经 AI Skill Hub 精选评估,黑盒Web渗透测试 获评「推荐使用」。这款Agent工作流在功能完整性、社区活跃度和易用性方面表现出色,AI 评分 7.5 分,适合有一定技术背景的用户使用。
自动化黑盒Web渗透测试框架,利用AI代理进行安全测试
黑盒Web渗透测试 是一套完整的 AI Agent 自动化工作流方案。通过可视化的节点编排,将复杂的多步骤任务拆解为清晰的自动化流程,实现全程无人值守的智能处理。支持与数百种外部服务和 API 无缝集成,适合构建数据处理管线、业务自动化和 AI 辅助决策系统。
自动化黑盒Web渗透测试框架,利用AI代理进行安全测试
黑盒Web渗透测试 是一套完整的 AI Agent 自动化工作流方案。通过可视化的节点编排,将复杂的多步骤任务拆解为清晰的自动化流程,实现全程无人值守的智能处理。支持与数百种外部服务和 API 无缝集成,适合构建数据处理管线、业务自动化和 AI 辅助决策系统。
# 方式一:pip 安装(推荐)
pip install pentest_skill
# 方式二:虚拟环境安装(推荐生产环境)
python -m venv .venv
source .venv/bin/activate # Windows: .venv\Scripts\activate
pip install pentest_skill
# 方式三:从源码安装(获取最新功能)
git clone https://github.com/wudidike/pentest_skill
cd pentest_skill
pip install -e .
# 验证安装
python -c "import pentest_skill; print('安装成功')"
# 命令行使用
pentest_skill --help
# 基本用法
pentest_skill input_file -o output_file
# Python 代码中调用
import pentest_skill
# 示例
result = pentest_skill.process("input")
print(result)
# pentest_skill 配置文件示例(config.yml) app: name: "pentest_skill" debug: false log_level: "INFO" # 运行时指定配置文件 pentest_skill --config config.yml # 或通过环境变量配置 export PENTEST_SKILL_API_KEY="your-key" export PENTEST_SKILL_OUTPUT_DIR="./output"
一套可被任何 AI Agent(Claude Code、Codex、Cursor、WorkBuddy 等)直接调用的黑盒 Web 渗透测试框架。通过标准化的 CLI 接口,支持从侦察到报告的完整渗透测试流程。
---
| Phase | 功能模块 | 描述 |
|---|---|---|
| 0 | 指纹识别 | 技术栈/WAF/安全头/Cookie安全检测 |
| 1 | 子域名枚举 | subfinder/crt.sh/DNS爆破+存活检测 |
| 2 | DNS解析 | CNAME链/IP归属/云厂商识别 |
| 3 | 端口扫描 | 开放端口/服务识别/Banner获取 |
| 4 | 深度渲染 | Playwright JS渲染/API发现/表单提取 |
| 4B | Session捕获 | 登录检测/Cookie/JWT/多角色 |
| 5 | 目录枚举 | 路径发现/响应聚类/SPA过滤 |
| 6 | JS分析 | 14维度分析/端点验证/密钥检测 |
| 7 | 漏洞扫描 | nuclei扫描+Python降级自动扫描 |
| 7A | 自动验证 | 误报排除/基线对比/漏洞确认 |
| 7B | 认证漏洞 | IDOR/未授权访问/越权/JWT分析 |
| 7C | 人工验证 | curl+Burp格式验证辅助 |
| 7D | SQLi验证 | sqlmap自动化注入验证 |
| 7E | 证据汇总 | Burp风格数据包+HTML报告 |
| 7F | 框架漏洞 | Spring/Django/ThinkPHP等特定漏洞 |
| 7G | 命令注入 | OS命令/管道/重定向注入检测 |
| 7H | SSRF检测 | 内网探测/云元数据/协议利用 |
| 7I | SSTI检测 | 模板引擎沙箱逃逸检测 |
| 7J | XXE检测 | 外部实体/OOB外带检测 |
| 7K | 反序列化 | Java/PHP/Python反序列化检测 |
| 7L | 文件上传 | 扩展名绕过/Webshell上传检测 |
| 7M | 参数Fuzz | XSS/SQLi/SSTI/SSRF多类型注入 |
| 7N | 业务逻辑 | 价格/数量/竞态/工作流绕过 |
| 8 | 报告生成 | HTML/Markdown专业渗透报告 |
---
pip install requests beautifulsoup4 pyyaml dnspython
pip install playwright && python -m playwright install # Phase 4 需要
python scripts/cli.py --target https://example.com --mode url
python scripts/cli.py --target example.com --mode domain
python scripts/cli.py --target https://example.com --phases phase0,phase4,phase5
python scripts/cli.py --target https://example.com --dry-run ```
```bash
cat config.yaml # 确认 report_language, proxy, wordlist 等参数 ```
```bash
所有 Phase 脚本遵循相同参数格式:
python scripts/phase_X.py --target URL --output-dir DIR [OPTIONS]
| 参数 | 必填 | 说明 |
|---|---|---|
--target | ✅ | 目标URL或域名 |
--output-dir | 否 | 输出目录(默认 ./recon-output) |
--config | 否 | 配置文件路径(默认自动查找) |
--proxy | 否 | HTTP代理(如 http://127.0.0.1:8080) |
--timeout | 否 | 超时秒数(默认15) |
--verbose | 否 | 详细输出 |
---
高效的自动化Web渗透测试框架,值得关注
该工具使用 NOASSERTION 协议,商用场景请仔细阅读协议条款,必要时咨询法律意见。
AI Skill Hub 为第三方内容聚合平台,本页面信息基于公开数据整理,不对工具功能和质量作任何法律背书。
建议在沙箱或测试环境中充分验证后,再部署至生产环境,并做好必要的安全评估。
📄 NOASSERTION — 请查阅原始协议条款了解具体使用限制。
AI Skill Hub 点评:黑盒Web渗透测试 的核心功能完整,质量良好。对于自动化工程师和运维人员来说,这是一个值得纳入个人工具库的选择。建议先在非生产环境试用,再逐步推广。
| 原始名称 | pentest_skill |
| 原始描述 | 开源AI工作流:Black-box web penetration testing automation framework for AI Agents。⭐13 · Python |
| Topics | pentestai-agentautomationsecurity |
| GitHub | https://github.com/wudidike/pentest_skill |
| License | NOASSERTION |
| 语言 | Python |
收录时间:2026-05-27 · 更新时间:2026-05-30 · License:NOASSERTION · AI Skill Hub 不对第三方内容的准确性作法律背书。
选择 Agent 类型,复制安装指令后粘贴到对应客户端