killvxk
- 807 skills
- 0 followers
- 13 hours ago last updated
- ▌ Performing Cloud Storage Forensic Acquisition · killvxk bundle通过收集 API 远程数据和端点设备本地同步客户端制品，对 Google Drive、OneDrive、Dropbox 和 Box 等云存储服务执行取证获取和分析。
- ▌ Performing Cryptographic Audit Of Application · killvxk bundle密码学审计（Cryptographic Audit）系统性地审查应用程序对密码学原语、协议和密钥管理的使用，以识别弱算法、不安全模式、硬编码密钥、熵不足和协议配置错误等漏洞。本技能涵盖构建自动化密码学审计工具，扫描 Python 和配置文件中的常见密码学弱点。
- ▌ Performing Endpoint Vulnerability Remediation · killvxk bundle通过基于风险评分对 CVE 进行优先级排序、部署补丁、应用配置变更和验证修复 来执行端点漏洞修复。适用于修复漏洞扫描发现的问题、响应严重 CVE 公告 或维护端点合规性与补丁管理 SLA 的场景。适用于涉及漏洞修复、CVE 补丁、 端点漏洞管理或安全修复部署的请求。
- ▌ Performing Ip Reputation Analysis With Shodan · killvxk bundle使用 Shodan API 分析 IP 地址声誉，识别开放端口、运行服务、已知漏洞和托管上下文，用于威胁情报富化和事件分类。
- ▌ Performing Network Traffic Analysis With Zeek · killvxk bundle部署 Zeek 网络安全监控器，捕获、解析和分析网络流量元数据，用于威胁检测、异常识别和取证调查。
- ▌ Performing Open Source Intelligence Gathering · killvxk bundle开源情报（OSINT）收集是红队演练的第一个主动阶段，操作员收集关于目标组织的公开可用信息，以识别攻击面、社会工程学目标、技术栈和凭据泄露情况。
- ▌ Performing Timeline Reconstruction With Plaso · killvxk bundle使用 Plaso（log2timeline）构建综合取证超级时间线，将文件系统、日志和制品中的事件关联整合为统一的时间顺序视图。
- ▌ Performing Vulnerability Scanning With Nessus · killvxk bundle使用 Tenable Nessus 执行认证和未认证漏洞扫描，识别网络基础设施、服务器和应用程序中的已知漏洞、 错误配置、默认凭据和缺失补丁。扫描器将发现与 CVE 数据库和 CVSS 评分关联，生成优先级修复指导。 适用于漏洞扫描、Nessus 评估、补丁合规检查或自动化漏洞检测等请求场景。
- ▌ Reverse Engineering Android Malware With Jadx · killvxk bundle使用 JADX 反编译器对恶意 Android APK 文件进行逆向工程，分析 Java/Kotlin 源代码，识别包括数据窃取、C2 通信、权限提升和覆盖攻击在内的恶意功能。检查 Manifest 权限、Receiver、Service 及原生库。适用于 Android 恶意软件分析、APK 逆向工程、移动端恶意软件调查或 Android 威胁分析等请求。
- ▌ Reverse Engineering Dotnet Malware With Dnspy · killvxk bundle使用 dnSpy 反编译器和调试器对 .NET 恶意软件进行逆向工程，分析 C#/VB.NET 源代码，识别混淆技术，提取配置信息，理解包括信息窃取器、远程访问木马（RAT）和加载器在内的恶意功能。适用于 .NET 恶意软件分析、C# 恶意软件反编译、托管代码逆向工程或 .NET 混淆分析等请求。
- ▌ Testing API For Mass Assignment Vulnerability · killvxk bundle测试 API 是否存在批量赋值（mass assignment，自动绑定）漏洞——攻击者可在 API 请求中附加额外参数，从而修改本不应被访问的对象属性。测试人员识别可写端点，向请求体注入未公开字段（role、isAdmin、price、balance），验证服务器是否在未过滤的情况下将这些字段绑定到数据模型。属于 OWASP API3:2023 Broken Object Property Level Authorization 范畴。适用于批量赋值测试、参数绑定滥用、自动绑定漏洞或 API 过度发布（over-posting）相关请求。
