К основному содержанию
affpapa.org
RU EN
скилл CX Codex

injection-checking — скилл для Claude Code: маршрутизация проверок

Скилл-роутер для тестирования инъекций: помогает выбрать нужный сценарий по тому, куда попадает ввод от атакующего.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓ 
npx skills add yaklang/hack-skills --skill injection-checking -a claude-code
Открыть на GitHub

Что делает injection-checking

injection-checking — это точка входа в категорию инъекций. Когда ввод доходит до опасного интерпретатора или среды выполнения, скилл помогает определить, с чем именно вы имеете дело: браузерный контекст, база данных, шаблонизатор, серверные запросы, разбор XML или системные команды.

Внутри — карта связанных скиллов: XSS, SQLi, SSRF, XXE, SSTI, CMDi, NoSQL, десериализация, JNDI, expression language, CRLF, request smuggling, prototype pollution, type juggling, HTTP parameter pollution, XSLT, CSV formula injection и дополнительные типы вроде SSI, LDAP и XPath. Рекомендованный порядок такой: сначала найти конечный sink ввода, потом выбрать скилл под этот интерпретатор. Небольшие примеры payload и быстрая триажка уже встроены в каждый основной скилл, отдельный роутер payload не нужен.

Скилл пригодится, когда вы ещё не решили, с чего начать — с XSS, SQLi, SSRF, XXE, SSTI, CMDi или NoSQL. Если ввод не доходит до интерпретатора, роутер тут ни при чём.

Какие задачи решает

  • выбрать сценарий проверки по конечному sink ввода
  • развести XSS, SQLi и SSRF, когда непонятно, с чего начать
  • найти подходящий скилл для шаблонизаторов и разбора XML
  • сориентироваться среди редких типов вроде CRLF и prototype pollution
  • понять, куда отнести инъекцию в системные команды

Примеры запросов агенту

  • ввод из формы доходит до SQL — какой скилл выбрать?
  • пользовательский ввод попадает в шаблонизатор, помоги разобраться
  • не понимаю, XSS это или SSRF, подскажи направление

Как установить injection-checking

1Через Skills CLI (Vercel)

npx skills add yaklang/hack-skills --skill injection-checking -a claude-code

2Вручную: положить файлы

~/.claude/skills/injection-checking/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/injection-checking/

По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов

Из того же набора93

business-logic-vuln Скилл направляет проверку бизнес-логики и переходов состояний в приложении. Помогает искать состояния гонки, сбои при расчёте скидок и обход пошаговых сценариев. CX Codex +1 3 700установок recon-for-sec Направляет первичную разведку нового приложения: помогает очертить поверхность атаки и выбрать маршрут проверки. CX Codex +1 3 700установок ios-pentesting-tricks Плейбук по тестированию iOS-приложений: извлечение данных из keychain, перехват URL-схем, разбор Universal Links, работа с runtime. CX Codex +1 3 700установок cors-cross-origin-misconfiguration Помогает тестировать ошибки CORS и проверять доверие к заголовкам Origin при передаче учётных данных. Пригодится при аудите API и поиске проблем с кэшированием. CX Codex +1 3 700установок kubernetes-pentesting Плейбук по пентесту Kubernetes: доступ к API-серверу, перебор RBAC, злоупотребление токенами service account, etcd, Kubelet API и побег из пода. CX Codex +1 3 700установок auth-sec Маршрутизатор проверок аутентификации и авторизации. Помогает агенту выбрать нужную ветку аудита до перехода к конкретным атакам. CX Codex +1 3 700установок api-authorization-and-bola Плейбук для проверки авторизации в API: доступ к чужим объектам, вызовы функций не по роли и скрытые записываемые поля. CX Codex +1 3 700установок vm-and-bytecode-reverse Плейбук по реверсу самописных виртуальных машин и байткода: находит диспетчер, разбирает опкоды, помогает писать дизассемблер. CX Codex +1 3 700установок

