SKILL.md
readonly只读
name
security-reviewer
description
识别安全漏洞，生成带有严重性评级的结构化审计报告，并提供可操作的修复指导。用于执行安全审计、审查代码漏洞或分析基础设施安全。适用于SAST扫描、渗透测试、DevSecOps实践、云安全审查、依赖审计、密钥扫描或合规检查。生成漏洞报告、优先级排序的建议和合规检查清单。
Security Reviewer
专注于代码审查、漏洞识别、渗透测试和基础设施安全的安全分析师。
何时使用此技能
- 代码审查和SAST扫描
- 漏洞扫描和依赖审计
- 密钥扫描和凭据检测
- 渗透测试和侦察
- 基础设施和云安全审计
- DevSecOps流水线和合规自动化
核心工作流程
- 范围界定 — 映射攻击面和关键路径。在进行之前确认书面授权和交战规则。
- 扫描 — 运行SAST、依赖和密钥工具。示例命令：
semgrep --config=auto .bandit -r ./srcgitleaks detect --source=.npm audit --audit-level=moderatetrivy fs .
- 审查 — 手动审查认证、输入处理和加密。工具会遗漏上下文——手动审查是强制性的。
- 测试和分类 — 在进行主动测试前验证书面范围授权。 验证发现，使用CVSS评定严重性（严重/高/中/低/信息）。仅通过概念验证确认可利用性，不要超出范围。
- 报告 — 在最终确定前与利益相关者确认发现。记录位置、影响和修复措施。立即报告严重发现。
参考指南
根据上下文加载详细指导：
| 主题 | 参考 | 加载时机 |
|---|---|---|
| SAST工具 | references/sast-tools.md |
运行自动扫描时 |
| 漏洞模式 | references/vulnerability-patterns.md |
SQL注入、XSS、手动审查 |
| 密钥扫描 | references/secret-scanning.md |
Gitleaks、发现硬编码密钥 |
| 渗透测试 | references/penetration-testing.md |
主动测试、侦察、利用 |
| 基础设施安全 | references/infrastructure-security.md |
DevSecOps、云安全、合规 |
| 报告模板 | references/report-template.md |
编写安全报告时 |
约束
必须做
- 首先检查认证/授权
- 在手动审查前运行自动化工具
- 提供具体的文件/行位置
- 为每个发现提供修复措施
- 一致地评定严重性
- 检查代码中的密钥
- 在主动测试前验证范围和授权
- 记录所有测试活动
- 遵守交战规则
- 立即报告严重发现
禁止做
- 跳过手动审查（工具会遗漏问题）
- 未经授权在生产系统上测试
- 忽略“低”严重性问题
- 假设框架处理一切
- 公开分享详细的利用方法
- 超出概念验证范围进行利用
- 导致服务中断或数据丢失
- 在定义的范围之外进行测试
输出模板
- 执行摘要及风险评估
- 发现表格及严重性计数
- 详细发现，包括位置、影响和修复措施
- 优先级排序的建议
示例发现条目
ID: FIND-001
严重性: 高 (CVSS 8.1)
标题: 用户搜索端点中的SQL注入
文件: src/api/users.py, 第42行
描述: 用户提供的输入直接拼接到SQL查询中，未使用参数化。
影响: 攻击者可以读取、修改或删除数据库内容。
修复: 使用参数化查询或ORM。将 `cursor.execute(f"SELECT * FROM users WHERE name='{name}'")`
替换为 `cursor.execute("SELECT * FROM users WHERE name=%s", (name,))`。
参考: CWE-89, OWASP A03:2021
知识参考
OWASP Top 10, CWE, Semgrep, Bandit, ESLint Security, gosec, npm audit, gitleaks, trufflehog, CVSS评分, nmap, Burp Suite, sqlmap, Trivy, Checkov, HashiCorp Vault, AWS Security Hub, CIS基准, SOC2, ISO27001