- ▌ Analyzing Malware Behavior With Cuckoo Sandbox · killvxk bundle在 Cuckoo Sandbox 中执行恶意软件样本以观察运行时行为，包括进程创建、文件系统修改、 注册表更改、网络通信和 API 调用。生成全面的行为报告，用于恶意软件分类和 IOC 提取。 适用于动态恶意软件分析、沙箱引爆、行为分析或自动化恶意软件执行相关请求。
- ▌ Analyzing Prefetch Files For Execution History · killvxk bundle解析 Windows Prefetch 文件，确定程序执行历史，包括运行次数、时间戳和引用文件，用于取证调查。
- ▌ Auditing Terraform Infrastructure For Security · killvxk bundle使用 Checkov、tfsec、Terrascan 和 OPA/Rego 策略，审计 Terraform 基础设施即代码中的安全错误配置， 在云部署前检测过度宽松的 IAM 策略、公开资源暴露、缺失加密和不安全的默认设置。
- ▌ Building Automated Malware Submission Pipeline · killvxk bundle构建自动化恶意软件提交和分析流水线，从终端和邮件网关收集可疑文件， 将其提交至沙箱环境和多引擎扫描器，并生成带有失陷指标（IOC）的研判结论以集成到 SIEM。 适用于 SOC 团队需要将恶意软件分析扩展到高容量告警分诊的场景，超越手动沙箱提交的限制。
- ▌ Building Identity Governance Lifecycle Process · killvxk bundle构建全面的身份治理（Identity Governance）与生命周期管理流程，包括入职-调岗-离职（Joiner-Mover-Leaver）自动化、角色挖掘、访问申请工作流、定期重新认证以及孤立账户修复，使用 IGA 平台实现。 适用于身份生命周期管理、JML 流程、基于角色的访问配置或身份治理程序设计等相关请求。
- ▌ Building Red Team C2 Infrastructure With Havoc · killvxk bundle部署和配置 Havoc C2 框架，包括团队服务器、HTTPS 监听器、重定向器和 Demon 代理，适用于授权红队（Red Team）行动。
- ▌ Conducting Man In The Middle Attack Simulation · killvxk bundle在授权环境中使用 Ettercap、mitmproxy 和 Bettercap 模拟中间人攻击（man-in-the-middle attacks）， 拦截、分析和修改网络流量，以测试加密执行、证书验证和检测能力。
- ▌ Conducting Mobile Application Penetration Test · killvxk bundle对 Android 和 iOS 应用执行移动应用渗透测试，使用 Frida、Objection 和 MobSF 识别不安全的数据存储、证书固定绕过、API 漏洞、二进制保护缺陷和运行时操控问题。
- ▌ Conducting Social Engineering Penetration Test · killvxk bundle设计并执行社会工程学渗透测试，包括钓鱼、语音钓鱼、短信钓鱼和物理借口活动，以衡量人员安全韧性并识别培训差距。
- ▌ Configuring Certificate Authority With Openssl · killvxk bundle证书颁发机构（CA）是 PKI 层次结构中的信任锚，负责颁发、签署和吊销数字证书。本技能涵盖使用 OpenSSL 构建两层 CA 层次结构（根 CA + 中间 CA）。
- ▌ Configuring Windows Defender Advanced Settings · killvxk bundle配置 Microsoft Defender for Endpoint（MDE）高级防护设置，包括攻击面缩减规则、受控文件夹访问、 网络保护和漏洞利用防护。适用于在默认 Defender 设置基础上加固 Windows 端点、部署企业级端点防护 或满足高级恶意软件防御合规要求的场景。
- ▌ Detecting Network Scanning With Ids Signatures · killvxk bundle使用 Suricata 和 Snort IDS 签名、基于阈值的检测规则和流量异常分析，检测网络侦察和端口扫描，识别 Nmap、Masscan 及自定义扫描活动。
