面向黑客技术的 Agent Skills
黑客技能是面向任务的包，帮助 AI agent 处理安全问题：侦察、扫描、利用、密码攻击和后期利用。它们是为授权测试、CTF、实验室环境和研究而构建的，不是用来入侵你不拥有的系统。每个技能都是一个 SKILL.md 包，agent 加载后获得特定能力，所以正确的选择取决于你面前的工作阶段。把排名列表当作候选清单：扫描描述找到你需要的技术，检查技能期望什么输入、产出什么输出，并在加载前确认它适合你的环境。如果两个技能覆盖相同领域，从排名更高的那个开始，把另一个留作备选。
8 个先看25 个推荐选项
从这些开始。
当一个 Agent Skill 能端到端完成该任务时，就属于这里。
这些是和这项工作最接近的结果。从第一条开始，打开后即可安装。
- 排名 01查看 Agent Skill直接匹配
hack
面向授权渗透测试、Web/API 安全、代码审计、源码泄露挖掘以及 SOC/IR 的入口路由与操作准则，强制执行范围门禁和影响优先的测试。
3,999 · 受欢迎程度 - 排名 02查看 Agent Skill直接匹配
performing-web-application-penetration-test
按照 OWASP WSTG 执行系统化的 Web 应用安全测试，使用 Burp Suite 覆盖认证、授权、输入验证、会话管理和业务逻辑。
599 · 受欢迎程度 - 排名 03查看 Agent Skill直接匹配
web-pentest
结构化黑盒/灰盒 Web 应用渗透测试，涵盖认证绕过、IDOR、会话处理、业务逻辑和参数篡改，配合 Burp/ZAP 工作流。
435 · 受欢迎程度 - 排名 04查看 Agent Skill直接匹配
owasp-top-10-testing
使用 Strix agent 针对 OWASP Top 10:2025 和 API Top 10 测试应用，尝试真实漏洞利用并按类别报告概念验证发现。
8,842 · 受欢迎程度 - 排名 05查看 Agent Skill直接匹配
managed-pentesting-with-strix
通过 CLI 或 REST API 在 Strix 云平台上对 Web 应用、API、代码仓库或工作区运行托管渗透测试，包含分类、SARIF 导出和调度。
11,603 · 受欢迎程度 - 排名 06查看 Agent Skill直接匹配
exploiting-sql-injection-vulnerabilities
利用手动技术和 sqlmap 识别并利用主流数据库引擎中的 SQL 注入漏洞，演示数据提取和身份验证绕过。
463 · 受欢迎程度 - 排名 07查看 Agent Skill直接匹配
recon
为授权渗透测试、CTF 和漏洞赏金执行结构化侦察与攻击面枚举，涵盖 DNS、端口扫描和内容发现。
337 · 受欢迎程度 - 排名 08查看 Agent Skill直接匹配
security-reviewer
识别漏洞，运行 SAST/依赖/密钥扫描，执行渗透测试和基础设施审计，并产出带严重性评级和修复建议的报告。
5,584 · 受欢迎程度
展开另外 17 个 Agent Skills
- 排名 09查看 Agent Skill直接匹配
conducting-network-penetration-test
按照 PTES 方法论进行网络渗透测试，涵盖主机发现、端口扫描、服务枚举、漏洞识别和受控利用。
281 · 受欢迎程度 - 排名 10查看 Agent Skill直接匹配
conducting-mobile-app-penetration-test
按 OWASP MASTG 开展 iOS 和 Android 渗透测试，涵盖静态分析、动态运行时分析和 API 安全测试。
277 · 受欢迎程度 - 排名 11查看 Agent Skill直接匹配
wordpress-penetration-testing
使用 WPScan、Metasploit 和手动技术，在授权门槛下评估 WordPress 安装的常见漏洞和 WordPress 7.0 攻击面。
1,063 · 受欢迎程度 - 排名 12查看 Agent Skill直接匹配
ffuf-web-fuzzing
渗透测试期间 ffuf Web 模糊测试的专家指导，涵盖认证模糊测试、自动校准、多字典模式和结果分析。
381 · 受欢迎程度 - 排名 13查看 Agent Skill直接匹配
dast-scanning
使用 OWASP ZAP、Burp Suite 和 Nikto 执行动态应用安全测试，包括基线/完整/API 扫描和 CI/CD 集成。
322 · 受欢迎程度 - 排名 14查看 Agent Skill直接匹配
firebase-apk-scanner
扫描 Android APK 中的 Firebase 安全配置错误——开放数据库、存储桶、认证问题、暴露的云函数——并测试端点以进行授权研究。
5,073 · 受欢迎程度 - 排名 15查看 Agent Skill直接匹配
penetration-testing-with-strix
