渗透测试的攻击面识别与研判总线：拿到一个目标或功能点时，先用它判断"这里可能是哪类漏洞、该用哪个 hunt skill"，并覆盖没有专用 hunt skill 的横切类别——跨组件攻击链、业务逻辑漏洞、安全配置错误、信息泄露。
当用户说"从哪下手""这个功能可能有什么问题""帮我看看攻击面""该测哪类漏洞""怎么把几个小问题串成大的"时使用；也在每次渗透开局做侦察分诊时使用。输出：识别出的可疑信号 + 路由到的 hunt skill 清单 + 横切类别的研判结论。
The English summary is being prepared. Showing the original description.
See how to installReview the instructions the agent will receive before you install.
这是渗透 skill 库的分诊总线：不直接挖某一类漏洞，而是看清目标后判断"该往哪个 hunt skill 走"，并亲自处理四类不适合做成单点猎杀的横切问题——跨组件攻击链、业务逻辑、配置错误、信息泄露。
用法心智：先侦察→按信号路由到具体 hunt skill→对横切类别用本文的研判清单→把散点串成链。深度案例与信号目录见 references/patterns.md（渐进披露，判定某类时再读对应段）。
看到左边信号，转右边 skill：
| 观察到的信号 | 路由到 |
|---|---|
| 服务端按用户 URL 发出站请求（预览/抓取/webhook/导入） | hunt-ssrf |
| 前面有 CDN/反代 + keep-alive，怀疑前后端解析不一致 | hunt-request-smuggling |
| 输入进 shell / 传给 git/tar/ffmpeg/ImageMagick 参数 | hunt-command-injection |
| 文件名/路径/下载/解压吃用户输入 | hunt-path-traversal |
| 依赖 Node.js 权限模型做隔离 | hunt-nodejs-permission-bypass |
| cookie/token/viewstate 是序列化对象；导入触发对象还原 | hunt-deserialization |
递归 merge/JSON 深合并/__proto__ 可控 | hunt-prototype-pollution |
| 登录/SSO/SAML/OAuth/2FA/重置/邮箱验证环节 | hunt-auth-bypass |
| 用户输入回显到 HTML/JS/属性，或前端 sink 消费 URL | hunt-xss |
| 解析用户 XML（SOAP/SVG/SAML/DOCX/RSS） | hunt-xxe |
| 输入拼进 SQL/NoSQL 查询 | hunt-sqli |
| 状态变更操作的 CSRF 防护可疑 | hunt-csrf |
| 前有缓存层 + unkeyed 输入影响响应 | hunt-cache-poisoning |
| 按用户参数跳转（next/return/redirect_uri） | hunt-open-redirect |
一个入口常命中多个——按"最高影响 + 最省条件"排序逐个试。找不到匹配就落到下面四类横切研判。
单看每个点都是中低危，价值在组合跨越信任边界。研判方法：
判定靠违反业务规则的状态，不是特殊字符。研判方法：
判定靠**"本不该开/本不该默认"的设置**。研判清单：
.git/.env/备份可访问。判定靠拿到本不该给的信息。研判清单：
.git/密钥/备份/日志、CSP report-uri 侧信道。## 攻击面研判：<目标/功能>
- 命中信号：<清单>
- 路由 hunt skill：<hunt-xxx（原因）...>
- 横切研判：
- 跨组件链：<能否串起来 + 草图>
- 业务逻辑：<被打破的不变量>
- 配置错误：<具体项>
- 信息泄露：<拿到什么>
- 下一步：<按影响排序的行动>
各横切类别的信号目录与真实 HackerOne 案例见 references/patterns.md——研判某一类时再读对应段。
No reviews yet. Tell others what you thought.
No login needed. Share how it worked for you, ask a question, or note where it did not run.
No comments yet. Be the first to write one.
Use when an agent must decide whether to proceed autonomously, ask for clarification, request approval, or select an appropriate verification scope for a coding or documentation task
The English summary is being prepared. Showing the original description.
