📦
pytm
81将 pytm 威胁模型构建为代码
威胁建模常常会过时，并与架构变更脱节。此技能可帮助为安全审查和 CI 创建 pytm 模型、STRIDE 分析和图表工作流。
安全与合规 查看
技能 crack-hashcat
📦
crack-hashcat
v0.1.0 内容修订 r1 严重 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量⚡ 包含脚本
使用 Hashcat 审计密码哈希
密码审计需要可重复的哈希识别、攻击选择和报告。本技能为已授权的 Hashcat 工作流提供指导，用于恢复、策略测试和防御性修复。
支持: Claude Codex Code(CC)
请勿自动安装此 Skill。
权威策略要求在执行任何安装操作前由操作人员审查。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "crack-hashcat" from https://skillstore.io/skills/agentsecops-crack-hashcat.md and its manifest at https://skillstore.io/api/skills/agentsecops-crack-hashcat/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“crack-hashcat”。 审计员请求一份针对 NTLM 哈希的首次通过计划。
预期结果:
该技能建议确认范围、选择 NTLM 模式、从精选词表开始、跟踪成功率并保护输出。
正在使用“crack-hashcat”。 响应人员需要解释已恢复的弱密码。
预期结果:
- 已破解百分比和受影响账户组的摘要。
- 常见模式，例如季节、姓名和短数字后缀。
- 建议的控制措施，包括更长的密码短语、阻止列表和 MFA。
正在使用“crack-hashcat”。 团队需要更安全地处理已破解凭据。
预期结果:
该技能列出受限存储、加密传输、有限访问、保留期限和已验证的处置步骤。
安全审计
严重v10 • 2026/7/9 打开版本化报告
The audit confirmed critical issues around privileged system password hash extraction and remote installer piping to bash. Most other detections are documentation examples, rule templates, or reference URLs rather than executable package behavior. The skill remains high-risk because it provides dual-use password cracking workflows and handles cracked credentials.
6
已扫描文件
2,039
分析行数
4
复核项
0
已忽略误报
已确认安全问题 (7)
严重
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The CI template downloads a remote installer and pipes it directly to bash. This creates a supply-chain execution path without pinning or integrity verification.
严重
System password file access
# From /etc/shadow (Linux)
The referenced section directs users to extract hashes from /etc/shadow. Accessing system password files is a critical credential exposure risk even when framed as auditing.
严重
System password file access
sudo cat /etc/shadow | grep -v "^#" | grep -v ":\*:" | grep -v ":!:" > shadow_hashes.txt
The referenced section directs users to extract hashes from /etc/shadow. Accessing system password files is a critical credential exposure risk even when framed as auditing.
严重
System password file access
# Extract hashes from /etc/shadow
The referenced section directs users to extract hashes from /etc/shadow. Accessing system password files is a critical credential exposure risk even when framed as auditing.
严重
System password file access
sudo unshadow /etc/passwd /etc/shadow > linux_hashes.txt
The referenced section directs users to extract hashes from /etc/shadow. Accessing system password files is a critical credential exposure risk even when framed as auditing.
高
Dual-use Password Cracking Workflow
The skill provides end-to-end Hashcat guidance for cracking password hashes, including NTLM, WPA2, and Kerberos examples. Authorization warnings are present, but the workflow can enable credential abuse if used outside scope.
The cited sections describe password recovery, attack modes, and concrete domain, Wi-Fi, and Kerberos cracking workflows. The authorization language lowers malicious certainty but not dual-use risk.
高
Sensitive Cracked Password Artifact Handling
The skill shows outputting cracked credentials to files and displaying usernames with passwords. These artifacts can expose live credentials if stored, shared, or retained without strict controls.
The results section includes viewing and exporting cracked passwords, while the audit section acknowledges artifact handling needs. This is a real data exposure risk with some documented mitigations.
能力复核项 (4)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
严重
sudo privilege escalation
sudo cat /etc/shadow | grep -v "^#" | grep -v ":\*:" | grep -v ":!:" > shadow_hashes.txt
The skill instructs use of sudo to read system password hash material. That is privileged credential access and can expose sensitive local account hashes.
严重
sudo privilege escalation
sudo unshadow /etc/passwd /etc/shadow > linux_hashes.txt
The skill instructs use of sudo to read system password hash material. That is privileged credential access and can expose sensitive local account hashes.