Похожие

exploiting-api-injection-vulnerabilities mahipal Скилл находит инъекции в параметрах, заголовках и телах запросов к API. Пригодится при оценке защищённости эндпоинтов и проверке правил валидации пользовательских значений. CX Codex +1 311установок fix-security-vulnerabilities-with-strix usestrix Скилл разбирает подтверждённые Strix-уязвимости, исправляет их причину и повторно запускает проверку. Подойдёт после CLI- или cloud-сканирования. CX Codex +1 15 700установок security-fuzzing Eyadkelleh Подключает подборку пейлоадов из SecLists для поиска инъекций и проверки валидации ввода. Пригодится при аудите защищённости своего кода и на CTF. CX Codex +1 583установок secure-code-review zebbern Скилл прогоняет код по всем десяти категориям OWASP Top 10 и выдаёт отчёт с примерами уязвимостей и готовыми исправлениями. Пригодится перед релизом или ревью чужого проекта. CX Codex +1 ★ 4 676звёзд репо tool-abuse-detection Tencent Прогоняет агента через диалоговые пробы и ищет выполнение команд, чтение чужих файлов и SSRF. Пригодится, когда у агента есть доступ к файлам, коду или сети. CX Codex +1 ★ 7 083звёзд репо security-guidance Alireza Rezvani Перехватывает попытки Claude Code записать опасный код и блокирует 12 типовых уязвимостей до сохранения файла. Пригодится при работе с авторизацией, платежами и обработкой ввода. 551установок

Вопросы о injection-checking

Как установить injection-checking в Claude?

Выполните npx skills add yaklang/hack-skills --skill injection-checking -a claude-code. Скилл окажется в ~/.claude/skills/injection-checking/SKILL.md.

Что делает injection-checking?

Это роутер категории инъекций. Он помогает определить, куда попадает ввод от атакующего, и выбрать нужный глубокий скилл: XSS, SQLi, SSRF, XXE, SSTI, CMDi, NoSQL и другие.

Нужен ли отдельный роутер payload?

Нет. Небольшие примеры payload и быстрая триажка уже включены в каждый основной скилл.

Исходный текст

SKILL.md · MIT 
---
name: injection-checking
description: >-
  Entry P1 category router for injection testing. Use when routing between XSS,
  SQLi, SSRF, XXE, SSTI, command injection, and NoSQL injection workflows based
  on how attacker-controlled input is consumed.
---

# Injection Testing Router

This is the routing entry point when input reaches a dangerous interpreter or execution environment.

After confirming this is an injection-class issue, use it to decide whether it is mainly browser context, database, template engine, server-side requests, XML parsing, or system commands.

## When to Use

- Input reaches HTML, JS, SQL, templates, URL fetchers, XML parsers, or shell
- You have not yet decided whether to start with XSS, SQLi, SSRF, XXE, SSTI, CMDi, or NoSQL
- You need to choose the correct deep-topic skill based on input flow

## Skill Map

- [XSS Cross Site Scripting](../xss-cross-site-scripting/SKILL.md)
- [SQLi SQL Injection](../sqli-sql-injection/SKILL.md)
- [SSRF Server Side Request Forgery](../ssrf-server-side-request-forgery/SKILL.md)
- [XXE XML External Entity](../xxe-xml-external-entity/SKILL.md)
- [SSTI Server Side Template Injection](../ssti-server-side-template-injection/SKILL.md)
- [CMDi Command Injection](../cmdi-command-injection/SKILL.md)
- [NoSQL Injection](../nosql-injection/SKILL.md)
- [Deserialization Insecure](../deserialization-insecure/SKILL.md)
- [JNDI Injection](../jndi-injection/SKILL.md)
- [Expression Language Injection](../expression-language-injection/SKILL.md)
- [CRLF Injection](../crlf-injection/SKILL.md)
- [Extra Injection Types (SSI, LDAP, XPath)](./EXTRA_INJECTION_TYPES.md)
- [Request Smuggling](../request-smuggling/SKILL.md)
- [Prototype Pollution](../prototype-pollution/SKILL.md)
- [Type Juggling](../type-juggling/SKILL.md)
- [HTTP Parameter Pollution](../http-parameter-pollution/SKILL.md)
- [XSLT Injection](../xslt-injection/SKILL.md)
- [CSV Formula Injection](../csv-formula-injection/SKILL.md)

## Recommended Flow

1. First identify the final sink of the input
2. Then choose the topic skill that best matches that interpreter
3. Small payload samples and quick triage are merged into each main skill; no extra payload router is needed

## Related Categories

- [file-access-vuln](../file-access-vuln/SKILL.md)

© yaklang · MIT · yaklang/hack-skills

Смотрите также

Спонсоры проекта

Компании, которые помогают держать аналитику открытой
Золотой спонсор AI-аналитика спроса на iGaming — индекс, тренды, конкуренты
Nutra.Club Закрытое сообщество Nutra-вертикали от команды M1

Показы, клики и копирования кода — открытая статистика. Мы держим цифры публичными по той же логике, что и сам NeBlask. Стать спонсором