使用 Strix 对 Web 应用、API、代码库、仓库、URL、域名或 IP 进行渗透测试——自主 AI 渗透测试，会实际利用并证明漏洞（OWASP Top 10 及更多——注入、XSS、SSRF、认证/访问控制缺陷、IDOR、业务逻辑），而不仅仅是标记它们。支持自托管运行……
12,429 · 受欢迎程度 - 排名 16查看 Agent Skill直接匹配
web-app-penetration-testing
对 Web 应用或网站进行端到端渗透测试——对线上 URL、预发布环境或本地开发服务器进行黑盒测试，发现并利用真实漏洞（认证绕过、访问控制失效、IDOR、注入、XSS、SSRF、业务逻辑），并用可用的概念验证证明每一个漏洞……
8,817 · 受欢迎程度 - 排名 17查看 Agent Skill直接匹配
api-security-testing
使用 Strix 对 REST、GraphQL 或 gRPC API 进行安全测试——自主 Agent 从 OpenAPI/GraphQL schema 枚举端点（或通过爬取），然后实际利用 OWASP API Security Top 10 (2023) 中 API 特有的漏洞类别——破坏对象级授权（BOLA/IDOR）、…
8,760 · 受欢迎程度 - 排名 18查看 Agent Skill直接匹配
application-security-testing
使用 Strix 对整个产品进行应用安全测试（AppSec）——判断哪项资产需要哪种测试（源代码、运行中的 Web 应用、API、CI 流水线），执行测试，并将结果转化为按优先级排序的修复计划。自主 Agent 会利用并证明每个问题，而不是仅输出…
8,637 · 受欢迎程度 - 排名 19查看 Agent Skill直接匹配
penetration-testing
使用渗透测试工具、漏洞利用框架和手动安全验证的伦理黑客与安全测试方法。适用于评估应用安全态势和识别可利用漏洞。
1,063 · 受欢迎程度 - 排名 20查看 Agent Skill直接匹配
security-pen-testing
当用户要求执行安全审计、渗透测试、漏洞扫描、OWASP Top 10 检查或攻击性安全评估时使用。涵盖静态分析、依赖扫描、密钥检测、API 安全测试和渗透测试报告生成。
声明的前提（自述）: Python
798 · 受欢迎程度 - 排名 21查看 Agent Skill直接匹配
security-audit
全面的安全审计工作流，涵盖 Web 应用测试、API 安全、渗透测试、漏洞扫描和安全加固。
1,347 · 受欢迎程度 - 排名 22查看 Agent Skill可能匹配
sast-configuration
配置 Semgrep、SonarQube 和 CodeQL 等 SAST 工具，用于自动化漏洞检测、自定义规则和 CI/CD 集成。
10,304 · 受欢迎程度 - 排名 23查看 Agent Skill可能匹配
golang-security
Go 安全最佳实践：注入、加密、SSRF、密钥、威胁建模，以及 gosec SAST、竞态检测和模糊测试。
38,753 · 受欢迎程度 - 排名 24查看 Agent Skill可能匹配
rev-dex-dumper
通过 ADB 使用捆绑的 panda-dex-dumper 工具从运行中的 Android 应用内存中导出 DEX 文件，以对抗类加载加壳。
1,717 · 受欢迎程度 - 排名 25查看 Agent Skill可能匹配
reverse-skill-router
Codex 适配器，将授权的逆向工程、安全分析、CTF 和防御性测试任务路由到 reverse-skill 仓库中的技能。
1,139 · 受欢迎程度
常见问题
- Hacking 下列出了哪些类型的 Skill？
- 它们涵盖安全工作的标准阶段：侦察、扫描、利用、密码攻击和后期利用。每一个都是 SKILL.md 包，为 AI Agent 提供用于授权测试、CTF、实验或研究的特定能力。
- 这个列表是如何排序的？
- 它按观测到的搜索需求排序，与主题直接匹配的 Skill 排在最前。排名还限制了单个发布者能占据的 Skill 数量，因此一个作者无法占满整个页面。
- 如何在两个相似的 hacking 技能之间做选择？
- 比较每个技能以什么作为输入、产出什么，然后选择匹配你当前工作阶段的那个。如果它们重叠，先从排名更高的技能开始，把另一个作为后备。
- 在加载一个之前，我需要实验室或目标环境吗？
- 是的。这些技能用于授权测试、CTF、实验环境和研究，因此请将它们指向你拥有或已获得明确测试许可的系统。
如何安装 Agent Skill
从本页第一条开始。Claude Code 会读取放进 skills 目录的 SKILL.md：
- Claude Code——把 hack 的 SKILL.md 复制到 ~/.claude/skills/hack/（个人使用），或 .claude/skills/hack/（随项目共享）。
- 从 registry 安装——运行 npx skills add yaklang/hack-skills@hack。
- 或者从 hack 的来源下载 SKILL.md，放进上面的目录。
如何挑选 安装前先看出处和技能自身的说明。Official 与 Notable 标签描述的是技能来源。