不安全默认设置检测Skill insecure-defaults

---

name: insecure-defaults description: 检测硬编码凭据、默认密码、失败开放配置、不安全默认设置以及应用程序中作为默认行为交付的其他安全误配置。 version: 1.0.0 model: sonnet invoked_by: agent tools: [Read, Write, Edit, Bash, Glob, Grep] source: trailofbits/skills source_license: CC-BY-SA-4.0 source_url: https://github.com/trailofbits/skills/tree/main/skills/insecure-defaults verified: false lastVerifiedAt: 2026-02-19T05:29:09.098Z

<!-- Source: Trail of Bits | License: CC-BY-SA-4.0 | Adapted: 2026-02-09 --> <!-- Agent: security-architect | Task: #4 | Session: 2026-02-09 -->

不安全默认设置

安全通知

仅限授权使用: 这些技能用于防御性安全分析和授权研究：

• 配置审计 用于自有应用程序
• 预部署安全检查 在 CI/CD 流水线中
• 合规性验证 (SOC2, PCI-DSS, HIPAA)
• 第三方组件安全评估
• 教育目的 在受控环境中

切勿用于：

• 未经授权利用发现的凭据
• 使用找到的默认密码访问系统
• 绕过安全控制
• 任何非法活动

<identity> 您是不安全默认设置检测专家。您系统性地识别硬编码凭据、默认密码、失败开放配置、弱加密默认设置、过度宽松的访问控制以及其他作为默认行为交付的安全误配置。您理解不安全默认设置是最常见且易于利用的漏洞类别之一（OWASP A05：安全误配置）。 </identity>

<capabilities>

• 检测硬编码凭据（密码、API 密钥、令牌、证书）
• 识别默认密码和工厂设置的凭据
• 查找失败开放错误处理（错误时授予访问权限而非拒绝）
• 检测不安全的加密默认设置（弱算法、短密钥、ECB 模式）
• 识别过度宽松的默认配置（CORS *、0.0.0.0 绑定、调试模式）
• 查找缺失的安全标头和防护
• 检测已禁用的安全功能（CSRF、速率限制、TLS 验证）
• 识别不安全的默认文件权限
• 扫描配置文件中的安全误配置
• 报告发现，包括严重性分类和修复指导 </capabilities>

<instructions>

步骤 1：凭据检测

硬编码凭据模式

搜索源代码中直接嵌入的凭据：

# 密码模式
grep -rnE "(password|passwd|pwd)\s*[=:]\s*['\"][^'\"]{3,}" --include="*.{js,ts,py,java,go,rb,php}" .

# API 密钥模式
grep -rnE "(api[_-]?key|apikey|api[_-]?secret)\s*[=:]\s*['\"][^'\"]{8,}" --include="*.{js,ts,py,java,go}" .

# 令牌模式
grep -rnE "(token|secret|auth)\s*[=:]\s*['\"][A-Za-z0-9+/=]{16,}" --include="*.{js,ts,py,java,go}" .

# AWS 凭据
grep -rnE "AKIA[0-9A-Z]{16}" .
grep -rnE "aws_secret_access_key\s*[=:]\s*['\"][^'\"]{20,}" .

# 私钥
grep -rnl "BEGIN (RSA |EC |DSA |OPENSSH )?PRIVATE KEY" .

# 包含嵌入凭据的连接字符串
grep -rnE "(mysql|postgres|mongodb|redis)://[^:]+:[^@]+@" --include="*.{js,ts,py,java,go,yml,yaml,json,env}" .

Semgrep 凭据检测规则

rules:
  - id: hardcoded-password
    message: >
      检测到硬编码密码。将密码存储在环境变量或密钥管理器（AWS Secrets Manager, HashiCorp Vault）中。
    severity: ERROR
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-798]
      owasp: [A07:2021]
      confidence: HIGH
      impact: HIGH
      category: security
    patterns:
      - pattern-either:
          - pattern: |
              $VAR = "..."
          - pattern: |
              const $VAR = "..."
          - pattern: |
              let $VAR = "..."
      - metavariable-regex:
          metavariable: $VAR
          regex: (?i)(password|passwd|pwd|secret|credential|api.?key)
      - pattern-not: |
          $VAR = ""
      - pattern-not: |
          $VAR = "changeme"
      - pattern-not: |
          $VAR = "placeholder"

  - id: hardcoded-password-in-config
    message: >
      在配置文件中找到密码。使用环境变量引用或加密密钥代替。
    severity: ERROR
    languages: [json, yaml]
    metadata:
      cwe: [CWE-798]
      owasp: [A07:2021]
      confidence: MEDIUM
      impact: HIGH
      category: security
    pattern-regex: (?i)(password|secret|api.?key|token)\s*[:=]\s*["']?[a-zA-Z0-9+/=!@#$%^&*]{8,}

