Bb Methodology (Grade A)Beveiligingsgeteste testing‑security vaardigheid voor Claude AI. Grade A. Gebruik het aan het BEGIN van elke bug bounty‑jacht, bij het wisselen van targets of wanneer je je verliest over wat te doen. Master orchestrator

Waarom bestaat dit?

De meeste Claude-configuraties voor bug-hunting zijn ofwel te generiek (één groot "security" prompt) of te fragmentarisch (je boekt 30 openbaar gemaakte rapporten en herlaadt ze bij elke inzet). Beiden schalen niet voorbij het tweede doelwit. Deze bundel is ontwikkeld en gevalideerd via geautoriseerde opdrachten die verschillende capaciteitslacunes blootlegden: Bug-bounty inzet — bracht vier lacunes aan het licht die een starter met een 3-skill stack niet kon dichten: 1. Geen hypothesedisziplin — concepten worden geschreven vóór validatie → verspilde uren, vermindert de validiteitsratio 2. Geen per-programma rapportagetactieken — VRT defaults degraderen automatisch P3‑waardige bevindingen naar P4 3. Geen inzetcoördinatie — bevindingen, bewijsmateriaal en indienings‑IDs verspreid over mappen 4. Geen bewijshygiëne — screenshots lekken cookies en PII van het slachtoffer Externe red‑team inzet — onthulde nog vijf aanvullende lacunes die de bug‑bounty defaults verergerden: 1. Conservatieve defaults trekt echte bevindingen terug — WAPT‑mentaliteit stopt tests vroeg bij verdedigde doelwitten waar een red‑team voortzetting bypass‑ketens zou hebben blootgelegd → redteam‑mindset 2. Geen situational awareness mid‑engagement — de SOC van de klant patched een bevestigde SQLi binnen 30 min; een externe aanvaller vergrendelde 14 accounts tijdens een live test‑sessie — beide onzichtbaar zonder expliciete detectiemethodologie → mid‑engagement‑ir‑detection 3. Geen enterprise‑platform aanvalsketens — M365 + Entra ID, on‑prem SharePoint, Cisco SSL VPN, vCenter, en 7 Android APKs vereisten allemaal actuele CVE‑kennis 2024‑2026 en platform‑specifieke tradecraft → m365‑entra‑attack, o

Asked by Fiorella Bianchi · Nov 2, 2025

Hoe werkt het?

Een 6‑fasig, niet‑lineair workflow — recon → map & rank → hunt → validate → report — met scope die in de code wordt afgedwongen en een 7‑Vraag Gate vóór iets wordt ingediend. Twee manieren om het aan te sturen: Plain English — beschrijf wat je test en de relevante skill loads worden automatisch vastgesteld. /hunt scaffold + cbh CLI — engagement‑folder structuur, status en orchestratie. → Usage guide & worked example · 6‑fase architectuur & skill‑to‑phase map · cbh CLI

Asked by Emiliano Vargas · Oct 15, 2025

Wat zit er binnenin?

82 vaardigheden, automatisch geladen per onderwerp – geen oproep op naam. Dekking van het externe aanvalssurface: | Categorie | # | Voorbeelden | |---|---|---| | Webapplicatie-jacht | 13 | XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open-redirect | | Authenticatie & identiteit | 7 | auth-bypass, sessie, OAuth, SAML, MFA-bypass, ATO | | API & infrastructuur | 15 | GraphQL, gRPC, WebSocket, API-misconfig, host-header, RCE | | Geavanceerd & concurrentie | 6 | race-condition, HTTP smuggling, deserialisatie, cache-poison | | Framework-specifiek | 4 | Next.js, Node.js, Laravel, Spring Boot | | Ondernemingsidentiteit & cloud ★ | 3 | M365/Entra, Okta, cloud-IAM-deep | | Infrastructuur & appliance ★ | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Red-team tradecraft ★ | 4 | redteam-mindset, APK pipeline, supply-chain recon, mid-engagement IR | | Recon & OSINT | 4 | web2-recon, offensive-osint, subdomein | | Workflow, rapportage & gespecialiseerd | 11 | methodology, triage-validation, evidence-hygiene, VRT-aware reporting | Volledig doorzoekbare catalogus → docs/skills.md. Het bevat ook 15 slash-commando’s (/hunt, /recon, /report, …) en een deterministische engagement-engine (engine/) die het aanvalssurface van een doelwit in kaart brengt en elk resultaat toewijst aan de vaardigheid die het behandelt.

Asked by Quentin Lefevre · Aug 22, 2025

Wat is dit?

claude-bughunter is een plug-and-play vaardigheidspakket voor het Claude Code-vaardigheden systeem. Installeer het één keer en Claude Code stopt met een chatbot te zijn en begint zich te gedragen als een senior bug‑jacht onderzoeker of red‑team operator: het kent de technieken, de ketting sjablonen, de VRT mappings, de platform CVE ketens, en de hygiëne — en het blijft binnen scope. Vier lagen stapelen: Think — bb‑methodologie + redteam‑mindset: de 5‑fase niet‑lineaire workflow, kritisch‑denk framework, en red‑team operator discipline. Hunt webapps — 48 hunt‑vaardigheden gecureerd uit 681 openbaar gemaakte HackerOne rapporten: per‑klasse detectie patronen, payloads, bypass tabellen, en ketting sjablonen. Hit the perimeter — enterprise platform ketens (M365/Entra, Okta, vCenter, SSL‑VPN apparaten, SharePoint, cloud IAM): huidige 2024–2026 CVE ketens + post‑credential escalatie. Ship it — triage‑validatie + rapportage + bewijs‑hygiëne: de 7‑Vraag Gate, VRT‑bewuste ernst, OOS weerleggingen, PII redactie, en red‑team deliverables. Alles wordt automatisch geactiveerd per onderwerp — beschrijf wat je test in eenvoudig Engels en de relevante vaardigheidsladers. Geen oproep per naam.

Asked by Zain Malik · Aug 11, 2025