリティレポートを生成してください。
ベストプラクティス
- アプリケーションをテストする前に常に適切な認可を取得する
- 包括的なカバレッジのためにワークフローのフェーズを順番に従う
- 各脆弱性の概念証明とともにすべての発見事項を文書化する
- 各フェーズの専門的なテストには参照されたスキルを呼び出す
回避
- フェーズをスキップする - 各フェーズは以前の偵察に基づいて構築される
- 認可なく本番環境でテストする
- 再現手順とともに発見事項を文書化しない
- 適切なリスク評価なしに低重大度の発見事項を無視する