Menu
Le prompt qui vérifie d'abord la source est sélectionné par défaut. Vous pouvez passer à une commande directe ou télécharger une copie locale.
Lisez SKILL.md et les fichiers associés affichés par SkillsMP avant de décider de l'installer.
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Une commande directe contourne le prompt de vérification. Examinez la source avant de l'exécuter.
npx skills add https://github.com/OpenAisec/Miko --skill pentest-mainLa commande reste sur une seule ligne. Faites défiler horizontalement pour la vérifier avant de la copier.
Vous préférez une copie locale ? Téléchargez les fichiers actuellement disponibles dans SkillsMP.
Affichage de SKILL.md
渗透测试实战技能 v1.2.0。覆盖信息收集、漏洞发现 (3梯队9+3+6类)、漏洞利用、后渗透、免杀全流程。 当用户给出具体目标 (IP/域名/URL) 且意图是攻击/利用/拿权限时触发。 不触发: 概念讨论、蓝队防御、代码审计、CVE文档查询。
所有联网操作必须通过此 skill 处理，包括：搜索、网页抓取、登录后操作、网络交互等。 触发场景：用户要求搜索信息、查看网页内容、访问需要登录的网站、操作网页界面、抓取社交媒体内容（小红书、微博、推特等）、读取动态渲染页面、以及任何需要真实浏览器环境的网络任务。
Direct browser control via CDP for web interaction: automation, scraping, testing, screenshots, and site/app work.
Basé sur la classification professionnelle SOC
| category | web |
| name | pentest-main |
| description | 单网站渗透主入口 - 流程编排，按阶段触发各子技能 |
| when_to_use | 用户给出目标URL/IP/域名时触发 |
先加载 pentest-rules + pentest-tools → 检查目标是否在禁止范围内，确认工具可用。
pentest-rules（始终加载）
↓
pentest-recon（目标识别→CDN→WAF→蜜罐→端口→指纹→目录）
↓
pentest-js（JS分析→凭据/API/路由→框架分发）
↓
[发现账号密码?]
├─ 是 → 直接用凭据登录 → pentest-login（精简：Token分析+JWT/OAuth/MFA，跳过绕过+爆破）
│ ↓
│ pentest-api（认证态）
│ ↓
│ pentest-vulns（认证态 → 垂直越权/后台功能/存储型XSS）
│
└─ 否 → pentest-api（未认证态）
↓
pentest-login（完整：Token→绕过→爆破→JWT/OAuth/MFA）
↓
pentest-vulns（根据发现匹配漏洞→逐一验证）
每阶段结束时向用户汇报关键发现，确认后继续：
| 节点 | 汇报内容 |
|---|---|
| recon 完成 | 目标类型、CDN/WAF状态、开放端口、指纹摘要、敏感路径 |
| JS 完成 | 凭据发现、API数量、路由结构、运行时Token |
| API 完成 | 未授权API列表、Swagger/SOAP/GraphQL发现 |
| login 完成 | Token权限、绕过结果、爆破结果、JWT问题 |
| vulns 完成 | 已确认漏洞列表、风险等级、验证截图 |
tmp/<时间戳>/raw/