菜单
在授权渗透测试中系统性挖掘服务端请求伪造（SSRF）。当目标存在"服务端按用户可控的 URL/主机/地址发起出站请求"的功能——如 URL 预览、图片/视频抓取、Webhook、集成回调、导入远程资源、PDF/截图渲染、代理转发——需要判定是否可绕过 SSRF 防护访问内网/云元数据/受限服务时使用。适用目标类型 REST API / Web 应用。触发场景包括用户说"测下这个 URL 抓取有没有 SSRF""这个 webhook 能打内网吗""帮我挖 SSRF/内网探测""看看能不能读云元数据"。输出：带原始请求/响应证据的 finding 报告（含 killed 记录）。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/galact-byte/galact-Skills --skill hunt-ssrf命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
渗透测试的攻击面识别与研判总线：拿到一个目标或功能点时，先用它判断"这里可能是哪类漏洞、该用哪个 hunt skill"，并覆盖没有专用 hunt skill 的横切类别——跨组件攻击链、业务逻辑漏洞、安全配置错误、信息泄露。当用户说"从哪下手""这个功能可能有什么问题""帮我看看攻击面""该测哪类漏洞""怎么把几个小问题串成大的"时使用；也在每次渗透开局做侦察分诊时使用。输出：识别出的可疑信号 + 路由到的 hunt skill 清单 + 横切类别的研判结论。
在授权渗透测试中挖掘跨站脚本（XSS：反射型、存储型、DOM 型，含 WAF/CSP 绕过与 sink 分析）。当目标把用户输入回显到 HTML/JS/属性/URL 上下文、或前端把可控数据喂给危险 sink（innerHTML/eval/srcdoc）时使用——典型场景：搜索/评论/标题回显、SVG/上传、postMessage、javascript:URL 伪协议、模板属性注入、绕 CSP。适用目标类型 Web 前端 / REST API。触发场景包括用户说"测下 XSS""这个参数会不会弹窗""能绕 CSP/WAF 吗""DOM XSS/存储型看一下"。输出：XSS 触发点 + 上下文 + PoC 的 finding（含 killed 记录）。
在授权渗透测试中挖掘认证/授权绕过（authentication & authorization bypass）。当目标的登录、SSO/OAuth/SAML、2FA、会话、密码重置、邮箱验证等鉴权环节可能被逻辑缺陷或解析差异绕过时使用——典型场景：SAML 签名/entityId 绕过、OAuth `response_type`/`redirect_uri` 篡改窃取 token、邮箱规范化/预验证绕过、2FA 可预测/可跳过、会话类型混淆。适用目标类型 Web / REST API / SSO。触发场景包括用户说"测下认证绕过""这个 SAML/OAuth 有没有问题""能不能跳过 2FA""邮箱验证能绕吗"。输出：绕过路径 + 越权访问证据的 finding（含 killed 记录）。
基于 SOC 职业分类
正在显示 SKILL.md
| name | hunt-ssrf |
| description | 在授权渗透测试中系统性挖掘服务端请求伪造（SSRF）。当目标存在"服务端按用户可控的 URL/主机/地址发起出站请求"的功能——如 URL 预览、图片/视频抓取、Webhook、集成回调、导入远程资源、PDF/截图渲染、代理转发——需要判定是否可绕过 SSRF 防护访问内网/云元数据/受限服务时使用。适用目标类型 REST API / Web 应用。触发场景包括用户说"测下这个 URL 抓取有没有 SSRF""这个 webhook 能打内网吗""帮我挖 SSRF/内网探测""看看能不能读云元数据"。输出：带原始请求/响应证据的 finding 报告（含 killed 记录）。 |
| allowed-tools | Read, Grep, Glob, Bash |
一个只解决 SSRF 一类漏洞 的挖掘 skill。把"哪里能让服务端替我发请求"变成一条可复现、有证据、可判真伪的猎杀流水线，而不是零散试 payload。
关键动作都走 tools/ 下的脚本执行，模型负责决策与判读，不直接乱发请求——这样证据统一留存、过程可复现。具体 payload、绕过手法、检测特征与真实报告在 reference.md，按需读取（渐进式披露）。
先确认授权，再动手。 未拿到明确 scope 前不发任何出站探测请求。
开工前必须落实：
这些任一不清楚就停下问用户，不要"先打了再说"。SSRF 天然会打到内网与元数据，越权探测风险高。
判定目标的"服务端取 URL"功能是否可被诱导访问攻击者不应触达的资源（内网服务、169.254.169.254 云元数据、localhost 管理端口、受限协议），给出可复现的 PoC 与影响链，并留存原始请求/响应证据。
四个阶段顺序执行：scope-check → recon → hunt → validate → report。每阶段做完看"终止条件"再进下一步。
evidence/scope.txt。bash tools/recon.sh <target> --scope-only（仅记录 scope，不发请求）。evidence/scope.txt 存在且授权明确。否则 KILL 整个任务。url=/src=/callback=/image=/proxy= 类参数、SSO/OAuth redirect_uri。recon/endpoints.json（候选入口清单：URL、参数名、方法、可控点）。bash tools/recon.sh <target>。recon/endpoints.json 至少含 1 个候选入口；为空则本目标无 SSRF 面，记录后结束。recon/endpoints.json + 你的 OAST 回连地址。reference.md 的绕过族逐层试探：直连 OAST → 内网/loopback → 云元数据 → 备用 IP 编码 → DNS rebinding → 重定向/协议切换 → Host 头类。以带外命中/响应差异/时间差异判定，而非猜测。candidates.json（每条候选：入口、payload、观测信号、疑似类型）。python tools/hunt_ssrf.py --input recon/endpoints.json --output candidates.json --oast <你的回连域名>。candidates.json 生成。无任何信号则全部记为 killed 并结束。candidates.json。evidence/（原始请求/响应）+ report/candidates.md（finding 报告）。bash tools/validate.sh candidates.json。evidence/ 原始报文。对每个候选逐条自问，任意一个答 NO 就判定为 killed（并在报告里记原因，不丢弃）：
每条 confirmed / killed 都用统一结构写入 report/candidates.md：
### <Title>
- Severity: Critical | High | Medium | Low | Info
- Asset: <目标 URL / 参数>
- Reproduction: <逐步复现，含精确 payload 与请求>
- Impact: <能拿到什么：内网服务 / 元数据凭据 / RCE 链>
- Evidence: <evidence/ 下原始请求响应文件名 + OAST 命中截图/日志>
- Status: confirmed | killed(<第几问 NO + 原因>)
payload 库、绕过手法族、检测特征、真实报告索引见 reference.md——在 hunt 阶段按当前入口类型定向查阅，不要一次性全读。