- ▌ Detecting Qr Code Phishing With Email Security · killvxk bundle检测并防止二维码网络钓鱼（Quishing）攻击，该攻击通过在邮件图片中嵌入恶意 URL 来绕过传统邮件安全防护。
- ▌ Detecting Suspicious OAUTH Application Consent · killvxk bundle使用 Microsoft Graph API、审计日志和权限分析，检测 Azure AD / Microsoft Entra ID 中的高风险 OAuth 应用授权同意，识别非法同意授权攻击。
- ▌ Exploiting Broken Function Level Authorization · killvxk bundle测试 API 的函数级授权破坏（BFLA）漏洞，即普通用户可以通过直接调用来执行管理功能或访问特权 API 端点。测试人员识别管理员和特权端点，然后通过操纵 HTTP 方法、URL 路径和请求参数尝试使用普通用户凭据访问这些端点。对应 OWASP API5:2023 函数级授权破坏。适用于 BFLA 测试、管理员端点绕过、函数级访问控制测试或 API 权限提升等请求场景。
- ▌ Exploiting Smb Vulnerabilities With Metasploit · killvxk bundle在授权渗透测试中，使用 Metasploit Framework 识别并利用 SMB 协议漏洞， 演示企业网络中未打补丁的 Windows 系统、错误配置的共享和弱认证带来的风险。
- ▌ Hunting For Lolbins Execution In Endpoint Logs · killvxk bundle通过分析终端进程创建日志，识别合法 Windows 系统二进制文件（LOLBin）被用于恶意目的的可疑执行模式，狩猎攻击者的 LOLBin 滥用行为。
- ▌ Implementing API Threat Protection With Apigee · killvxk bundle使用Google Apigee策略实施API威胁防护，包括JSON/XML威胁防护、OAuth 2.0、SpikeArrest和高级API安全（Advanced API Security），防御OWASP Top 10攻击。
- ▌ Containing Active Breach · killvxk bundle执行遏制策略以阻止活跃对手的操作，并在已确认的安全攻陷期间防止横向移动。使用网络分段、端点隔离、凭据撤销和访问控制修改来实施短期和长期遏制。适用于攻陷遏制、横向移动防御、网络隔离、活跃威胁遏制或实时事件响应相关请求。
- ▌ Automating Ioc Enrichment · killvxk bundle使用 SOAR 平台、Python 流水线或 TIP Playbook 自动化对原始失陷指标（IOC）进行多源威胁情报上下文富化，以减少分析师分诊时间并标准化富化输出。适用于构建与 SIEM 告警、邮件提交流水线或威胁情报批量 IOC 处理集成的自动化富化工作流时使用。
- ▌ Detecting Wmi Persistence · killvxk bundle通过分析 Sysmon 事件 ID 19、20 和 21 中的恶意 EventFilter、EventConsumer 和 FilterToConsumerBinding 创建，检测 WMI 事件订阅持久化。
- ▌ Analyzing Cyber Kill Chain · killvxk bundle根据 Lockheed Martin Cyber Kill Chain 框架分析入侵活动，识别对手已完成的阶段、防御成功或失败的位置，以及哪些控制措施本可在更早阶段中断攻击。适用于事后分析、构建以预防为中心的安全控制，或将检测差距映射到杀伤链阶段时使用。
- ▌ Detecting Rootkit Activity · killvxk bundle通过识别隐藏进程、被钩挂的系统调用、被修改的内核结构、隐藏文件和隐蔽网络连接， 检测受攻陷系统上的 Rootkit 存在情况，使用内存取证、交叉视图检测和完整性校验技术。 适用于 Rootkit 检测、隐藏进程发现、内核完整性校验或系统调用钩挂分析等请求场景。
- ▌ Hunting For Dcsync Attacks · killvxk bundle通过分析 Windows 事件 ID 4662，检测非域控制器账户发起的未授权 DS-Replication-Get-Changes 请求，从而发现 DCSync 攻击。
- ▌ Monitoring Darkweb Sources · killvxk bundle监控暗网论坛、市场、粘贴站点和勒索软件泄露站点，寻找组织资产提及、泄露凭据、威胁攻击和威胁行为者通信，提供早期预警情报。当建立暗网监控覆盖、调查特定数据泄露声明，或用暗网背景丰富事件调查时使用。适用于涉及暗网 OSINT、泄露站点监控、凭据暴露、Recorded Future 暗网或 Tor 隐藏服务情报的请求。