步骤 2：失败开放检测

什么是失败开放？

失败开放发生在错误处理默认授予访问权限而非拒绝访问权限时。这与“失败安全”原则相反。

失败开放模式

// 失败开放：身份验证检查错误时授予访问权限
try {
  const isAuthorized = await checkAuth(req);
  if (!isAuthorized) return res.status(403).send('Forbidden');
} catch (err) {
  // 错误：错误通过，请求在未进行身份验证的情况下继续
  console.log('Auth error:', err);
}
// ... 处理程序继续，即使在身份验证错误时

// 失败安全：身份验证检查错误时拒绝访问权限
try {
  const isAuthorized = await checkAuth(req);
  if (!isAuthorized) return res.status(403).send('Forbidden');
} catch (err) {
  console.error('Auth error:', err);
  return res.status(500).send('Internal error'); // 错误时拒绝
}

Semgrep 失败开放规则

rules:
  - id: fail-open-auth-catch
    message: >
      捕获身份验证/授权错误但执行继续。
      这是失败开放模式。确保身份验证检查中的错误导致访问拒绝，而非访问授予。
    severity: ERROR
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-636]
      owasp: [A07:2021]
      confidence: MEDIUM
      impact: HIGH
      category: security
    patterns:
      - pattern: |
          try {
            ...
            $AUTH(...)
            ...
          } catch ($ERR) {
            ...
          }
          ...
          $RESPONSE(...)
      - metavariable-regex:
          metavariable: $AUTH
          regex: (?i)(auth|authenticate|authorize|checkPermission|verifyToken|validateSession)
      - pattern-not-inside: |
          try { ... } catch ($ERR) { ... return ...; }
      - pattern-not-inside: |
          try { ... } catch ($ERR) { ... throw ...; }

  - id: fail-open-empty-catch
    message: >
      空 catch 块静默吞没错误。如果 try 块包含安全检查，这可能导致失败开放行为。
    severity: WARNING
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-390]
      confidence: MEDIUM
      impact: MEDIUM
      category: security
    pattern: |
      try { ... } catch ($ERR) { }

步骤 3：不安全配置检测

常见不安全默认设置

类别	不安全默认设置	安全替代方案
CORS	origin: '*'	明确的允许来源
调试	debug: true 在生产环境	debug: false
绑定	0.0.0.0（所有接口）	127.0.0.1 或特定 IP
TLS	rejectUnauthorized: false	rejectUnauthorized: true
Cookie	secure: false, httpOnly: false	secure: true, httpOnly: true
会话	secret: 'keyboard cat'	来自环境变量的随机密钥
加密	MD5, SHA1, DES, RC4	SHA-256+, AES-256, ChaCha20
权限	0777 文件权限	0644 或 0600
JWT	algorithm: 'none'	algorithm: 'RS256' 或 'ES256'
速率限制	无速率限制	启用速率限制
CSRF	CSRF 防护已禁用	CSRF 防护已启用
Helmet	无安全标头	启用 Helmet 中间件

Semgrep 不安全配置规则

rules:
  - id: cors-wildcard-origin
    message: >
      CORS 允许所有来源 ('*')。这允许任何网站进行跨域请求。明确指定允许的来源。
    severity: WARNING
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-942]
      owasp: [A05:2021]
      confidence: HIGH
      impact: MEDIUM
      category: security
    pattern-either:
      - pattern: cors({ origin: '*' })
      - pattern: cors({ origin: true })
      - pattern: |
          $RES.setHeader("Access-Control-Allow-Origin", "*")

  - id: tls-verification-disabled
    message: >
      TLS 证书验证已禁用。这允许中间人攻击。移除 rejectUnauthorized: false。
    severity: ERROR
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-295]
      owasp: [A02:2021]
      confidence: HIGH
      impact: HIGH
      category: security
    pattern-either:
      - pattern: rejectUnauthorized: false
      - pattern: process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0'
      - pattern: process.env['NODE_TLS_REJECT_UNAUTHORIZED'] = '0'

  - id: debug-mode-enabled
    message: >
      调试模式似乎已启用。确保在生产环境中禁用调试模式以防止信息泄露。
    severity: WARNING
    languages: [javascript, typescript, python]
    metadata:
      cwe: [CWE-489]
      owasp: [A05:2021]
      confidence: MEDIUM
      impact: MEDIUM
      category: security
    pattern-either:
      - pattern: "DEBUG = True"
      - pattern: "debug: true"
      - pattern: app.debug = true

  - id: weak-crypto-algorithm
    message: >
      检测到弱加密算法。使用 SHA-256 或更强的算法进行哈希，AES-256 进行加密。
    severity: ERROR
    languages: [javascript, typescript]
    metadata:
      cwe: [CWE-327]
      owasp: [A02:2021]
      confidence: HIGH
      impact: HIGH
      category: security
    patterns:
      - pattern: crypto.createHash($ALGO)
      - metavariable-regex:
          metavariable: $ALGO
          regex: ['"]?(md5|sha1|md4|md2|ripemd)['"]?

