thick-client
Проверить безопасность настольного клиента
Что получите
Карта границ доверия и результаты проверки локальной и сетевой части приложения.
Что передать
Приложение, источник установочного пакета, тестовые учётные записи и разрешённый объём проверки.
Проверен состав файлов. Запуск не тестировался. Что проверено
Оценки пользователей
Как использовать
Помогает специалистам проводить разрешённую проверку настольных приложений с собственной клиентской логикой. Охватывает локальное хранение данных, взаимодействие процессов, сетевой обмен, обновления и границы доверия.
- Зафиксируйте объект и границы проверки, включая происхождение установщика и тестовые аккаунты.
- Опишите границы доверия, проверьте локальные данные и взаимодействие процессов.
- Исследуйте сетевой обмен, канал обновлений и проверку подписи; при необходимости уточните поведение через анализ кода.
Условия работы
- Проверка должна быть авторизована.
- Инструкция предназначена для настольных клиентов Windows, macOS и Linux, включая Electron, Qt и .NET; чисто веб-приложения вне её области.
Пример запроса после установки
Проведи разрешённую проверку нашего настольного клиента: изучи хранение учётных данных, обмен между процессами, сетевые обращения и проверку подписи при обновлении приложения.
Пример составлен по инструкции автора; результат запуска не проверялся.
Основание: инструкция закреплённой версииДля установки
Node.js, npm и Git для команды выше. Подключения и инструменты для работы скилла настраиваются отдельно.
Совместимые агенты
Совместимость указана для инструкций. Запуск в каждом приложении не тестировался; для веб-чата способ подключения может отличаться.
Файлы скилла
GitHubЧитать инструкцию SKILL.md
Исходный текст закреплённой версии.
--- name: thick-client description: Use for authorized security testing of desktop thick clients including local storage, update channels, IPC, traffic, and client-side trust boundaries. --- # Thick Client Security Testing ## ACTION REQUIRED（读完后立刻执行） 1. `NOW`: 读取 `../field-journal/precedent-pentest.md` 2. `NOW`: 确认目标是 **桌面厚客户端**（Win/macOS/Linux GUI 或服务伴生），非纯 Web 3. `NOW`: case-init；安装包来源与测试账号写入 scope 4. `NEXT`: 工具（Burp 上游代理、进程监控、逆向工具） 5. `ACT`: 信任边界图 → 本地面 → 网络面 → 更新/供应链 ## 适用场景 - C/S 架构客户端、Electron/Qt/.NET WinForms/WPF - 本地配置/凭证存储、IPC、命名管道 - 客户端强制校验绕过研究（授权） - 自动更新通道与代码签名验证 ## 工作流 ### 1. 建边界 ```text □ 进程树、子进程、驱动/服务 □ 监听端口与出站域名 □ 本地敏感路径：%APPDATA%、Keychain、注册表 ``` ### 2. 本地攻击面 ```text □ 明文配置、硬编码密钥、调试开关 □ DLL 劫持/搜索顺序（Windows） □ 数据库文件（SQLite）权限与加密 □ IPC：谁可连接？是否鉴权？ ``` ### 3. 网络面 ```text □ 系统代理 / 应用自定义 TLS □ 证书钉扎 → 联合 mobile/js 方法学或 Frida □ API 越权：客户端隐藏的管理接口 ``` ### 4. 逆向验证 ```text □ .NET → dotnet-reverse；原生 → ida/ghidra；Electron → asar + js-reverse ``` ## 工具链 | 工具 | 用途 | |------|------| | Process Monitor / API Monitor | 行为 | | Burp / mitmproxy | 流量 | | dnSpy / IDA / Ghidra | 逆向 | | Sysinternals | Windows 面 | | asar / nexe 检测 | Electron | ## 参考 - `references/thick-client-checklist.md` - `../dotnet-reverse/` `../ida-reverse/` `../js-reverse/` `../api-security/` ## 路由上下文 **上游**: MASTER R32 **下游**: 纯协议 `protocol-reverse`；供应链更新 `supply-chain-security` ## 任务完成自检 - [ ] 是否画出信任边界？ - [ ] 本地+网络面是否都覆盖？ - [ ] Checklist？
Проверка и особенности
Автоматическая проверка источника и файлов
Автоматически сверены публичный репозиторий, лицензия, YAML-заголовок SKILL.md, состав папки и Git-хеш каждого файла. Исполняемые файлы и срабатывания статических правил исключены из этой партии. Ручной аудит всех инструкций и проверка работы не проводились; эта проверка не гарантирует безопасность. Команда закреплена на проверенном коммите.
Интерес к репозиторию оцениваем по звёздам и форкам GitHub. Это показатели всего репозитория, а не числа установок отдельного скилла.
- Проверка состава
- 16.09.2026
- Проверенная версия
7e2097fd90d2- Файлы с кодом
- Не указаны в данных проверки
- Изменения на GitHub
- Нужна повторная проверкаПоследняя проверка: 11.10.2026
Репозиторий и лицензия
Это показатели всего репозитория, а не установки скилла. Снимок требует обновления.
- Последняя активность GitHub
- 22.09.2026
- Лицензия
- MIT
- Добавлен в каталог
- 16.09.2026
Полный текст лицензии
MIT License Copyright (c) 2026 zhaoxuya520 Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
Ещё в этой категории
Все в категорииОбсуждение
ПравилаПользовались этим скиллом? Делитесь опытом без регистрации. Все комментарии проверяет модератор.