pentest-rules

渗透测试禁止项 - 集中管理所有禁止测试的端点、操作和范围限制

설치 방법

기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.

Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.

직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.

npx skills add https://github.com/OpenAisec/Miko --skill pentest-rules

명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.

로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.

설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.

SKILL.md

소스 지침 · 읽기 전용 미리보기

category	web
name	pentest-rules
description	渗透测试禁止项 - 集中管理所有禁止测试的端点、操作和范围限制
when_to_use	渗透测试全流程，始终加载

Spring Boot Actuator 危险端点（禁止访问/测试）：

密码重置：一律不测，除非用户明确确认。放最后当备选。
用户注册：需询问用户确认后才能测试。确认后也仅用测试账号，禁止批量注册。
线上 exploit 代码：禁止直接复制执行网上公开的 exploit/PoC（常含 rm -rf/反弹shell/弹计算器等危险命令）。AI 仅做信息收集+汇报，实际利用由用户操作或用户审核后提供安全版本。
Nuclei 扫描：仅用户明确要求时才执行。
DOS/资源耗尽：禁止大量并发、嵌套递归查询（如 GraphQL depth attack）、无限循环 payload。
数据修改：禁止 INSERT/UPDATE/DELETE 类 SQL payload（测试仅用 SELECT/时间盲注验证）。
数据删除：禁止任何删除操作，包括 DELETE 请求、DROP/TURNCATE/TRUNCATE 等 SQL payload、删除类 API。
文件写入/上传 webshell：仅验证上传能力，不写入可执行文件。
密码修改/用户删除/权限修改：任何涉及修改用户状态的操作。
XSS 弹窗：禁止使用 alert()/prompt()/confirm() 等会阻塞用户操作的 payload。改用 console.log()、DOM 修改、DNSLog 回调等无感知方式验证。存储型 XSS 只用唯一标识符确认，不注入可见内容。