zhongkui-skill

SkillScan 是skill的安全防护措施。它可以自动检测已安装和新添加skill中的安全风险，并在高危/严重风险对您的环境造成损害之前将其拦截。

管理OpenClaw的OpenRouter免费AI模型，自动按质量排名模型，配置速率限制备用方案，并更新opencla...

这个技能特别简单——你只需要调用它，给一个网站域名，它就会自动帮你跑一遍渗透测试，找出这个网站存在哪些安全漏洞。 不需要你配环境、不用你手动发包，一切自动化。测完直接出结果，告诉你哪里有问题、怎么修。 它的愿景是：让每个人都能成为白帽黑客——只要输入一个域名，就能知道自己的网站安不安全。一切只为授权测试，只为发现漏洞、修复风险，让互联网更安全。

# 「砺刃」 授权场景下，将红队实战能力转化为可直接提交的SRC有效战果。 面向**授权渗透测试、补天、厂商SRC及众测平台**打造的一体化挖洞工具链。 融合 pentest‑lyan 工程化渗透方法论与 src‑vuln‑hunting 实战提交规范；支持模型自主威胁建模，本地持久化任务状态，全流程支持断点续测。 ## 核心能力 - 12维系统化威胁建模：覆盖数据流、权限边界、资源归属、状态变更、客户端可控输入、并发竞争场景、输出渲染、认证与会话机制、SSRF风险点、各类注入面、文件操作、业务逻辑缺陷，完整覆盖业务Web常见攻击面。 - JS多源深度解析：独立JS文件、页面内联脚本、外部资源引用、页面跳转链接、路径推理、响应动态注入六大采集渠道，自动提取并梳理全部后端接口。 - 三层确认校验门闩机制：依次校验访问可达性、漏洞存在性、可利用性，三项全部通过方可标记为 confirmed，规避“返回200即判定漏洞”的常见误报问题。 - SRC标准化报告输出（补天风格）：自动整理原始请求/响应数据包、危害场景证明、不少于2条可落地修复建议，产出内容可直接用于漏洞报送。 - 白盒审计联动：对接 src‑6k 白盒审计能力，实现接口探测到源码审计的打通，完整还原漏洞利用链路。 ## 适用场景 1. 获得正式授权的目标：常规渗透测试、轻量Web应用安全评估 2. 补天、各厂商SRC、商业众测任务：减少重复开发，开箱即用，对齐平台提交标准 3. 团队协同作业：任务状态按模块持久化存储，支持断点续测，避免工作进度丢失 ## 合规边界 仅可在**已获取书面授权**的范围内开展测试；恪守最小验证原则，做好测试样本管控。 预授权接口、验证码、随机密钥类对象不随意标记高危；仅验证访问可达性，不随意拔高风险等级。 --- ### 【SkillHub卡片简介｜单行精简版，直接复制用】 「砺刃」——授权环境下把红队手法转化为可提交SRC战果。面向授权渗透、补天及厂商SRC众测的一体化挖洞工具链。内置12维威胁建模、JS多源解析、三层校验防误报，输出补天规范漏洞报告，支持断点续测与白盒联动；严格恪守测试授权边界，适配个人与团队挖洞作业。

网络安全与SRC漏洞掘金实战技能。融合「系统学习路径」与「SRC实战掘金」双模式： ①学习模式=法律→基础→工具→靶场→攻防→就业全流程； ②实战模式=直接指导在腾讯TSRC、阿里ASRC、百度BSRC等平台挖掘高价值漏洞变现。 当用户提出以下问题时触发： "我想学网络安全怎么入门""SRC漏洞怎么挖能赚钱""渗透测试需要学什么" "Web安全漏洞原理是什么""怎么准备CTF比赛""护网面试会问什么" "云安全怎么学""挖漏洞赚钱的方法""端口扫描脚本怎么写" "SQL注入怎么检测""子域名怎么枚举""XSS漏洞怎么找" "靶场怎么搭建""Kali Linux怎么用""Metasploit怎么入门" "等保测评是什么""代码审计怎么做""内网渗透怎么学" "信息泄露漏洞怎么挖""越权漏洞怎么测试""逻辑漏洞挖掘技巧" "简历怎么写才能进安全公司""安全行业面试题有哪些" "Burp Suite怎么用""DVWA怎么安装""Pikachu靶场搭建" "Vulhub漏洞复现""网络安全法有什么规定""CTF夺旗赛怎么参加" "AWD比赛是什么""应急响应怎么做""攻击溯源怎么搞" "数据安全怎么保障""公有云安全怎么防护""私有云攻防怎么做" "云原生安全是什么"。

备份与恢复 OpenClaw 数据。适用于创建备份、设置自动备份计划、从备份恢复或管理备份轮转。处理 ~/.openclaw 目录归档并包含适当的排除规则。

Retrieve and inject secrets stored in 1Password vaults through the 1Password CLI (op). Use when the user asks to look up a password or credential, fetch an API key or token, load a .env or config from 1Password, run a command with injected secrets, rotate or create a credential item, or automate a sign-in or form fill. Also triggers on 查密码, 取凭据, 获取密钥, 密钥注入, 自动登录, 自动填表, 1Password 密码库, op CLI. HIGH RISK — reading any secret value, changing credentials, and every autofill or login action require explicit user confirmation before execution.

