file-access-vuln — скилл для Claude Code: маршрутизатор по файловым
Скилл-роутер для тестирования скачивания файлов, путей, LFI и загрузки. Помогает агенту выбрать, куда копать дальше.
npx skills add yaklang/hack-skills --skill file-access-vuln -a claude-codeЧто делает file-access-vuln
Это точка входа в категорию файловых уязвимостей. Скилл сам ничего не эксплуатирует: он смотрит на цель и решает, имеете ли вы дело с обходом пути и локальным включением файлов или с валидацией загрузки и цепочкой обработки. Дальше агент уходит в один из двух тематических скиллов — path-traversal-lfi или upload-insecure-files.
Полезен, когда параметры, имена файлов, эндпоинты скачивания или импорта влияют на путь к файлу. Или когда у цели есть загрузка, превью, транскодинг, распаковка архивов, шаринг и проксированный доступ к файлам. Рекомендованный порядок такой: сначала определить, что перед вами — параметр пути, эндпоинт скачивания или сценарий загрузки. Потом найти стадию, на которой проявляется проблема: приём, хранение, обработка или отдача. Отдельного скилла с payload-ами нет, короткие примеры обхода путей и обхода валидации загрузки лежат внутри основных тем.
Роутер не заменяет собой проверку. Если вы не определили стадию, на которой ломается логика, скилл просто перекинет вас в соседнюю категорию — например, в injection-checking или business-logic-vuln. Это повод сначала описать поток данных руками.
Какие задачи решает
- понять, обход пути перед вами или дыра в валидации загрузки
- найти стадию, где ломается обработка файла
- выбрать между path traversal и upload-цепочкой
- проверить превью и шаринг файлов на границы доступа
- разложить поток данных до того, как гонять payload-ы
Примеры запросов агенту
- разбери эндпоинт скачивания: это обход пути или проблема загрузки?
- проверь загрузку файлов и цепочку превью на этой цели
- посмотри параметр имени файла в импорте — куда он ведёт?
Как установить file-access-vuln
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill file-access-vuln -a claude-code2Вручную: положить файлы
~/.claude/skills/file-access-vuln/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/file-access-vuln/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill file-access-vuln -a codex2Вручную: положить файлы
.agents/skills/file-access-vuln/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill file-access-vuln -a cursor2Вручную: положить файлы
.cursor/skills/file-access-vuln/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install yaklang/hack-skills file-access-vuln2Вручную: положить файлы
.github/skills/file-access-vuln/SKILL.md1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill file-access-vuln -a gemini-cli2Командой платформы
gemini skills install https://github.com/yaklang/hack-skills --path skills/file-access-vulnВручную: положить файлы
.devin/skills/file-access-vuln/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill file-access-vuln -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о file-access-vuln
Как установить file-access-vuln в Claude?
Выполните npx skills add yaklang/hack-skills --skill file-access-vuln -a claude-code. Скилл появится в ~/.claude/skills/file-access-vuln/SKILL.md.
Что делает file-access-vuln?
Это входной роутер категории: он определяет, с чем вы работаете — с путями и LFI или с загрузкой и обработкой файлов, — и направляет к нужному тематическому скиллу.
Чем он отличается от path-traversal-lfi и upload-insecure-files?
Сам роутер не содержит техник эксплуатации. path-traversal-lfi разбирает обход пути, чтение файлов и цепочки include, а upload-insecure-files — валидацию загрузки, пути хранения и цепочки обработки.
Исходный текст
SKILL.md · MIT
--- name: file-access-vuln description: >- Entry P1 category router for file access and upload workflows. Use when testing download endpoints, file paths, local file inclusion, upload flows, preview pipelines, archive extraction, or storage and sharing boundaries. --- # File Access Router This is the routing entry point for filesystem paths, download endpoints, upload pipelines, and file preview handling. ## When to Use - Parameters, filenames, download endpoints, or import flows influence file paths - The target supports upload, preview, transcoding, extraction, sharing, download, or proxied file access - You need to decide whether this is path traversal/LFI or an upload-validation/processing-chain issue ## Skill Map - [Path Traversal LFI](../path-traversal-lfi/SKILL.md): path traversal, file read, wrapper abuse, include chains - [Upload Insecure Files](../upload-insecure-files/SKILL.md): upload validation, storage paths, processing chains, overwrite risk, preview/share boundaries ## Recommended Flow 1. First identify whether the entry point is a path parameter, download endpoint, or upload workflow 2. Then locate whether the issue appears in accept, store, process, or serve stages 3. Small path-chain and upload-bypass samples are merged into the main topic skills; no separate payload entry is needed ## Related Categories - [injection-checking](../injection-checking/SKILL.md) - [business-logic-vuln](../business-logic-vuln/SKILL.md)
© yaklang · MIT · yaklang/hack-skills
