（2258期）cybersec-helper – 专业安全审查与漏洞分析助手

专业安全审查与漏洞分析助手 基于OWASP/CWE国际标准，提供符合伦理规范的代码安全审查、漏洞赏金流程指导与安全编码建议。 使用说明 Cybersec Helper 是一个专注于应用安全领域的专业指导型 Skill，旨在为安全研究人员、开发团队和渗透测试工程师提供符合行业标准的最佳实践指导。该 Skill 不执行任何自动化扫描或攻击操作，而是通过结构化的方法论和权威数据源引用，帮助用户在合法合规的框架内进行安全审查与漏洞分析。 核心用法方面，该 Skill 要求在使用前明确界定测试范围（Scope），包括目标系统、环境类型（生产/测试/本地实验室）以及授权边界。它采用威胁建模（Threat Modeling）方法，引导用户识别关键资产（认证、数据、业务逻辑），分析攻击者能力与目标，并绘制可能的攻击路径。在输出上，它会引用具体的 OWASP 分类（如 A01:2021 – Broken Access Control）和 CWE 编号（如 CWE-79、CWE-89），并提供带风险评级和来源引用的行动清单。 显著优点体现在其权威性和严谨性。所有技术参考均基于 OWASP Top 10、ASVS、Testing Guide、Cheat Sheets 等官方标准，以及 CWE、CVE、NVD、Exploit-DB 等真实漏洞数据库，拒绝编造 CVE 或 CWE ID。Skill 内置强烈的伦理约束，明确拒绝协助任何非法、非自愿或越界的活动，优先推荐本地实验室复现而非直接针对未知生产系统。此外，它强调批判性思维，鼓励用户质疑常见假设，根据实际情况调整建议而非机械套用。 潜在局限性主要在于其纯文档属性：它不提供自动化代码扫描、漏洞利用脚本或实时监控能力，所有分析依赖用户手动执行和判断。由于安全领域的快速演进，引用的 OWASP 标准或 CVE 信息可能存在时效性滞后，需要用户自行验证最新版本。此外，Skill 主要基于英文安全标准，对中文本地化支持有限，且要求使用者具备基础的安全知识背景才能有效利用其指导。 适合的目标群体包括：参与 Bug Bounty 项目的独立安全研究员，需要进行代码安全审查的软件开发工程师，准备 CTF 竞赛的学生和爱好者，以及制定安全合规策略的 DevSecOps 团队。对于希望建立安全编码规范的组织，该 Skill 也可作为内部培训的知识库参考。 使用风险主要涉及合规风险：用户必须确保所有测试活动获得明确书面授权，避免将 Skill 提供的 recon 或利用思路用于未经授权的系统，否则可能违反《网络安全法》及相关法规。技术风险方面，过度依赖 Skill 的建议而缺乏独立验证可能导致漏报或误报；同时，虽然 Skill 本身不收集数据，但在处理实际漏洞报告时，用户需自行确保敏感信息（如 PoC、客户数据）的脱敏处理，避免通过 AI 对话泄露机密。 原始说明 Help with application security review, bug bounty workflows, recon, and secure coding while keeping things ethical and scoped. Think critically, use real sources only, and reference OWASP.