business-logic-vuln — скилл для Claude Code: что делает
Скилл направляет проверку бизнес-логики и переходов состояний в приложении. Помогает искать состояния гонки, сбои при расчёте скидок и обход пошаговых сценариев.
npx skills add yaklang/hack-skills --skill business-logic-vuln -a claude-codeЧто делает business-logic-vuln
Этот скилл служит маршрутизатором категории P1 для тестов бизнес-логики. Он переключает внимание ассистента с классических инъекций на уровне парсеров на то, когда срабатывают проверки и какие условия применяются. Это актуально для сценариев с промокодами, оплатой, остатками на складе, квотами, инвайтами или пробными периодами.
Внутри описан порядок аудита: сначала размечаются ключевые состояния и однократные действия, затем проверяются окна между проверкой и действием (check-then-act), зависимости шагов и сквозная авторизация. Если цепочка атаки завязана на вызовы API или права доступа к файлам, скилл связывает анализ с соседними ветками api-sec, auth-sec или file-access-vuln.
Для поиска инъекций в синтаксических анализаторах этот маршрутизатор не подойдёт, потому что ориентирован строго на логику процессов и конечные автоматы.
Какие задачи решает
- проверить оплату на подмену цен и отрицательные суммы
- найти состояния гонки при списании баланса или остатков
- выявить обход обязательных шагов в многоэтапных процессах
- протестировать повторное применение скидок и промокодов
Примеры запросов агенту
- Проверь оформление заказа на уязвимости бизнес-логики и возможность применить купон дважды.
- Построй маршрут тестирования состояний гонки при списании бонусных баллов.
Как установить business-logic-vuln
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill business-logic-vuln -a claude-code2Вручную: положить файлы
~/.claude/skills/business-logic-vuln/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/business-logic-vuln/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill business-logic-vuln -a codex2Вручную: положить файлы
.agents/skills/business-logic-vuln/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill business-logic-vuln -a cursor2Вручную: положить файлы
.cursor/skills/business-logic-vuln/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install yaklang/hack-skills business-logic-vuln2Вручную: положить файлы
.github/skills/business-logic-vuln/SKILL.md1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill business-logic-vuln -a gemini-cli2Командой платформы
gemini skills install https://github.com/yaklang/hack-skills --path skills/business-logic-vulnВручную: положить файлы
.devin/skills/business-logic-vuln/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill business-logic-vuln -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Из того же набора93
Похожие
Вопросы о business-logic-vuln
Как установить business-logic-vuln в Claude Code?
Выполните команду npx skills add yaklang/hack-skills --skill business-logic-vuln -a claude-code в терминале.
Что делает скилл business-logic-vuln?
Он направляет проверку логики работы сервиса: учит искать уязвимости состояний, наложение скидок, отрицательные значения и окна между проверкой и исполнением.
Для каких сценариев подходит этот скилл?
Он рассчитан на проверку платежей, квот, инвайтов, складского учёта и переходов между состояниями, где инъекции в парсеры не имеют решающего значения.
Исходный текст
SKILL.md · MIT
--- name: business-logic-vuln description: >- Entry P1 category router for business logic testing. Use when workflow abuse, race conditions, pricing flaws, or multi-step state attacks matter more than parser-level input injection. --- # Business Logic Router This is the routing entry point for business-logic and state-machine issues. ## When to Use - The target involves coupons, inventory, payment, approvals, quotas, invites, trials, or state transitions - The issue is not parser-level; it is about when checks happen and which business conditions are checked - You suspect race conditions, workflow bypass, price tampering, negative values, stacked discounts, or multi-step flaws ## Skill Map - [Business Logic Vulnerabilities](../business-logic-vulnerabilities/SKILL.md) ## Recommended Flow 1. First map key business states and one-time actions 2. Then check for check-then-act windows, sequence dependencies, or missing cross-step authorization 3. If the chain depends on APIs, uploads, or object permissions, return to the corresponding router skill to complete the path ## Related Categories - [api-sec](../api-sec/SKILL.md) - [auth-sec](../auth-sec/SKILL.md) - [file-access-vuln](../file-access-vuln/SKILL.md)
© yaklang · MIT · yaklang/hack-skills
