dynamic-verification

仓库创建 2026年7月1日最近提交 23 天前SkillHot 收录 22 天前

▸ 精选理由

将静态/LLM 命中转为可操作结论，适合红队与自动化流水线。

▸ 风险提示

主动探测可能触及未授权扫描或攻击风险，实施前需法律与授权确认。

这个 Skill 做什么

在真实目标上用确定性探针确认或排除漏洞候选项。

在真实目标上用确定性探针去验证安全问题候选项，先证明是真漏洞再采取动作，避免误报引发不必要的操作。静态扫描或 LLM 报告出可疑项后就该用它来复核。特别强调用能证明服务器端行为的 oracle（如 out‑of‑band callback、timing delta），不要只凭响应文本下结论。

▸ 展开 SKILL.md 英文原文

Confirm or refute a vulnerability candidate against a live target with a deterministic probe before acting on it

开发编程漏洞验证主动探测安全审计通用

Stars

Forks

仓库内 Skill

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/dynamic-verification/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/dynamic-verification/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# Verify Findings

## Rules (for AI agents)

### ALWAYS
- Treat a static-analysis or LLM-review hit as a *candidate*, not a vulnerability,
  until a probe with a deterministic oracle confirms it against a live target.
- Prefer an oracle that proves server-side behaviour over one that inspects the
  response text: out-of-band callbacks (SSRF, blind command injection, XXE) and
  timing deltas (blind SQLi, command injection) catch *blind* bugs that leave no
  trace in the body.
- Re-confirm any timing-based result a second time before trusting it — one slow
  response is noise, a repeatable delay over baseline is signal.
- For reflected oracles (XSS, SSTI), require the dangerous form: XSS confi

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有