discovery-universal-methodology

name	discovery-universal-methodology
description	通用漏洞发现方法论 — 当遇到不在已有SKILL覆盖范围内的场景时，教LLM如何系统性地发现漏洞。覆盖：输入点穷举、响应差异分析、边界条件探测、未知技术栈适应、容易被忽略的攻击面。
enabled	true
category	discovery
priority	10
vuln_types	["通用","未知场景"]
triggers	["不确定怎么测试","未知技术栈","没有对应的SKILL","通用测试方法"]
synonyms	["universal-discovery","general-methodology"]
metadata	{"tags":"discovery,universal,methodology,通用,方法论,输入点,响应差异,边界条件,攻击面","category":"discovery","type":"methodology"}

通用漏洞发现方法论

适用场景：当遇到不在已有 SKILL 覆盖范围内的功能/技术栈时 核心思想：所有漏洞的本质 = 输入未被正确处理 + 信任边界被突破

关于本 Skill 的使用边界

本 Skill 本身的定位就是兜底——专门用于其他专项 Skill 没覆盖的场景。正因为是兜底，它特别容易反过来锁死你的判断：你跑完 Step 1–5 + 最低必测自检，会下意识觉得"通用方法论都走完了，应该没问题"。但事实是：

• 本 Skill 的"输入点穷举"、"差异分析矩阵"、"边界条件"、"技术栈识别表"都是常见模式快照，不可能覆盖所有目标。
• 当你看到一个完全没列在本 Skill 任何表格里的入口（例如 WebRTC SDP、postMessage、Service Worker、IndexedDB、HTTP/2 伪头、TLS SNI、文件元数据 EXIF/ID3、ZIP 注释、PNG tEXt chunk、字体子表、protobuf Any 字段、gRPC metadata、IPC、共享内存、缓存键、CDN 转发头），直接按你的推理执行，不要因为表里没列就忽略。
• 当你的分析指向某个业务专有逻辑漏洞、某个开源组件的 nday、某个完全未公开的 0day 思路时，信任你的分析，本 Skill 没写不代表不存在。
• 如果在某一步已经获得清晰证据（例如改一个字段返回了别人的数据），不必再机械执行后续 Step。
• 如果某个表格项确实不适用，标记原因即可，不要为凑数而硬测。

---

🧠 第一性原理

漏洞 = 数据与指令不分离
    = 用户输入到达了不该到达的地方
    = 信任假设被违背

发现漏洞 = 找到所有输入点 × 测试所有可能的异常输入 × 观察异常响应

---

📋 Step 1：穷举所有输入点

💡 决策树警告：下面的"显式 / 隐式 / 业务逻辑"三张表是最常见输入点的快照，不是穷尽列举，更不能反推"这三张表都测过 = 输入点测完了"。 特别注意以下"输入点压根不在表里、但完全可控"的真实场景：

• 浏览器侧隐藏通道：postMessage、window.name、document.referrer、localStorage / sessionStorage / IndexedDB 跨页污染、Service Worker 拦截后注入、SharedWorker 共享状态、Broadcast Channel API、DOM clobbering 触发的 window 属性覆盖（<a id=cookie> 让 window.cookie 变成元素）。
• HTTP/2、HTTP/3 与协议层：HTTP/2 伪头（:method、:path、:authority、:scheme）、HPACK/QPACK 头部压缩字典、HTTP/2 CONTINUATION 帧、ALPN 协商、TLS SNI 扩展（SNI 注入）、TLS ALPS、WebSocket 握手 Sec-WebSocket-Protocol / Sec-WebSocket-Extensions、HTTP Upgrade 头切换协议。
• DNS / 网络层输入：DNS 查询名本身（DNS 重绑定、长域名拆 label、IDN 同形字）、原始 socket 字节、TCP options、ICMP payload、SMTP 命令注入、IMAP/POP3 命令注入、LDAP filter 注入、SIP message。
• 文件元数据 / 容器格式：EXIF 字段（GPS、Make、Software 注入到下游）、ID3 标签（音频）、PDF metadata（Title/Author/Producer）、Office docProps、ZIP 注释/文件名/Extra Field、PNG tEXt/iTXt chunk、SVG <script>、字体 OpenType name 表、SQLite 数据库文件、protobuf 字段、Avro/Parquet schema、gRPC metadata、CBOR tagged item、msgpack ext type。