高
Git platform tokens
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
The workflow passes GITHUB_TOKEN into a third-party action environment. This is common CI behavior, but it exposes a repository token to action runtime code.
低
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The hardcoded URL fetches an installer script during CI. The risk is real because it is paired with direct shell execution on the next operation.
风险因素
⚙️ 外部命令 (50)
assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 SKILL.md:35-47 SKILL.md:47-78 SKILL.md:78-100 SKILL.md:100-106 SKILL.md:106-124 SKILL.md:124-131 SKILL.md:131-140 SKILL.md:140-143 SKILL.md:143-146 SKILL.md:146-149 SKILL.md:149-158 SKILL.md:158-161 SKILL.md:161-170 SKILL.md:170-173 SKILL.md:173-179 SKILL.md:179-182 SKILL.md:182-183 SKILL.md:183-184 SKILL.md:184-185 SKILL.md:185-186 SKILL.md:186-187 SKILL.md:187-193 SKILL.md:193-214 SKILL.md:214-220 SKILL.md:220-241 SKILL.md:241-247 SKILL.md:247-262 SKILL.md:262-268 SKILL.md:268-283 SKILL.md:283-327 SKILL.md:327-336 SKILL.md:336-340 SKILL.md:340-349 SKILL.md:349-353 SKILL.md:353-362 SKILL.md:362-366 SKILL.md:366-375 SKILL.md:375-379 SKILL.md:379-385 SKILL.md:385-391 SKILL.md:391-408 SKILL.md:408-412
🌐 网络访问 (23)
assets/ci-config-template.yml:240 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 SKILL.md:18 SKILL.md:19 SKILL.md:20 SKILL.md:505 SKILL.md:506 SKILL.md:507 SKILL.md:508 SKILL.md:509
🔑 环境变量 (23)
assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444
检测到的模式
Pipe to shell patternSystem password file access×4
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/agentsecops-crack-hashcat/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/agentsecops-crack-hashcat?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/agentsecops-crack-hashcat?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-crack-hashcat/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/agentsecops-crack-hashcat.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
AgentSecOps. (2026). crack-hashcat security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-crack-hashcat/audits/10BibTeX 引用
@techreport{agentsecops-agentsecops-crack-hashcat-2026,
author = {AgentSecOps},
title = {crack-hashcat security audit report (audit version 10)},
institution = {Skillstore},
year = {2026},
number = {10},
url = {https://skillstore.io/skills/agentsecops-crack-hashcat/audits/10},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "crack-hashcat security audit report (audit version 10)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/agentsecops-crack-hashcat/audits/10"
identifiers:
- type: other
value: "skillstore:agentsecops-crack-hashcat:audit:10"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 55
架构
100
可维护性
87
内容
73
社区
87
规范符合性
你能构建什么
执行已授权的密码审计
