SKILLEMALL.ai
GitHub ↗ EN Войти

DB ctf-forensics

Предоставляет методы цифровой криминалистики и анализа сигналов для соревнований CTF. Используйте при анализе образов дисков, дампов памяти, журналов событий, сетевых захватов, транзакций с криптовалютой, стеганографии, анализа PDF, реестра Windows, Volatility, PCAP, образов Docker, дампов ядра, трассировок бокового канала питания, спектрограмм аудиосигналов DTMF, анализа временных интервалов пакетов, образов аудиодисков CD или восстановления удаленных файлов и учетных данных.

машинный переводПоказать оригиналСкрыть оригинал«Provides digital forensics and signal analysis techniques for CTF chal…»

Provides digital forensics and signal analysis techniques for CTF challenges. Use when analyzing disk images, memory dumps, event logs, network captures, cryptocurrency transactions, steganography, PDF analysis, Windows registry, Volatility, PCAP, Docker images, coredumps, side-channel power traces, DTMF audio spectrograms, packet timing analysis, CD audio disc images, or recovering deleted files and credentials.

Не рекомендуетсянизкая оценка D
ClawHub Agent Skills автор: gandli v1.0.0 MIT-0 15 файлов тело ≈ 8 439 токенов Открыть источникclawhub.ai↗ проанализирован 3 дн назад

Предоставляет методы цифровой криминалистики и анализа сигналов для соревнований CTF.

Как процесс B 67/100 · Почти готов — слабые места: результат и критерий готовности, когда включается, стоимость исполнения

АнализаторDockerИнфраструктуратип и темы размечены автоматически по тексту скилла
Запускается в: OpenClaw Claude / Claude Code ChatGPT / Codex Gemini CLI Cursor GitHub Copilot / VS Code Qwen Code Kimi Code CLI Z.ai (GLM) DeepSeek (Deep Code) Mistral Vibe LangChain (deepagents) Goose OpenCode
JSON
Технический рейтинг
D
59/100
безопасность, качество, тесты
Безопасность 60%
48
Качество 40%
75
Прогон на моделях
не было
Процессный рейтинг
B
67/100
Почти готов
Результат и критерий готовности вес 14
0
Когда включается вес 12
20
Повторный запуск вес 4
30
три самых слабых из десяти параметров · все десять

Чем это грозит

Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.

Утечка данных средняя серьёзность

Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.

Если установить

Инструкции или скрипты отправляют данные наружу: переменные окружения, ключи, содержимое файлов, историю чата. Вы можете не заметить этого в диалоге, потому что агент выполнит отправку как «часть задачи».

Автору

Если отправка не нужна для задачи, уберите её: каталоги помечают такие скиллы как подозрительные и снимают с выдачи. Если нужна, назовите адрес явно, объясните, что именно уходит, и дайте пользователю выключатель.

Широкие права средняя серьёзность

Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.

Если установить

Скилл просит больше прав, чем нужно для задачи: широкий доступ к инструментам, секретные переменные окружения, бинарные файлы. Каждое лишнее право расширяет ущерб при ошибке или взломе.

Автору

Сузьте allowed-tools и список переменных до минимума, замените бинарники на исходники или скрипты, которые можно прочитать.

Как улучшить

  1. Тело SKILL.md длиннее 5 000 токенов: вынесите справочные детали в references/ и подключайте по необходимости.
Для прогона на моделях — необязательно
  • Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
  • spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.

