القائمة
在仓库中寻找可利用、值得赏金的安全问题。专注于远程可访问的漏洞，这些漏洞符合实际报告的条件，而不是嘈杂的仅本地发现。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/mturac/everything-openai-codex --skill security-bounty-hunterيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
Use this skill to monitor and verify a deployed URL or public OSS launch surface after releases — checks HTTP endpoints, SSE streams, static assets, console errors, performance regressions, PR queue health, maintainer feedback, and listing-review blockers after deploys, merges, submissions, or dependency upgrades. Smoke / canary / post-deploy / PR-watch verification.
Build reputation-safe open-source marketing from verifiable project evidence, not hype, spam, or repeated public pings. Use for launch copy, directory targeting, community posts, proof packets, and maintainer-facing positioning.
Turn public launch, directory, community, or list rejections into repo fixes and better proof without arguing, spamming, or resubmitting blindly. Use after Hacker News, Product Hunt, GitHub list PR, marketplace, or community rejection.
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | security-bounty-hunter |
| description | 在仓库中寻找可利用、值得赏金的安全问题。专注于远程可访问的漏洞，这些漏洞符合实际报告的条件，而不是嘈杂的仅本地发现。 |
| origin | ecc direct-port adaptation |
| version | 1.0.0 |
当目标是针对负责任披露或赏金提交的实际漏洞发现，而非广泛的实践审查时使用此方法。
优先关注远程可达、用户可控的攻击路径，并剔除平台通常判定为信息性或超出范围的模式。
以下是持续具有影响力的漏洞类型：
| 模式 | CWE | 典型影响 |
|---|---|---|
| 通过用户可控URL的SSRF | CWE-918 | 内网访问、云元数据窃取 |
| 中间件或API防护中的认证绕过 | CWE-287 | 未授权账户或数据访问 |
| 远程反序列化或上传至RCE路径 | CWE-502 | 代码执行 |
| 可达端点中的SQL注入 | CWE-89 | 数据泄露、认证绕过、数据破坏 |
| 请求处理程序中的命令注入 | CWE-78 | 代码执行 |
| 文件服务路径中的路径遍历 | CWE-22 | 任意文件读取或写入 |
| 自动触发的XSS | CWE-79 | 会话窃取、管理员权限沦陷 |
除非项目另有说明，以下通常属于低信号或超出赏金范围：
pickle.loads、torch.load 或等效且无远程路径的漏洞eval() 或 exec()shell=Truesemgrep --config=auto --severity=ERROR --severity=WARNING --json
然后手动过滤：
## 描述
[漏洞是什么及其重要性]
## 漏洞代码
[文件路径、行号范围及代码片段]
## 概念验证
[最小化可运行的请求或脚本]
## 影响
[攻击者能够实现的目标]
## 受影响版本
[已测试的版本、提交或部署目标]
提交前需确认：