MoltGuard — OpenClaw 安全守卫，由 OpenGuardrails 提供。安装后可防止您和您的用户受到提示注入、数据泄露及恶意行为的侵害。

编程专家.Skill P8级编程助手,25年实战经验技能Skill，全栈：Java/Php网站/软件项目、API设计、Bug诊断、代码生成、代码审查、重构、测试用例、性能基准、技术选型、文档生成、任务拆解、Spec驱动、Karpathy规范、CMS二次开发、前端设计、MySQL/Mariadb、项目知识图谱，以及工程纪律层（根因调试硬闭环、阶段导航、事故复盘/SLO、威胁建模/供应链安全、生产就绪/渐进式发布、AI编码治理、面向Agent代码可读性、LLM应用安全）。支持 @标识 显式调用跳过路由。

反电信网络诈骗（反诈）专家技能。当用户描述一个疑似诈骗的场景、短信、电话、链接、聊天记录、App、投资平台、招聘信息或转账要求，并询问「这是不是诈骗」「要不要转钱」「怎么止损」「钱还能不能追回来」，或需要识别诈骗话术、拆解骗局结构、生成报案材料与取证清单时使用。同时在对话中主动嗅探「转账、验证码、屏幕共享、安全账户、保证金、刷单、稳赚、百万保障、跑分」等风险词并插入预警，即使对方并未询问反诈。适用场景还包括：家属求助劝阻疑似被骗的亲人、企业/银行/支付机构/互联网平台做涉诈账户识别与交易监测规则、涉诈资金链（跑分、卡四件套、GOIP）分析、反诈合规与员工培训、反诈实战演练。

包拯.Skills你身边的专家律师团 — 专业法律咨询 + 要素式/通用起诉状起草 + 刑事专项材料辅助 + 法条分析与法规检索。flk.npc.gov.cn API实时法条优先，不可用时AI知识库降级兜底，**法条来源按四档标注可核验（已核验-flk API / 已核验-单源 / 已引-离线库 / 未核验-模型生成），交付末尾附法条/事实/金额/程序分项置信度**；以22类法律领域覆盖矩阵约束路由边界；支持35个起诉状模板、5类刑事专项材料辅助；内置Logic Doctor逻辑自检、诉讼时效追踪及10类异常容错处理（含连续失败熔断）；渐进式意图收敛协议（3轮状态机）；混合意图自动任务拆解（按依赖排序→合并→顺序执行）；含反模式清单与危机干预出口（自杀/家暴/未成年人侵害先于一切法律分析）。非标准案由自动使用通用模板。

企业法务技能套件：企业背景调查、公司决议、合规审查、查案例、法务日报、法律文书、电子签发起、风险评估。 企业背景调查: 帮我查下这家公司, 帮我做个尽调, 尽职调查, 供应商准入; 公司决议: 公司决议, 股东会决议, 董事会决议, 章程修正案; 合规审查: 合规审查, 个保合规, 数据出境, 广告合规; 查案例: 帮我查个类似案例, 这个情况法院一般怎么判, 裁判文书, 类案检索; 法务日报: 法务日报, 法律速递, 新法速览, 法规更新; 法律文书: 法律文书, 起诉状, 法律意见书; 电子签发起: 电子签发起, 电子合同, 在线签署, 电子签章; 风险评估: 帮我评估下这个风险, 这个交易有什么法律隐患, 诉讼风险, 合规风险。

有事就请如来佛祖！当用户明确请求pua模式，或表现出沮丧、反复失败（2次及以上）、消极被动、抱怨质量、未核实即声称完成、想要放弃，或要求更努力/换种方法时触发。常见触发词：'try harder'、'figure it out'、'stop giving up'、'you keep failing'、'加油'、'别偷懒'、'你再试试'、'为什么还不行'、'你怎么又失败了'、'又错了'、'检查下'、'完善'、'审核'、'质量太差'、'换个方法'、'stop spinning'、'you broke it'、'/pua'。对于正常的首次编程或信息查询请求，请勿触发。