菜单
系统脆弱性基线扫描 — 检查空口令、特权账户、防火墙、开放端口、SUID 文件、计划任务
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
跨 ClawHub 和 skills.sh 发现、比较、检查、审查并按用户明确授权安装 Agent Skill。用户询问“有没有某种技能”“找一个 Skill”“从市场安装/复刻 Skill”或希望扩展能力时使用；搜索不等于安装授权。
AWD-plus 综合运营工作流 — 多服务态势、低风险自动化检查、证据链汇总和处置队列
AWD 防守工作流 — 服务可用性、Webshell 排查、日志审计、flag 线索扫描与修复建议
CTF 解题工作流 — Web/文件/日志/流量线索分析、flag_scan、headless_browser 与证据化输出
文件取证 — 魔数识别、strings 提取、gzip 日志解压，全部 Go 原生无需 file/strings/zcat
日志取证与威胁关联 — 从 auth/syslog/web 日志中提取攻击 IP、失败登录、异常行为
| name | vuln-scan |
| description | 系统脆弱性基线扫描 — 检查空口令、特权账户、防火墙、开放端口、SUID 文件、计划任务 |
| license | Apache-2.0 |
# UID=0 的非 root 账户
awk -F: '$3==0 && $1!="root" {print}' /etc/passwd
# 空口令账户
awk -F: '($2=="" || $2=="!") {print $1}' /etc/shadow 2>/dev/null
# 可登录用户
grep -v nologin /etc/passwd | grep -v false
# 监听端口
ss -tlnp 2>/dev/null || netstat -tlnp
# 防火墙状态
iptables -L -n 2>/dev/null || ufw status 2>/dev/null
# 高危端口: 21, 23, 445, 3389, 6379, 27017
# SUID 文件
find / -perm -4000 -type f 2>/dev/null | head -20
# 全局可写目录
find / -type d -perm -o+w 2>/dev/null | head -10
crontab -l 2>/dev/null
cat /etc/crontab 2>/dev/null
ls -la /etc/cron.* 2>/dev/null
按风险等级分类：
## 脆弱性扫描报告
### 🔴 高风险
- [发现项 | 详情 | 修复建议]
### 🟡 中风险
- [发现项 | 详情 | 修复建议]
### 🟢 低风险 / 信息
- [发现项 | 详情]