规划限定范围的 Hashcat 审计，选择攻击模式，并总结弱密码模式。
支持取证恢复
从获批的证据哈希中恢复密码，同时记录监管链和处理要求。
改进凭据控制
将已破解密码结果转化为策略、存储和多因素身份验证建议。
试试这些提示
识别哈希类型
我有一个来自实验室系统的已授权哈希样本。请帮助我识别可能的 Hashcat 模式和安全的后续步骤，同时不要暴露该秘密。
规划审计攻击
为这些哈希类型和约束创建已授权的 Hashcat 审计计划。包括攻击模式、资源限制、日志记录和证据处理。
调优破解会话
审查我的已授权 Hashcat 会话设置，并针对工作负载、设备、检查点和结果保护提出安全调优建议。
撰写修复报告
根据这些已授权结果起草密码审计发现报告。重点关注模式、风险、策略变更、存储控制和 MFA 建议。
最佳实践
- 在任何破解活动之前确认书面授权和范围。
- 使用隔离系统，并加密哈希文件、词表和结果工件。
- 将发现转化为密码策略改进和 MFA 建议。
避免
- 破解来自你不拥有或不管理的系统的哈希。
- 将已恢复的密码保存在共享文件夹、工单或聊天日志中。
- 在没有资源限制的情况下对生产硬件运行激进的暴力破解。
常见问题
此技能是否仅用于已授权工作？
是的。它适用于获得明确许可的批准审计、取证、恢复和安全研究。
它是否包含 Hashcat？
不。它提供工作流指导。用户必须单独安装 Hashcat 和所需的 GPU 驱动程序。
Claude、Codex 或 Claude Code 能运行这些命令吗？
它们可以帮助起草命令和计划。执行取决于本地工具权限和用户批准。
涵盖哪些哈希类型？
该技能引用常见模式，例如 MD5、SHA、NTLM、bcrypt、NetNTLMv2、Kerberos 和 WPA 格式。
应如何处理已恢复的密码？
将它们视为敏感秘密。对其进行加密存储、限制访问、尽量缩短保留时间，并在报告后销毁。
它能保证密码恢复成功吗？
不能。成功取决于哈希强度、密码复杂度、词表、规则、硬件和可用时间。
开发者详情
作者
AgentSecOps许可证
MIT
作者版本
v0.1.0
Skillstore 修订
r1
引用
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
维护新鲜度
2026/7/18
使用量
5 次下载 · 410 次浏览
文件结构
AgentSecOps 的更多技能
查看全部📦
container-hadolint
72使用 Hadolint 验证 Dockerfile
Dockerfile 可能隐藏不安全的软件包、root 用户、薄弱的 entrypoint，以及密钥处理错误。此技能会在镜像构建前指导 Hadolint 扫描、CI 门禁和修复步骤。
安全与合规 查看
📦
dast-nuclei
38运行 Nuclei DAST 扫描
手动漏洞检查会遗漏 Web 应用和 API 中已知的 CVE 与配置问题。此技能可帮助规划 Nuclei 扫描、调优 CI 工作流并审查发现结果。
安全与合规 查看
📦
sast-semgrep
38使用 Semgrep SAST 扫描代码
开发团队需要可重复的静态安全审查，而不必从零开始构建规则。此技能可指导 Semgrep 扫描、OWASP 和 CWE 映射、修复规划以及 CI 集成。
安全与合规 查看
📦
sca-trivy
38使用 Trivy 扫描容器和依赖项
未知的 CVE 和错误配置可能会延迟安全发布。此技能指导在常见交付工作流中进行 Trivy 扫描、SBOM 创建和修复优先级排序。
安全与合规 查看
📦
dast-zap
38使用 OWASP ZAP 扫描 Web 应用
运行时 Web 安全测试很难在团队之间标准化。此技能提供用于授权扫描、API 测试、身份验证和 CI/CD 报告的 OWASP ZAP 工作流。
安全与合规 查看
相关技能
查看全部📦
universal-audit
92Audit Software Releases with Evidence
由 glenskii
Release decisions often rely on incomplete evidence and inconsistent standards. This skill applies structured controls, deterministic scoring, and mandatory gates to assess readiness.
安全与合规 查看
📦
python-web-app-security-audit
90Audit Python Web Apps Before Release
由 glenskii
Python teams need repeatable checks for common application security controls. This skill provides configurable pytest coverage with clear evidence, boundaries, and release decisions.
安全与合规 查看
📦
information-security-manager-iso27001
84实施 ISO 27001 安全治理
由 davila7
医疗保健和 MedTech 团队需要结构化的 ISO 27001 安全计划，将风险、控制、事件和审核连接起来。此技能使用 ISO 27001 和 ISO 27002 指导 ISMS 规划、风险评估、控制选择和认证准备。
安全与合规 查看
📦
risk-management-specialist
84管理医疗器械风险文件
由 alirezarezvani
医疗器械团队需要在设计、法规和上市后工作中保持一致的风险管理证据。此技能可指导 ISO 14971 的规划、分析、控制和文件维护。
安全与合规 查看
📦
isms-audit-expert
83审核 ISO 27001 ISMS 控制措施
由 alirezarezvani
ISMS 审核需要明确的范围、证据和基于风险的优先级。此技能指导 ISO 27001 审核规划、控制测试和准备工作。
安全与合规 查看
📦
auth-nodejs-cloudbase
82构建 CloudBase Node 身份验证流程
由 tencentcloudbase
服务端 CloudBase 身份验证工作可能会涉及调用方身份、用户查找和自定义登录细节。此技能指导 Node.js agent 使用正确的 SDK 方法和安全的后端模式。
安全与合规 查看