- ▌
- ▌ Triaging Security Incident · killvxk bundle使用 NIST SP 800-61r3 和 SANS PICERL 框架对安全事件进行初始分类，确定严重性、范围和所需响应行动。 按类型对事件分类，根据业务影响分配优先级，并路由到相应的响应团队。适用于事件分类、 安全告警分类、严重性评估、事件优先级排序或初始事件分析等请求场景。
- ▌ Analyzing Linux Elf Malware · killvxk bundle分析恶意 Linux ELF（可执行和可链接格式）二进制文件，包括针对 Linux 服务器、容器和云基础设施的僵尸网络、 挖矿程序、勒索软件和 rootkit。涵盖 x86_64 和 ARM ELF 样本的静态分析、动态追踪和逆向工程。 适用于 Linux 恶意软件分析、ELF 二进制文件调查、Linux 服务器被攻陷评估或容器恶意软件分析相关请求。
- ▌ Executing Red Team Exercise · killvxk bundle执行全面的红队演练（Red Teaming），模拟真实世界对手针对组织的人员、流程和技术的攻击行动。红队以隐蔽性为主要目标，采用从初始侦察到目标完成的完整攻击生命周期，同时测试组织的检测和响应能力。与渗透测试不同，此技能聚焦于对手模拟而非漏洞识别。适用于红队演练、对手模拟、对手仿真或全范围攻击性安全评估等请求场景。
- ▌ Processing Stix Taxii Feeds · killvxk bundle处理通过 TAXII 2.1 服务器分发的 STIX 2.1 威胁情报包，将对象规范化为平台原生模式并路由到相应消费系统。适用于接入新的 TAXII 集合端点、自动化与 ISAC 的双向情报共享，或为格式错误的 STIX 包构建管道验证。当涉及 OASIS STIX、TAXII 服务器配置、MISP TAXII 或 Cortex XSOAR 情报源集成时激活。
- ▌ Auditing GCP Iam Permissions · killvxk bundle使用 gcloud CLI、Policy Analyzer 和 IAM Recommender，审计 Google Cloud Platform IAM 权限， 识别过度宽松的绑定、原始角色使用、服务账户密钥泛滥和跨项目访问风险。
- ▌ Correlating Threat Campaigns · killvxk bundle关联不同时间和组织的安全事件、IOC 和对手行为，识别统一的威胁活动，将其归因于共同的威胁行为者，并提取共享指标以改善检测效果。适用于多起事件出现重叠指标、需要跨组织分析行业范围内攻击活动，或构建活动级别情报产品时。适用于涉及活动分析、事件聚类、跨组织 IOC 关联或 MISP 关联引擎的请求。
- ▌ Implementing Cloud Waf Rules · killvxk bundle部署和调优 AWS WAF、Azure WAF 和 Cloudflare 上的 Web 应用防火墙规则，保护云托管应用免受 OWASP Top 10 攻击。详细介绍配置托管规则集、创建业务逻辑保护自定义规则、实施速率限制、部署机器人管理，以及通过规则调优和日志分析减少误报。
- ▌ Securing AWS Iam Permissions · killvxk bundle本技能引导从业者加固 AWS 身份和访问管理（Identity and Access Management）配置，在云账户中强制执行最小权限（Least Privilege）访问。涵盖 IAM 策略范围界定、权限边界（Permission Boundary）、Access Analyzer 集成和凭据轮换策略，以降低受损身份的影响范围。
- ▌ Securing Kubernetes On Cloud · killvxk bundle本技能涵盖通过实施 Pod 安全标准（Pod Security Standards）、网络策略、工作负载身份、RBAC 权限控制、镜像准入控制和运行时安全监控，对 EKS、AKS 和 GKE 上的托管 Kubernetes 集群进行加固。涉及云平台特定安全功能，包括 EKS 的 IRSA、GKE 的工作负载身份（Workload Identity）以及 AKS 的托管身份（Managed Identity）。
- ▌ Hunting For Webshell Activity · killvxk bundle通过分析 Web 目录中的文件创建行为、Web 服务器异常进程派生以及异常 HTTP 模式，狩猎面向互联网服务器上的 Webshell 部署。
