技能 picocom
📦

picocom

高風險 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數

使用 Picocom 稽核 IoT UART 主控台

IoT UART 測試通常需要可重複的序列存取、記錄，以及謹慎的命令擷取。此技能會使用 picocom 和 Python 輔助工具，引導已授權的主控台作業。

支援: Claude Codex Code(CC)
⚠️ 38 差
1

下載技能 ZIP

2

在 Claude 中上傳

前往 設定 → 功能 → 技能 → 上傳技能

3

開啟並開始使用

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/brownfinesecurity-picocom.md 已簽名 manifest GET /api/skills/brownfinesecurity-picocom/manifest 已簽名 lockfile GET /api/skills/brownfinesecurity-picocom/lockfile

測試它

正在使用「picocom」。 I have a USB serial adapter on an authorized test device and need a first connection plan.

預期結果:

  • 此技能會詢問序列路徑和可能的鮑率。
  • 它會建議已記錄的 picocom 或 serial_helper 工作階段。
  • 它建議在變更裝置狀態前先進行非破壞性檢查。

正在使用「picocom」。 The console output is unreadable after connecting.

預期結果:

  • 此技能會將原因縮小到鮑率、接線、電壓位準或換行結尾不符。
  • 它會提出常見鮑率和基本轉接器檢查。
  • 它會讓工作流程在傳送命令前專注於觀察。

正在使用「picocom」。 I need to prepare evidence from an approved UART assessment.

預期結果:

  • 此技能會整理擷取到的命令、時間戳記、提示和重要回應。
  • 它會將已確認發現與後續問題分開。
  • 它會提醒操作員保護可能包含機密的記錄。

安全審計

高風險
v6 • 6/28/2026

Static analysis found many command, filesystem, network, and credential-access patterns. Many are expected for an IoT UART testing skill, but the documentation also includes persistence, backdoor user creation, reverse shells, privileged file access, and firmware exfiltration examples. No prompt injection attempt was found, so this is high-risk dual-use content rather than confirmed hidden malware.

4
已掃描檔案
2,611
分析行數
12
發現
6
審計總數

高風險問題 (4)

SKILL.md:734-757examples.md:257-286examples.md:289-297
Offensive Persistence and Backdoor Guidance
The skill instructs users to add SSH keys under root, create UID 0 backdoor accounts, and add startup backdoors. This is dangerous outside a tightly authorized lab or assessment scope.
SKILL.md:621-628examples.md:136-143examples.md:174-180
Credential and Privileged File Access Guidance
The documentation directs users to read password databases, sudoers files, and password-bearing configuration files. This can expose credentials and privilege paths on target devices.
serial_helper.py:593-596serial_helper.py:736-737
User-Controlled Shell Execution in Helper Script
serial_helper.py accepts a trigger command from the CLI and runs it with shell=True during monitor mode. This enables arbitrary local command execution by the agent or user invoking the helper.
SKILL.md:761-778
Firmware Extraction and Network Transfer Instructions
The skill shows how to dump raw flash partitions and send the resulting root filesystem over the network. This can expose firmware, secrets, and proprietary code from a device.
中風險問題 (2)
SKILL.md:21-29OBSERVING_SESSIONS.md:333-349
Sensitive Session Logging to Temporary Paths
The skill defaults to logging serial commands and responses under /tmp, and the observer guide notes logs may contain passwords, keys, tokens, and device identifiers.
examples.md:155-172examples.md:300-360
Restricted Shell Escape and Privilege Escalation Examples
The examples include shell escapes through editors, pagers, scripting languages, and SUID binaries. These are dual-use techniques that can bypass intended access controls.
低風險問題 (2)
SKILL.md:15serial_helper.py:68OBSERVING_SESSIONS.md:14
Expected Serial Device Access
Many /dev/ttyUSB and /dev/ttyACM alerts are expected because the skill is designed for serial console access. These are not suspicious by themselves.
SKILL.md:3serial_helper.py:4
Weak Cryptography Static Alerts Appear Unconfirmed
The scanner reported weak cryptography keywords, but review found no cryptographic implementation or downgrade logic in the cited high-level description and helper header.

風險因素

⚙️ 外部命令 (4)
examples.md:168 SKILL.md:752 serial_helper.py:593-596 serial_helper.py:736-737
🌐 網路存取 (4)
SKILL.md:631-640 SKILL.md:772-774 examples.md:289-295 OBSERVING_SESSIONS.md:48-51
📁 檔案系統存取 (4)
SKILL.md:622-628 SKILL.md:739-742 SKILL.md:764-770 examples.md:139-143
🔑 環境變數 (1)
examples.md:405-406

偵測到的模式

subprocess.run with shell=TrueBackdoor Account CreationReverse Shell PersistenceSensitive File Enumeration
審計單位: codex 檢視審計紀錄 →

品質評分

55
架構
100
可維護性
87
內容
70
社群
0
安全
83
規範符合度

你可以打造什麼

驗證 UART 暴露面

檢查已授權裝置是否透過 UART 暴露 shell、bootloader 提示或診斷介面。

偵錯嵌入式序列存取

使用可重複的序列命令和記錄，疑難排解開機輸出、數據機 AT 命令和主控台設定。

記錄硬體評估證據

擷取主控台工作階段，並彙總已核准嵌入式裝置安全評估的發現。

試試這些提示

啟動安全的 UART 工作階段 
Help me connect to my authorized IoT device over UART with picocom. Ask for the adapter path and baud rate before giving commands.
疑難排解序列輸出 
My authorized device shows garbled UART output. Guide me through baud rate, wiring, line ending, and permission checks.
執行已記錄的列舉 
Create a cautious UART enumeration plan for an authorized device. Include logging, read-only checks, and evidence notes.
檢閱工作階段發現 
Review my authorized UART session notes and identify security findings, evidence gaps, and safe next verification steps.

最佳實務

  • 僅在你擁有或已取得明確書面授權測試的裝置上使用此技能。
  • 優先使用唯讀命令，並在受保護的工作階段記錄中記下每個動作。
  • 當可能出現憑證或金鑰時，請將 UART 記錄儲存在共用暫存目錄之外。

避免

  • 請勿在受控授權實驗室之外使用持久化、後門或 reverse shell 範例。
  • 在你擁有備份並獲准進行破壞性測試之前，請勿執行檔案系統寫入命令。
  • 請勿將工作階段記錄、韌體傾印、密碼、token 或私密金鑰提交到公開儲存庫。

常見問題

此技能對一般使用者安全嗎？
否。它包含高風險雙重用途安全測試指引，應限於已授權的硬體評估。
它需要 picocom 嗎？
是。文件以 picocom 為核心，輔助腳本也需要 Python 和 pyserial。
它可以與 AT 命令裝置搭配使用嗎？
可以。serial_helper.py 包含 AT 模式，可處理數據機風格的回應，例如 OK 和 ERROR。
為什麼此稽核屬於高風險？
這些檔案包含憑證存取、權限提升、持久化、reverse shell 和韌體傳輸範例。
是否發現 prompt injection 嘗試？
在已檢閱的檔案中未發現證據。
應如何處理記錄？
請將記錄視為敏感紀錄，因為它們可能包含密碼、token、金鑰、網路資料和裝置識別碼。

開發者詳細資訊

授權

MIT

儲存庫

https://github.com/BrownFineSecurity/iothackbot/tree/master/skills/picocom

引用

master

檔案結構

📄 examples.md

📄 OBSERVING_SESSIONS.md

📄 serial_helper.py

📄 SKILL.md