技能 webapp-nikto

📦

webapp-nikto

Name: webapp-nikto
Author: AgentSecOps

v0.1.0 内容修订 r2 严重 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量⚡ 包含脚本

使用 Nikto 扫描 Web 服务器

Web 团队需要针对 Web 服务器配置错误和过时组件进行可重复的检查。此技能会指导获得授权的 Nikto 扫描，并将发现转化为实用的修复说明。

支持: Claude Codex Code(CC)

⚠️ 38 差

请勿自动安装此 Skill。

权威策略要求在执行任何安装操作前由操作人员审查。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "webapp-nikto" from https://skillstore.io/skills/agentsecops-webapp-nikto.md and its manifest at https://skillstore.io/api/skills/agentsecops-webapp-nikto/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/agentsecops-webapp-nikto.md 已签名 manifest GET /api/skills/agentsecops-webapp-nikto/manifest 已签名 lockfile GET /api/skills/agentsecops-webapp-nikto/lockfile

测试它

正在使用“webapp-nikto”。需要 HTML 报告的授权 HTTPS 服务器扫描。

预期结果:

授权和目标范围检查清单。
包含超时和输出设置的 Nikto 扫描计划。
在升级处理前验证发现的审查步骤。

正在使用“webapp-nikto”。包含过时服务器软件和暴露默认文件的 Nikto 报告。

预期结果:

按业务风险排序的发现摘要。
针对补丁修复和文件删除的建议负责人行动。
用于证据收集和重新测试的说明。

正在使用“webapp-nikto”。需要在交付流水线中进行周期性 Web 安全扫描。

预期结果:

包含受控目标和保留产物的流水线设计。
严重发现的失败标准。
在阻止发布前进行人工审查的指导。

安全审计

严重

v9 • 2026/7/23 打开版本化报告

Most static findings are false positives from Markdown code fences, reserved example URLs, defensive samples, and standard local report processing. The CI template executes an unverified remote installer and uses mutable third-party actions in security-sensitive workflows. The skill also provides actionable IDS and WAF evasion guidance despite repeated authorization warnings.

已扫描文件

1,972

分析行数

复核项

已忽略误报

已确认安全问题 (3)

严重

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The workflow downloads a script from a mutable branch and pipes it directly to Bash. A compromised upstream response would execute arbitrary code on the CI runner.

高

SKILL.md:186-215 SKILL.md:392-404

Actionable IDS and WAF Evasion Guidance

The skill teaches random user agents, URI mutations, IDS evasion, and WAF bypass techniques that can conceal unauthorized vulnerability scanning.

The headings and commands explicitly describe evading detection and continuing when a WAF blocks scans. Authorization warnings reduce misuse risk but do not remove the capability.

高

assets/ci-config-template.yml:161-165 assets/ci-config-template.yml:196-202

Mutable Third-Party CI Actions

The CI template uses third-party actions through mutable tags, including a master branch, allowing upstream changes to execute in security-sensitive workflows.

The template visibly selects gitleaks-action@v2 and trivy-action@master instead of immutable commit SHAs. These actions run on CI runners with repository context.

能力复核项 (1)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The URL references an installer on the mutable master branch and its response is executed without checksum or signature verification. This creates a concrete supply-chain dependency.

风险因素

⚙️ 外部命令 (42)

🌐 网络访问 (50)

📁 文件系统访问 (2)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323

🔑 环境变量 (23)

⚡ 包含脚本 (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

检测到的模式

Pipe to shell pattern

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/agentsecops-webapp-nikto/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-webapp-nikto/security.svg)](https://skillstore.io/skills/agentsecops-webapp-nikto?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/agentsecops-webapp-nikto?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-webapp-nikto/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/agentsecops-webapp-nikto.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

AgentSecOps. (2026). webapp-nikto security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-webapp-nikto/audits/9

BibTeX 引用

@techreport{agentsecops-agentsecops-webapp-nikto-2026,
  author = {AgentSecOps},
  title = {webapp-nikto security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-webapp-nikto/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "webapp-nikto security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-webapp-nikto/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-webapp-nikto:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

边界 Web 服务器审查

评估已获批准的面向互联网的服务器，检查过时软件、风险文件和基础配置弱点。

发布流水线安全检查

在部署前或基础设施变更后添加可重复的 Web 服务器扫描步骤。

合规证据收集

创建扫描记录、修复说明和框架映射，用作审计证据。

试试这些提示

规划基础扫描

使用此技能为我已获授权的 Web 服务器规划一次基础 Nikto 扫描。包括范围检查、安全时间安排和报告输出。

审查扫描结果

使用此技能审查我的 Nikto 发现。按可能的问题、潜在误报和修复优先级进行分组。

构建 CI 扫描步骤

使用此技能为已获批准的测试环境设计一个 CI Web 安全扫描步骤。包括产物和失败标准。

创建高管报告

使用此技能将 Nikto 结果转换为高管摘要，包含风险主题、受影响系统和可直接分配给负责人的修复行动。

最佳实践

运行 Nikto 前确认书面授权、目标范围和扫描窗口。
对类生产系统使用速率限制、时间限制和维护窗口。
在分配严重性或修复负责人前人工验证发现。

避免

不要扫描批准范围之外的系统。
不要将真实凭据或会话 Cookie 粘贴到提示或共享文件中。
不要将原始扫描器输出视为已确认的漏洞证据。

常见问题

此技能能帮我做什么？

它有助于规划、运行和记录已获授权的 Nikto Web 服务器漏洞扫描。

我可以扫描任何公开网站吗？

不能。只能扫描你拥有的系统，或已获得明确书面测试许可的系统。

Nikto 能证明漏洞存在吗？

不能。Nikto 会突出显示可能的问题，这些问题需要人工验证和业务上下文。

此技能可以支持合规工作吗？

可以。它包括报告结构以及到常见安全框架的映射。

扫描会影响生产系统吗？

可能会。Nikto 会产生明显流量，应使用已批准的窗口和限制。

我应该在提示中包含凭据吗？

不应包含。请使用占位符，并仅通过批准的密钥管理方式处理真实凭据。

开发者详情

作者

AgentSecOps

许可证

MIT

作者版本

v0.1.0

Skillstore 修订

仓库

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/offsec/webapp-nikto

引用

181fdefcafd96b041926e61c4b2e306ca7e7820e

维护新鲜度

2026/7/28

使用量

6 次下载 · 209 次浏览

文件结构

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md