Apk Redteam Pipeline (Grade A)Збережене тестування безпеки за допомогою技能у Claude AI. Грейд A. Зовнішній Android APK red-team pipeline — автоматизовані отримання APK (Play Store + apkpure + apkmirror fallback), jadx deкомпільація, сек

Why this exists?

Більшість налаштувань Claude для пошуку багів або занадто загальні (один великий «security»‑промпт), або надто роздрібнені (ви закладаєте десятки відкритих звітів і перечитуєте їх для кожного залучення). Жоден з підходів не масштабується за межі другого цільового об’єкта. Цей пакет був створений і перевірений у рамках авторизованих залучень, які виявили прогалини в можливостях: робота за програмами bug‑bounty показала відсутність дисципліни гіпотез, відсутність тактик звітування per‑program, погану координацію залучень та недостатню гігієну доказів. Зовнішня робота red‑team виявила додаткові прогалини, такі як консервативні налаштування, що пропускали знахідки, відсутність ситуаційної обізнаності під час залучення та відсутність ланцюгів атак для корпоративних платформ. Пакет заповнює ці прогалини завдяки структурованій методології, автоматизованому звітуванню, координованому обробленню доказів та актуальним платформенно‑специфічним технікам.

Asked by Wei Chen · Dec 14, 2025

Як це працює?

Він слідує 6‑фазовому, нелінійному робочому процесу: розвідка → мапа та ранжування → полювання → валідація → звіт, причому область дії забезпечується у коді і перед будь‑якою подачею проходить 7‑питаньний ворота. Ви можете керувати ним, описавши свої цілі тестування простими англійськими словами — це автоматично підвантажує потрібний набір навичок, або використовуючи каркас /hunt та CLI cbh, який надає структуру папки залучення, управління станом і оркестрацію. Документація включає посібник з використання, робочий приклад, схему 6‑фазової архітектури та довідку CLI cbh.

Asked by Bruno Kaufmann · Oct 7, 2025

Що всередині?

Пакет містить 82 навички, які автоматично завантажуються за темою — без виклику за назвою. Охоплює зовнішню атакувальну поверхню, включаючи пошук у веб‑додатках (XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open‑redirect), автентифікацію та ідентифікацію (auth‑bypass, session, OAuth, SAML, MFA‑bypass, ATO), API та інфраструктуру (GraphQL, gRPC, WebSocket, API‑misconfig, host‑header, RCE), просунуті та конкурентні техніки (race‑condition, HTTP smuggling, deserialization, cache‑poison), специфічні фреймворки (Next.js, Node.js, Laravel, Spring Boot), корпоративну ідентифікацію та хмару (M365/Entra, Okta, cloud‑IAM), інфраструктуру та пристрої (VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM), ремесло червоної команди (redteam‑mindset, APK pipeline, supply‑chain recon, mid‑engagement IR), розвідку та OSINT, а також інструменти для робочих процесів/звітування. Повний пошуковий каталог знаходиться у docs/skills.md, і пакет також постачається з 15 slash‑командами та детермінованим рушієм взаємодії, який картографує поверхню атаки цілі та маршрутизує кожне знайдення до відповідної навички.

Asked by Hasan Demir · Oct 7, 2025

Що це?

claude-bughunter — це готовий пакет навичок для системи Claude Code. Встановивши його один раз, Claude Code перестає бути чат‑ботом і починає працювати як старший дослідник‑охотник за помилками або оператор червоної команди: він знає техніки, шаблони ланцюжків, відповідності VRT, ланцюжки CVE платформ і вимоги щодо гігієни — і залишається в межах області. Чотири рівня накладаються один на інший: Think — bb‑methodology + redteam‑mindset: 5‑фазний нелінійний робочий процес, рамки критичного мислення та дисципліна оператора червоної команди. Hunt webapps — 48 навичок охоти, відібраних з 681 розкритого звіту HackerOne: патерни виявлення за класами, корисні навантаження, таблиці обходу та шаблони ланцюжків. Hit the perimeter — корпоративні ланцюжки платформ (M365/Entra, Okta, vCenter, SSL‑VPN пристрої, SharePoint, cloud IAM): актуальні ланцюжки CVE 2024–2026 + підвищення привілеїв після отримання облікових даних. Ship it — тріаж‑валідація + звітність + гігієна доказів: 7‑питальний ворота, VRT‑свідомий рівень серйозності, відповіді OOS, редагування PII та результати червоної команди. Все активується автоматично за темою — опишіть, що ви тестуєте простими словами англійською, і відповідні навантаження навичок.

Asked by Quyen Tran · Aug 24, 2025