- ▌ Implementing AWS Security Hub · killvxk bundle部署 AWS Security Hub 作为集中式云安全态势管理平台，聚合来自 GuardDuty、Inspector、Macie 和第三方工具的发现结果，启用 CIS AWS Foundations Benchmark 等安全标准，配置自动修复，并构建跨多账户 AWS 组织的合规跟踪执行仪表盘。
- ▌ Profiling Threat Actor Groups · killvxk bundle通过聚合 TTP 文档、历史活动数据、工具指纹和来自多个情报源的归因指标，为 APT 组织、犯罪组织和黑客活动组织开发全面的威胁行为者画像。适用于就行业特定威胁向管理层汇报、更新威胁模型假设，或针对特定对手优先部署防御控制措施。当涉及 MITRE ATT&CK 组织、Mandiant APT 画像、CrowdStrike 对手命名或行业特定威胁简报时激活。
- ▌ Securing Serverless Functions · killvxk bundle本技能涵盖 AWS Lambda、Azure Functions 和 Google Cloud Functions 等无服务器计算平台的安全加固，涉及最小权限 IAM 角色、依赖漏洞扫描、密钥管理集成、输入验证、函数 URL 认证以及运行时监控，以防范注入攻击、凭证窃取和供应链攻击。
- ▌ Testing Cors Misconfiguration · killvxk bundle在安全评估期间，识别和利用跨源资源共享（CORS）错误配置，这些配置允许未经授权的跨域数据访问和凭证窃取。
- ▌
- ▌ Detecting Shadow API Endpoints · killvxk bundle通过流量分析、代码扫描和API发现平台，发现和清点在已记录规范之外运行的影子API（Shadow API）端点。
- ▌ Hunting For Ntlm Relay Attacks · killvxk bundle通过分析 Windows 事件 4624 中的 NTLMSSP 认证、IP 与主机名不匹配、Responder 流量签名、SMB 签名状态及跨域可疑认证模式，检测 NTLM 中继攻击。
- ▌ Performing Ransomware Response · killvxk bundle执行结构化的勒索软件事件响应，从初始检测到遏制、取证分析、解密评估、恢复和事后加固。 处理勒索谈判考量、备份完整性验证和法规通知要求。适用于勒索软件响应、 勒索软件恢复、加密勒索软件、数据加密攻击、赎金支付决策或勒索软件遏制等请求场景。
- ▌ Performing Vlan Hopping Attack · killvxk bundle在授权环境中使用交换机欺骗（Switch Spoofing）和双标签（Double Tagging）技术模拟 VLAN 跳转攻击， 测试 VLAN 分段有效性，并验证交换机端口安全配置对二层旁路攻击的抵御能力。
- ▌ Testing Websocket API Security · killvxk bundle测试 WebSocket API 实现中的安全漏洞，包括 WebSocket 升级时缺少身份认证、跨站 WebSocket 劫持（Cross-Site WebSocket Hijacking，CSWSH）、通过 WebSocket 消息进行的注入攻击、输入校验不足、通过消息泛洪实施拒绝服务，以及通过 WebSocket 帧造成的信息泄露。测试人员使用 Burp Suite 拦截 WebSocket 握手和消息，构造恶意 payload，并测试 WebSocket 通道上的授权绕过。适用于 WebSocket 安全测试、WS 渗透测试、CSWSH 攻击或实时 API 安全评估相关请求。
- ▌ Analyzing Kubernetes Audit Logs · killvxk bundle解析 Kubernetes API server 审计日志（JSON lines 格式），检测 exec 进入 Pod、 Secret 访问、RBAC 修改、特权 Pod 创建以及匿名 API 访问行为。 从审计事件模式构建威胁检测规则。适用于调查 Kubernetes 集群入侵 或构建 k8s 专用 SIEM 检测规则。
- ▌ Analyzing Linux Kernel Rootkits · killvxk bundle使用 Volatility3 Linux 插件（check_syscall、lsmod、hidden_modules）分析 Linux 内存转储，结合 rkhunter 系统扫描和 /proc 与 /sys 差异分析，检测 hooked syscall、隐藏内核模块和被篡改的系统结构，以识别内核级 rootkit。
- ▌ Conducting API Security Testing · killvxk bundle对 REST、GraphQL 和 gRPC API 进行安全测试，识别认证、授权、速率限制、输入验证和业务逻辑中的漏洞。测试人员以 OWASP API 安全 Top 10 作为测试框架，结合 Burp Suite 拦截、Postman 集合和自定义脚本，在每个权限级别测试端点安全性。