Находки guard · 28

✓ Критических и высоких находок нет

Средние и низкие: 28
  • средняя Утечка данных intent-browser-credential-store linux-forensics.md:90
    Доступ к хранилищу паролей / cookies браузера (документация security-скилла)
    **Chrome/Edge Login Data decryption (requires master_key.txt):**
    security-скилл
  • средняя Утечка данных intent-browser-credential-store linux-forensics.md:330
    Доступ к хранилищу паролей / cookies браузера (документация security-скилла)
    # Cookies (encrypted on modern Chrome — need DPAPI/keychain key)
    security-скилл
  • средняя Утечка данных intent-browser-credential-store linux-forensics.md:357
    Доступ к хранилищу паролей / cookies браузера (документация security-скилла)
    # Saved passwords (requires key4.db + logins.json)
    security-скилл
  • средняя Утечка данных intent-browser-credential-store linux-forensics.md:372
    Доступ к хранилищу паролей / cookies браузера (документация security-скилла)
    **Key insight:** Browser artifacts are SQLite databases with non-standard timestamp formats. Chrome uses WebKit epoch (microseconds since 1601-01-01), Firefox uses Unix epoch in microseconds. Always c
    security-скилл
  • средняя Широкие права meta-broad-allowed-tools SKILL.md:1
    Заранее разрешены широкие инструменты: Bash
    allowed-tools: Bash Read Write Edit Glob Grep Task WebFetch WebSearch
  • средняя Утечка данных intent-browser-credential-store SKILL.md:266
    Доступ к хранилищу паролей / cookies браузера (документация security-скилла)
    - **Chrome/Edge:** Decrypt `Login Data` SQLite with AES-GCM using DPAPI master key
    security-скилл
  • низкая Рискованное назначение intent-offensive-security disk-advanced.md:11
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [Linux Ransomware Memory-Key Recovery (MetaCTF 2026)](#linu…026)
  • низкая Рискованное назначение intent-offensive-security disk-advanced.md:152
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    ## Linux Ransomware Memory-Key Recovery (MetaCTF 2026)
  • низкая Рискованное назначение intent-offensive-security disk-advanced.md:154
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
    **Pattern:** Linux memory dump + encrypted `.veg` files + `enc_key.bin`; ransomware uses hybrid crypto (AES for files, RSA-wrapped key). Volatility may fail process enumeration due symbol/KASLR (Kerne
    детектор
  • низкая Рискованное назначение intent-offensive-security disk-advanced.md:164
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    2. **Reverse ransomware binary quickly to identify mode/layout.**
  • низкая Рискованное назначение intent-offensive-security disk-advanced.md:166
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    strings -a ransomware.elf | grep -E "enc_key|EVP_aes|PUBLIC KEY|.veg"
  • низкая Рискованное назначение intent-offensive-security disk-and-memory.md:10
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [PowerShell Ransomware Analysis](#powershell-ransomware-analysis)
  • низкая Рискованное назначение intent-offensive-security disk-and-memory.md:95
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    **Ransomware key recovery via MFT:**
  • низкая Рискованное назначение intent-offensive-security disk-and-memory.md:145
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    # Look for: credential access, lateral movement, data staging
  • низкая Рискованное назначение intent-offensive-security disk-and-memory.md:192
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    ## PowerShell Ransomware Analysis
  • низкая Рискованное назначение intent-offensive-security disk-and-memory.md:387
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [disk-advanced.md](disk-advanced.md) - Advanced disk and memory techniques (deleted partition recovery, ZFS forensics, GPT GUID encoding, VMDK sparse parsing, memory dump string carving, ransomware
  • низкая Рискованное назначение intent-offensive-security disk-recovery.md:559
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [disk-and-memory.md](disk-and-memory.md) - Core disk/memory forensics (Volatility, disk image analysis, VM/OVA/VMDK, VMware snapshots, coredumps, KAPE triage, PowerShell ransomware, Android/Docker/c
  • низкая Рискованное назначение intent-offensive-security disk-recovery.md:560
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [disk-advanced.md](disk-advanced.md) - Advanced disk and memory techniques (deleted partitions, ZFS forensics, GPT GUID encoding, VMDK sparse parsing, memory dump string carving, ransomware key reco
  • низкая Рискованное назначение intent-offensive-security linux-forensics.md:242
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    **Pattern (Moby Dock):** KeePass database (`.kdbx`) found on compromised system contains SSH keys or credentials for lateral movement.
  • низкая Рискованное назначение intent-offensive-security network.md:214
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    **Reverse shell indicators:**
  • низкая Рискованное назначение intent-offensive-security signals-and-hardware.md:13
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [Linux input_event Keylogger Dump Parsing (Pwn2Win 2016)](#linu…016)
  • низкая Рискованное назначение intent-offensive-security signals-and-hardware.md:435
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    ## Linux input_event Keylogger Dump Parsing (Pwn2Win 2016)
  • низкая Рискованное назначение intent-offensive-security signals-and-hardware.md:450
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
    **Detection:** Binary file size divisible by 24. Challenge mentions keylogger, keyboard, or input device.
    детектор
  • низкая Рискованное назначение intent-offensive-security SKILL.md:45
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [disk-and-memory.md](disk-and-memory.md) - Core disk/memory forensics (Volatility, disk mounting/carving, VM/OVA/VMDK, VMware snapshots, coredumps, Windows KAPE triage, PowerShell ransomware, Androi
  • низкая Рискованное назначение intent-offensive-security SKILL.md:46
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [disk-advanced.md](disk-advanced.md) - Advanced disk and memory techniques (deleted partitions, ZFS forensics, GPT GUID encoding, VMDK sparse parsing, memory dump string carving, ransomware key reco
  • низкая Рискованное назначение intent-offensive-security SKILL.md:53
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - [signals-and-hardware.md](signals-and-hardware.md) - Hardware signal decoding with decode code (VGA frame parsing, HDMI TMDS symbol decode, DisplayPort 8b/10b + LFSR descrambler), Voyager Golden Rec
  • низкая Рискованное назначение intent-offensive-security SKILL.md:200
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    See [disk-and-memory.md](disk-and-memory.md) for full Volatility plugin reference, VM forensics, and VMware snapshots. See [disk-advanced.md](disk-advanced.md) for deleted partition recovery, ZFS fore
  • низкая Рискованное назначение intent-offensive-security SKILL.md:276
    Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
    - **PowerShell ransomware:** Extract scripts from minidump, find AES key, decrypt SMTP attachment. See [disk-and-memory.md](disk-and-memory.md).