在授权渗透测试中挖掘认证/授权绕过（authentication & authorization bypass）。当目标的登录、SSO/OAuth/SAML、2FA、会话、密码重置、邮箱验证等鉴权环节可能被逻辑缺陷或解析差异绕过时使用——典型场景：SAML 签名/entityId 绕过、OAuth `response_type`/`redirect_uri` 篡改窃取 token、邮箱规范化/预验证绕过、2FA 可预测/可跳过、会话类型混淆。适用目标类型 Web / REST API / SSO。触发场景包括用户说"测下认证绕过""这个 SAML/OAuth 有没有问题""能不能跳过 2FA""邮箱验证能绕吗"。输出：绕过路径 + 越权访问证据的 finding（含 killed 记录）。
The English summary is being prepared. Showing the original description.
在授权渗透测试中挖掘 Web 缓存投毒与缓存欺骗（web cache poisoning / cache deception）。当目标前有缓存层（CDN/反代/Varnish）且缓存键未覆盖某些影响响应的输入（unkeyed header/参数/解析差异）时使用——典型场景：X-Forwarded-Host 反射进响应被缓存、unkeyed 参数、缓存键规范化差异、静态扩展名欺骗缓存私有页。适用目标类型 Web / CDN。触发场景包括用户说"测下缓存投毒""X-Forwarded-Host 能不能毒缓存""缓存欺骗看一下""unkeyed 输入有没有"。输出：投毒/欺骗可行性 + 被缓存证据的 finding（含 killed 记录）。
The English summary is being prepared. Showing the original description.
在授权渗透测试中系统性挖掘命令注入与参数/标志注入（OS command injection、argument/flag injection、外部程序 delegate 注入）。当目标把用户输入拼进 shell 命令、或作为参数传给 git/tar/curl/ffmpeg/ImageMagick 等外部程序、或经模板/eval 执行时使用——典型场景：文件名/路径/URL/ref 参数最终进了命令行，想拿 RCE 或任意文件读写。适用目标类型 Web / REST API / CI 系统。触发场景包括用户说"测下命令注入/RCE""这个参数会不会进 shell""git/tar/ffmpeg 参数能注入吗""上传头像触发 ImageMagick 了"。输出：带原始请求/命令回显或带外证据的 finding 报告（含 killed 记录）。
The English summary is being prepared. Showing the original description.
在授权渗透测试中挖掘跨站请求伪造（CSRF）及其防护绕过。当目标存在状态变更操作（改邮箱/密码/角色/设置、转账、增删）而 CSRF 防护缺失或可绕过时使用——典型场景：无 token/token 不校验、SameSite=Lax 被 GET 或子域绕过、Content-Type text/plain 避开 preflight、cookie 注入伪造 token、Flash/307 重定向绕 CORS、Login CSRF。适用目标类型 Web / REST API。触发场景包括用户说"测下 CSRF""这个改密码有没有 CSRF 防护""SameSite 能绕吗""token 校验严不严"。输出：CSRF 可行性 + PoC 的 finding（含 killed 记录）。
The English summary is being prepared. Showing the original description.
在授权渗透测试中挖掘不安全反序列化（insecure deserialization）。当目标把用户可控数据交给 unserialize/Marshal/pickle/ObjectInputStream/BinaryFormatter/YAML.load 等还原成对象时使用——典型场景：cookie/token/viewstate/隐藏字段里出现序列化数据、导入文件触发对象还原、想借 gadget chain 拿 RCE。适用目标类型 Web / REST API（PHP/Ruby/Python/Java/.NET）。触发场景包括用户说"测下反序列化""这个 cookie 是不是序列化对象""能不能 gadget chain 打 RCE""phar/Marshal/pickle 打一下"。输出：识别出的序列化落点 + gadget 可用性判定 + 带外/回显证据的 finding（含 killed 记录）。
The English summary is being prepared. Showing the original description.