- ▌ Configuring Hsm For Key Storage · killvxk bundle硬件安全模块（HSM）是防篡改的物理设备，在加固环境中保护密钥并执行加密操作。存储在 HSM 中的密钥永远不会离开设备边界，提供最高级别的密钥保护。
- ▌ Detecting Cryptomining In Cloud · killvxk bundle本 skill 教导安全团队如何检测和响应云环境中未授权的加密货币挖矿活动。内容涵盖通过计算使用异常、挖矿池网络流量模式、GuardDuty 加密货币发现以及 EC2、ECS、EKS 和 Azure Automation 工作负载上的运行时进程监控来识别挖矿指标。
- ▌ Detecting Golden Ticket Attacks · killvxk bundle通过分析 Windows 安全事件日志中的异常 TGT 使用模式，检测 Kerberos 黄金票据（Golden Ticket）攻击。从 EVTX 文件中解析事件 ID 4624、4672 和 4768，识别具有异常生命周期的票据、域 SID 不匹配，以及非管理员账户无对应组成员身份变更却获得管理员级别权限的特权提升序列。
- ▌ Detecting Golden Ticket Forgery · killvxk bundle通过在 Splunk 和 Elastic SIEM 中分析 Windows 事件 ID 4769，检测 RC4 加密降级（0x17）、异常票据生命周期和 krbtgt 账户异常，从而检测 Kerberos 黄金票据伪造
- ▌ Detecting Kerberoasting Attacks · killvxk bundle通过监控针对具有 SPN 的服务账户的异常 Kerberos TGS 请求，检测用于离线密码破解的 Kerberoasting 攻击。
- ▌ Detecting Pass The Hash Attacks · killvxk bundle通过分析 NTLM 认证模式、识别预期使用 Kerberos 时出现的 NTLM 类型 3 登录，并与凭据转储关联，检测哈希传递（Pass-the-Hash）攻击。
- ▌
- ▌ Detecting Shadow It Cloud Usage · killvxk bundle通过使用 Python pandas 分析代理日志、DNS 查询日志和网络流数据，进行流量模式分析和域名分类，检测未授权的 SaaS 和云服务使用（影子 IT）。
- ▌ Detecting Stuxnet Style Attacks · killvxk bundle本技能涵盖检测遵循Stuxnet攻击模式的复杂网络物理攻击——在修改PLC逻辑的同时欺骗传感器读数以向操作员隐藏操控行为。内容涉及PLC逻辑完整性监控、基于物理的过程异常检测、工程师工作站入侵指标、USB传播攻击向量，以及从IT到OT横向移动直至过程操控的多阶段攻击链检测。
- ▌ Exploiting Idor Vulnerabilities · killvxk bundle通过操纵 API 请求和 URL 中的对象标识符，识别并利用不安全的直接对象引用（IDOR）漏洞以访问未授权资源。
- ▌ Exploiting Ipv6 Vulnerabilities · killvxk bundle识别并利用 IPv6 特有漏洞，包括 SLAAC 欺骗、路由器通告泛洪和 IPv6 隧道， 在授权评估中测试双栈安全控制和 IPv6 感知网络防御。
- ▌ Implementing Saml Sso With Okta · killvxk bundle使用 Okta 作为身份提供商（IdP）实施 SAML 2.0 单点登录（SSO）。涵盖 SAML 认证流程的端到端配置、属性映射、证书管理，以及企业 SSO 部署的安全加固。
- ▌ Managing Intelligence Lifecycle · killvxk bundle管理端到端网络威胁情报生命周期，从规划和指导，经过收集、处理、分析、传播到反馈，确保情报产品满足相关方需求并持续改进。当建立或成熟化 CTI 计划、与业务相关方定义情报需求，或在情报消费者和生产者之间建立反馈循环时使用。适用于涉及 CTI 计划成熟度、情报需求、PIR 或情报生命周期管理的请求。
- ▌ Mapping Mitre Attack Techniques · killvxk bundle将观察到的对手行为、安全告警和检测规则映射到 MITRE ATT&CK 技术和子技术，以量化检测覆盖率并指导控制优先级。当构建基于 ATT&CK 的覆盖热图、为 SIEM 告警标记技术 ID、将安全控制与对手攻击手册对齐，或向高层报告威胁暴露时使用。适用于涉及 ATT&CK Navigator、Sigma 规则、MITRE D3FEND 或覆盖缺口分析的请求。
