Web Pentest

Name: Web Pentest
Author: antigalautgr-ops

ASecurity

Web应用渗透测试 — 针对Web应用的完整渗透流程，含技术栈识别、目录枚举、认证测试、输入验证、逻辑漏洞

2 stars
0 votes
0 copies
1 view
Added September 5, 2026

securitysqlgitapisecurity

Works with

Security analysis

A100/100

Pro scans all 4 files and shows the line behind each finding

Scanned September 5, 2026

npx -y skills add antigalautgr-ops/VulnClaw --skill web-pentest --agent claude-code

Installs into .claude/skills of the current project.

Are you the author of Web Pentest?

Add the live security badge to your README. It updates with every re-scan.

[![Security: A — Skills Directory](https://www.skillsdirectory.com/api/skills/antigalautgr-ops-web-pentest/badge)](https://www.skillsdirectory.com/skills/antigalautgr-ops-web-pentest)

More formats (shields.io, HTML) on the badges page. Keep it an A: scan every change in CI with Pro.

Download with Pro

SKILL.md

---
name: web-pentest
description: Web应用渗透测试 — 针对Web应用的完整渗透流程，含技术栈识别、目录枚举、认证测试、输入验证、逻辑漏洞
---

# Web 应用渗透测试 Skill

针对 Web 应用的专项渗透测试流程，覆盖从信息收集到漏洞验证的完整链路。

**需要更深入的 Web 安全知识？** 使用 `web-security-advanced` Skill，包含完整的注入攻击族、协议安全、Playbook 等。

## 1. 技术栈识别
- 使用 fetch 工具获取 HTTP 响应头
- 使用 chrome-devtools 工具分析前端技术
- 识别后端框架和 CMS

## 2. 目录枚举
- 常见目录：/admin, /api, /upload, /config, /backup
- 敏感文件：robots.txt, sitemap.xml, .env, .git/HEAD
- API 文档：/swagger, /docs, /api-docs

## 3. 认证测试
- 默认凭据测试
- 暴力破解检测
- 会话管理缺陷
- JWT 安全测试

## 4. 输入验证测试
- SQL 注入
- XSS（反射/存储/DOM）
- SSRF
- LFI/RFI
- 命令注入
- 文件上传

## 5. 逻辑漏洞测试
- 越权访问（水平/垂直）
- 业务逻辑绕过
- 竞态条件
- 支付逻辑漏洞

## 6. 输出
- Web 渗透报告
- PoC 脚本

## 参考文档

- `references/web-injection.md` — 注入攻击详细参考
- `references/web-logic-auth.md` — 认证与逻辑漏洞
- `references/web-modern-protocols.md` — 现代协议安全