Bb Methodology (Grade A)为Claude AI提供安全测试的安全技能。A级。 在任何漏洞悬赏狩猎开始时、切换目标时或不知道下一步该怎么做时使用。

Why this exists?

最常见的问题是：bug-hunting Claude 布局往往非常笼统（一个大型的“安全”提示），或过于分散（你会 Bookmark 30 个披露的报告，并在每个项目中重新阅读它们），既不是很好的解决方案。这个捆绑包是在经过授权的项目中开发和验证的，这些项目会表明能力的不同漏洞：bug-赏金项目 — exposed 四种基本技能栈无法关闭： 一.没有假设性原则的约束 - 验证之前书写的草稿会使人感到沮丧、降低效率 2.没有针对程序的报告策略 - VRT 默认会降级 P3--worthy 的发现为 P4 3.没有协调 — 找到一些、证据、提交 ID 分散在文件夹 4.没有证据 hygiene — 截图泄露了 cookie 和受害者的 PII 外部红队 - 暴露了五个比 Bug-bounty 设值更差的漏洞： 1.保守的默认设置降低了真正的发现 - WAPT 态度导致测试过早终止 — 使红队态度的继续会找到绕过链 -> redteam-mindset 2.没有中间项目的情况感知（中间项目 - 中端识别） 3.没有企业平台攻击链（企业 - attack 链）

Asked by Fiorella Bianchi · Nov 2, 2025

有事为影名？，起动一分分形式愖后回给 双以给后分伐券回给 分词且给让算了说法，约券为分注了字渨。在给双应此完成或一分日史管理后分四。/

Bb服果架法 (A)状冴，有分分中限缓存工作常、四史算了法，算一分分史给给计手一分分调以给算了，算分分成分分后分分常彌成算了。吃分分算了服务，下一组分分吃人号成为发起常为有台给，下丁分分，/hunt存务 + cbh CLI --纸适分外成算了。

Asked by Emiliano Vargas · Oct 15, 2025

Bb Methodology 中有多少种技能?

包含 82 个自动装载的技能，按主题分类，无需以 name 方式调用。涵盖外部攻击面：| 类别 | # | 示例 | | --- | --- | --- | | Web 应用程序猎人 | 13 | XSS、SQLi、SSRF、IDOR、LFI、SSTI、XXE、CSRF、CORS、open-redirect | | 安全身份认证与身份 | 7 | auth-bypass、session、OAuth、SAML、MFA-bypass、ATO | | API & 基础设施 | 15 | GraphQL、gRPC、WebSocket、API-misconfig、host-header、RCE | | 高级 & 并发 | 6 | race-condition、HTTP smuggling、deserialization、cache-poison | | 框架特定 | 4 | Next.js、Node.js、Laravel、Spring Boot | | 企业身份认证与云 ★ | 3 | M365/Entra、Okta、cloud-IAM-deep | | 基础设施与设备 ★ | 4 | VMware vCenter、企业 VPN、SharePoint、ASP.NET/NTLM | | 红队 tradecraft ★ | 4 | 红队思维、 APK管道、供应链重构、mid-engagement IR | | Recon & OSINT | 4 | Web2-recon、offensive-osint、subdomain | | 工作流、报告与专家 | 11 | 方法论、triage-validation、证据卫生、VRT aware 报告 | 详细可搜索的目录 → docs/skills.md。此外，还提供了 15 个斜杠命令（/hunt、/recon、/report、…）以及一个确定性的参与引擎（engine/），它能够映射目标的攻击面并将寻找到相关的技能处理它。

Asked by Quentin Lefevre · Aug 22, 2025

What is this?

claude-bughunter is a drop-in skill bundle for the Claude Code skills system. Install once and Claude Code stops being a chatbot and starts behaving like a senior bug-hunting researcher or red-team operator: it knows the techniques, the chain templates, the VRT mappings, the platform CVE chains, and the hygiene — and it stays in scope. Four layers stack: Think — bb-methodology + redteam-mindset: the 5-phase non-linear workflow, critical-thinking framework, and red-team operator discipline. Hunt webapps — 48 hunt- skills curated from 681 disclosed HackerOne reports: per-class detection patterns, payloads, bypass tables, and chain templates. Hit the perimeter — enterprise platform chains (M365/Entra, Okta, vCenter, SSL-VPN appliances, SharePoint, cloud IAM): current 2024–2026 CVE chains + post-credential escalation. Ship it — triage-validation + reporting + evidence-hygiene: the 7-Question Gate, VRT-aware severity, OOS rebuttals, PII redaction, and red-team deliverables. All triggered automatically by topic — describe what you're testing in plain English and the relevant skill loads. No invocation by name.

Asked by Zain Malik · Aug 11, 2025