Просканировано файлов: 15. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.

По спецификации Agent Skills

  • предупреждение body-long тело SKILL.md ≈ 8439 токенов (рекомендуется < 5000); вынесите детали в references/

Процессный рейтинг: все десять параметров 67/100

  • 0Результат и критерий готовности. Не сказано, что считать результатом
  • 20Когда включается. Не сказано, при каком запросе скилл включается
  • 30Повторный запуск. Изменяющих операций: 22, без проверки текущего состояния
  • 40Стоимость исполнения. Тело инструкции 8439 токенов: вытесняет саму задачу из окна
  • 70Входы и предусловия. Входные данные и предусловия перечислены
  • 100Инструменты и файлы. Инструменты объявлены во frontmatter
  • 100Шаги. Шагов: 141
  • 100Ошибки и развилки. Развилок: 6, есть раздел про ошибки
  • 100Согласованность. Имя и обязательные поля на месте
  • 100Отчётность по ходу. Скилл сообщает о ходе работы
  • low Разделов верхнего уровня: 22. Похоже на несколько доменов в одном скилле

Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.

Сигналы качества

  • +5В description нет примеров фраз, по которым скилл должен срабатывать
  • +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
  • +3Формат ответа не описан: модель каждый раз решает сама
  • +2Инструкции на одном языке
  • +3Длина description 416 символов: достаточно сигнала, не съедает бюджет
  • +4Структура: 23 заголовков
  • +3Пошаговые инструкции: 141 пунктов
  • +4Есть примеры (14 блоков кода)
  • +1Лицензия указана

База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 75.

Внешние проверки

ClawHub: suspicious
This CTF forensics reference is mostly coherent, but it includes under-scoped instructions for credential extraction, live probing, forged DNSSEC responses, and evidence-modifying commands.
LLM: suspicious (high) · VirusTotal: · 29 мая 2026 г.