- ▌ Performing Kerberoasting Attack · killvxk bundleKerberoasting 是一种后渗透技术，通过为设置了服务主体名称（SPN）的账户请求 Kerberos TGS 票据来针对活动目录中的服务账户。这些票据用服务账户的 NTLM 哈希加密，允许在不产生登录失败事件的情况下进行离线暴力破解。
- ▌ Performing Purple Team Exercise · killvxk bundle执行紫队（Purple Team）演练，通过协调红队对抗模拟与蓝队检测验证， 使用 MITRE ATT&CK 映射的攻击场景、实时检测测试和协作差距修复。 适用于 SOC 团队需要验证检测能力、提升分析师技能并通过结构化攻防协作填补检测缺口时。
- ▌ Performing Ssl Stripping Attack · killvxk bundle在授权环境中使用 sslstrip、Bettercap 和 mitmproxy 模拟 SSL 剥离（SSL Stripping）攻击， 测试 HSTS 强制执行、证书验证以及保护用户免受加密连接降级攻击的 HTTPS 升级机制。
- ▌ Securing Helm Chart Deployments · killvxk bundle通过验证 Chart 完整性、扫描模板中的错误配置并在 Kubernetes 发布中强制执行安全上下文，保护 Helm Chart 部署安全。
- ▌ Testing For Xss Vulnerabilities · killvxk bundle通过向反射型、存储型和 DOM 型上下文注入 JavaScript 载荷，测试 Web 应用程序的跨站脚本（XSS）漏洞， 演示客户端代码执行、会话劫持和用户冒充。测试人员识别所有注入点和输出上下文，构造适合上下文的载荷， 并绕过净化和 CSP 保护。适用于 XSS 测试、跨站脚本评估、客户端注入测试或 JavaScript 注入漏洞测试等请求场景。
- ▌ Analyzing Linux System Artifacts · killvxk bundle检查 Linux 系统痕迹，包括身份验证日志、定时任务、Shell 历史和系统配置，以发现入侵或未授权活动的证据。
- ▌ Analyzing PDF Malware With Pdfid · killvxk bundle使用 PDFiD、pdf-parser 和 peepdf 分析恶意 PDF 文件，在不打开文档的情况下 识别嵌入的 JavaScript、shellcode、漏洞利用代码和可疑对象。 确定攻击向量并提取嵌入的载荷以进行进一步分析。 适用于 PDF 恶意软件分析、恶意文档分析、PDF 漏洞利用调查或可疑附件分类等请求。
- ▌ Analyzing Phishing Email Headers · killvxk bundle电子邮件头包含关键元数据，能够揭示邮件的真实来源、路由路径和身份验证状态。分析这些头字段是识别钓鱼（phishing）尝试、验证发件人真实性和收集威胁情报的基础技能。
- ▌ Auditing Kubernetes Cluster Rbac · killvxk bundle使用 kubectl、rbac-tool、KubiScan 和 Kubeaudit，审计 Kubernetes 集群 RBAC 配置， 识别过度宽松的角色、通配符权限、危险的 ClusterRoleBindings、服务账户滥用和权限提升路径。
- ▌ Deobfuscating Javascript Malware · killvxk bundle通过逆向编码层、eval 调用链、字符串操作和控制流混淆， 对 Web 攻击、钓鱼页面和投放器脚本中使用的恶意 JavaScript 代码进行去混淆， 以还原原始恶意逻辑。适用于 JavaScript 恶意软件分析、脚本去混淆、 Web 嗅探器分析或混淆投放器调查等请求。
- ▌ Detecting Azure Lateral Movement · killvxk bundle使用 Microsoft Graph API 审计日志、Azure Sentinel KQL 狩猎查询和登录异常关联，检测 Azure AD/Entra ID 环境中的横向移动，以识别权限提升、令牌窃取和跨租户转移。
- ▌ Executing Diamond Model Analysis · killvxk bundle将入侵分析菱形模型应用于将对手活动结构化为四个核心顶点（对手、能力、基础设施、受害者），并识别它们之间的关系，以引导调查和归因活动。适用于分析已完成的入侵事件、将不同事件关联到共同威胁行为者，或构建用于威胁情报传播的结构化分析产品时。适用于涉及菱形模型、入侵分析、活动聚类或对手归因方法论的请求。