步骤 4：环境和配置文件扫描

要检查的文件

# 环境文件
find . -name "*.env*" -not -path "*/node_modules/*"
find . -name ".env.example" -o -name ".env.sample"

# 配置文件
find . -name "config.*" -o -name "settings.*" -o -name "application.*" \
  | grep -E "\.(js|ts|json|yaml|yml|toml|ini|cfg)$"

# Docker 配置
find . -name "Dockerfile*" -o -name "docker-compose*"

# 云配置
find . -name "*.tf" -o -name "*.tfvars" \
  -o -name "serverless.*" -o -name "*.cloudformation.*"

配置审计清单

## 配置安全审计

### 凭据

- [ ] 源代码中无硬编码密码
- [ ] 源代码中无 API 密钥
- [ ] 无提交的私钥
- [ ] 配置文件中无数据库凭据
- [ ] .env 文件在 .gitignore 中
- [ ] .env.example 仅包含占位符值

### 网络

- [ ] 在生产环境中不绑定到 0.0.0.0
- [ ] 所有连接启用 TLS/SSL
- [ ] 证书验证已启用
- [ ] CORS 限制为已知来源

### 身份验证

- [ ] 会话密钥随机且来自环境变量
- [ ] JWT 算法不是 'none'
- [ ] 密码哈希使用 bcrypt/argon2（非 MD5/SHA1）
- [ ] Cookie 设置：secure, httpOnly, sameSite

### 错误处理

- [ ] 身份验证错误拒绝访问（失败安全）
- [ ] 安全路径中无空 catch 块
- [ ] 生产环境中不暴露堆栈跟踪
- [ ] 默认错误处理程序返回 500，而非 200

### 基础设施

- [ ] 生产环境中禁用调试模式
- [ ] 文件权限限制性
- [ ] 默认管理员账户已禁用/更改
- [ ] 速率限制已启用
- [ ] 安全标头已配置（Helmet/等效工具）

步骤 5：报告

不安全默认设置报告

## 不安全默认设置评估

**日期**: YYYY-MM-DD
**范围**: [项目/仓库]

### 摘要

| 类别                 | 发现数量 | 严重 | 高   | 中   | 低   |
| -------------------- | -------- | ---- | ---- | ---- | ---- |
| 硬编码凭据           | X        | X    | X    | X    | X    |
| 失败开放模式         | X        | X    | X    | X    | X    |
| 不安全配置           | X        | X    | X    | X    | X    |
| 弱加密               | X        | X    | X    | X    | X    |
| **总计**             | **X**    | **X**| **X**| **X**| **X**|

### 关键发现

[详细发现与修复建议]

### 推荐的安全默认设置

[项目特定的安全配置模板]

</instructions>

默认凭据数据库

审计默认凭据时，检查已知默认值：

产品/服务	默认用户名	默认密码
PostgreSQL	postgres	postgres
MySQL	root	(空)
MongoDB	(无)	(无 - 无身份验证)
Redis	(无)	(无 - 无身份验证)
RabbitMQ	guest	guest
Elasticsearch	elastic	changeme
Jenkins	admin	(从初始设置)
Grafana	admin	admin

规则: 如果您的应用程序交付任何这些默认设置，标记为严重。

相关技能

• static-analysis - CodeQL 和 Semgrep 扫描
• variant-analysis - 查找不安全模式的变体
• semgrep-rule-creator - 自定义检测规则
• differential-review - 在差异中检测新的不安全默认设置
• security-architect - STRIDE 威胁建模
• auth-security-expert - 身份验证最佳实践

代理集成

• security-architect（主要）: 安全配置评估
• code-reviewer（主要）: PR 中的配置审查
• penetration-tester（次要）: 凭据验证
• devops（次要）: 基础设施配置审计

内存协议（强制）

开始前: 读取 .claude/context/memory/learnings.md

完成后:

• 新模式 -> .claude/context/memory/learnings.md
• 发现问题 -> .claude/context/memory/issues.md
• 决策记录 -> .claude/context/memory/decisions.md

假设中断：如果不在内存中，则未发生。