- ▌ Exploiting Broken Link Hijacking · killvxk bundle通过识别对过期域名、已停用云资源和失效外部服务的引用，发现并利用断链劫持（Broken Link Hijacking）漏洞，攻击者可申领这些资源。
- ▌ Hunting For Shadow Copy Deletion · killvxk bundle通过监控 vssadmin、wmic 和 PowerShell 卷影副本命令，狩猎表明勒索软件准备或反取证活动的卷影副本删除行为。
- ▌ Implementing Zero Trust In Cloud · killvxk bundle本技能指导组织按照 NIST SP 800-207 和 Google BeyondCorp 原则在云环境中实施零信任（Zero Trust）架构，涵盖以身份为中心的访问控制、微分段（Micro-Segmentation）、持续验证、设备信任评估，以及部署身份感知代理（Identity-Aware Proxy）以消除 AWS、Azure 和 GCP 环境中的隐式网络信任。
- ▌ Performing Osint With Spiderfoot · killvxk bundle使用 SpiderFoot REST API 和 CLI 自动化 OSINT 收集，用于目标画像、基于模块的侦察，以及跨 200+ 数据源的结构化结果分析
- ▌ Performing Service Account Audit · killvxk bundle审计企业基础设施中的服务账户，识别孤立账户、过度特权账户和不合规账户。本技能涵盖在 Active Directory、云平台中发现服务账户，评估权限级别，识别缺失负责人，以及执行生命周期策略。
- ▌ Performing Soc Tabletop Exercise · killvxk bundle为 SOC 团队执行桌面推演（Tabletop Exercise），通过基于讨论的场景模拟安全事件， 在不影响生产系统的前提下测试事件响应流程、沟通工作流和压力下的决策能力。 适用于组织需要验证 IR 剧本、培训分析师或满足事件响应测试合规要求的场景。
- ▌ Reverse Engineering Rust Malware · killvxk bundle使用 IDA Pro 和 Ghidra 对 Rust 编译的恶意软件进行逆向工程，掌握处理非空终止字符串、提取 crate 依赖项和 Rust 特有控制流分析的专项技术。
- ▌ Analyzing API Gateway Access Logs · killvxk bundle解析 API 网关访问日志（AWS API Gateway、Kong、Nginx），检测 BOLA/IDOR 攻击、速率限制绕过、凭据扫描和注入尝试。使用 pandas 进行请求模式的统计分析和异常检测。适用于调查 API 滥用或构建 API 专项威胁检测规则。
- ▌
- ▌ Analyzing Heap Spray Exploitation · killvxk bundle使用 Volatility3 插件在内存转储中检测和分析堆喷射攻击，识别 NOP sled 模式、shellcode 落地区域以及进程虚拟地址空间中的可疑大型分配。
- ▌ Building Cloud Siem With Sentinel · killvxk bundle本 skill 涵盖将 Microsoft Sentinel 部署为云原生 SIEM 和 SOAR 平台以实现集中安全运营。 详细介绍为多云日志摄入配置数据连接器、编写 KQL 检测查询、使用 Logic Apps 构建自动化响应手册， 以及利用 Sentinel 数据湖对 AWS、Azure 和 GCP 安全遥测进行 PB 级威胁狩猎。
- ▌ Conducting Pass The Ticket Attack · killvxk bundle票据传递（Pass-the-Ticket，PtT）是一种横向移动技术，使用窃取的 Kerberos 票据（TGT 或 TGS）在不知道用户密码的情况下向服务进行认证。通过从已控制的主机内存中提取 Kerberos 票据，攻击者可以将这些票据注入自己的会话以模拟票据所有者。
- ▌
- ▌ Deploying Ransomware Canary Files · killvxk bundle使用 Python watchdog 库在关键目录中部署并监控勒索软件诱饵文件（Canary File），实现实时文件系统事件检测。 将策略性命名的诱饵文件（模拟高价值目标，如财务记录、凭据、数据库导出）放置在勒索软件通常优先枚举的 目录中，监控对诱饵文件的任何读取、修改、重命名或删除操作，并在检测到交互时通过 Email、Slack Webhook 或 Syslog 触发即时告警，在完整加密开始前提供早期预警。