security-and-hardening

security-and-hardening Skill 多维度简评

综合评分:9.1 / 10 ⭐⭐⭐⭐⭐ 类别:安全审计 / 攻防 仓库:trailofbits/skills 维护者:Trail of Bits—— 应用安全权威机构 引用:tencent 极道 · SKILL.md 官方 · github.com/trailofbits/skills

一、核心定位与价值

Trail of Bits 是美国 DARPA、Google、Microsoft 长期合作的安全研究公司,曾参与 Ethereum 2.0、Polkadot 等区块链项目的安全审计,发布了著名的二进制分析工具 Manticore。

他们的 skills 项目不是简单的”安全知识”,而是经过实战验证的可执行能力——把 Trail of Bits 多年积累的安全方法论产品化、模块化。

关键洞见:从”问答型 AI”到”执行型 AI”的跃迁——AI 不只回答”什么是重入漏洞”,而是直接扫描代码,指出问题,生成修复。

实战战绩:constant-time-analysis 已在真实项目中发现 ECDSA 验证的时序侧信道漏洞。

完整 14 个 Skills 分类

来源:tencent 极道

1. 智能合约安全(3 个)

2. 代码审计(6 个)

3. 验证与高级分析(4 个)

4. 实战战绩(trophy case)

• constant-time-analysis:发现 ML-DSA 签名中的时序侧信道漏洞
• variant-analysis:多个 DeFi 项目 reentrancy 漏洞

二、building-secure-contracts(智能合约安全工具包)

2.1 核心能力

支持 6 条公链(Ethereum、Polygon、Arbitrum、Optimism、BNB Chain、Avalanche)漏洞扫描:

• 重入(reentrancy)
• 整数溢出
• 权限绕过
• 抢跑交易(front-running)
• 时间戳依赖
• 弱随机数
• 未检查的返回值
• delegatecall 误用

2.2 工作流

[1] 加载合约文件
  ↓
[2] 调用内置扫描器(Slither、Mythril、Echidna)
  ↓
[3] 输出漏洞清单(按严重度)
  ↓
[4] 生成修复建议
  ↓
[5] 二次审计

2.3 实战案例

// 危险代码
function withdraw(uint256 amount) public {
    require(balances[msg.sender] >= amount);
    (bool success, ) = msg.sender.call{value: amount}("");
    require(success);
    balances[msg.sender] -= amount;  // ❌ 状态更新在外部调用后
}

// Skill 修复建议
function withdraw(uint256 amount) public nonReentrant {
    require(balances[msg.sender] >= amount);
    balances[msg.sender] -= amount;  // ✅ Checks-Effects-Interactions
    (bool success, ) = msg.sender.call{value: amount}("");
    require(success);
}

三、constant-time-analysis(时序侧信道分析)

3.1 问题背景

即使代码逻辑正确,编译器优化也可能导致执行时间随秘密数据变化 → 泄露密钥。

经典案例:

• ECDSA 签名中,根据 nonce 是否为零,执行时间不同
• RSA 中,模幂运算的 Montgomery reduction 优化引入条件分支

3.2 检测方法

# 用 dudect 或 ctgrind 检测
# 1. 收集执行时间分布
# 2. 统计检验(Welch's t-test)
# 3. p-value < 0.05 → 存在侧信道

3.3 真实战绩

Trail of Bits 公开过:

• 在 RustCrypto ML-DSA 签名中发现时序侧信道
• 多个 ECDSA 实现中发现类似漏洞

3.4 修复模式

// ❌ 危险
if (secret_condition) {
    do_something();  // 时间随 secret 变化
}

// ✅ 修复
// 用 ct-select / constant-time swap
uint32_t mask = -constant_time_eq(secret, 0);
result = (a & mask) | (b & ~mask);

四、variant-analysis(变体分析)

4.1 核心思想

CVE 爆出后,横向排查同类漏洞。详见 variant-analysis 完整评测。

4.2 五阶段流程

来源:variant-analysis SKILL.md

1. 威胁情报收集(NVD / GHSA / Twitter)
2. 模式提取(找 1-2 个受影响项目作参考)
3. 代码库扫描(用 Grep / Semgrep / CodeQL)
4. 人工确认(过滤误报)
5. 修复 + 验证

五、insecure-defaults(不安全默认检测)

5.1 检测范围

• 硬编码凭证(API key、DB password)
• Fail-Open 模式(try-catch 返回默认值)
• 默认弱密码(admin/admin)
• 明文 HTTP
• CORS 反射(allow_origins: ”*” + credentials: true)
• 数据库连接无 SSL
• JWT 不验证签名
• Cookie 无 httpOnly

5.2 实战案例

// ❌ 危险
const API_KEY = "sk-proj-xxxxx";

// Skill 检测 → 标 Critical
// 建议:
const API_KEY = process.env.OPENAI_API_KEY;
if (!API_KEY) throw new Error("Missing OPENAI_API_KEY");

六、differential-review(PR 焦点安全审查)

6.1 思路

不重审旧代码,只关注本次 diff 引入的风险:

• 新增依赖
• 权限变更
• 加密逻辑
• 认证流程

6.2 工作流

# 1. 获取 diff
git diff main..feature

# 2. Skill 自动识别:
#    - 新增危险 API(eval / exec / pickle.load)
#    - 危险 SQL 拼接
#    - 禁用证书校验(verify=False)
#    - ...

# 3. 输出风险点 + 建议

6.3 与 variant-analysis 区别

七、其他重要 Skills

7.1 audit-context-building

超细粒度代码解析,构建架构上下文:

• 模块依赖图
• 关键数据流
• 信任边界
• 入口点
• 危险函数调用

用途:审计前先理解架构,避免盲目审查。

7.2 semgrep-rule-creator

创建 / 完善 Semgrep 规则:

• 描述漏洞场景
• AI 生成 Semgrep YAML
• TDD 风格验证规则准确性
• 持续优化

7.3 semgrep-rule-variant-creator

移植 Semgrep 规则到新语言:

• 原语言规则 → AST 提取模式
• 适配目标语言语法
• 测试驱动验证
• 自动化 CI 集成

7.4 testing-handbook-skills

基于 Trail of Bits Testing Handbook:

• Fuzzers(American Fuzzy Lop、libFuzzer)
• 静态分析集成
• Sanitizers(ASan、UBSan、MSan)
• 覆盖率分析
• Differential testing

7.5 yara-authoring

YARA 规则编写:

• Linting(避免语法错误)
• 原子分析
• 最佳实践
• 用于恶意软件检测 / 分类

7.6 spec-to-code-compliance

规范到代码合规性:

• 加载 spec
• 对比代码实现
• 输出偏差
• 用于区块链审计(确保实现符合 spec)

7.7 entry-point-analyzer

智能合约入口点分析:

• 识别所有 state-changing 函数
• 划定攻击面
• 优先审查高风险入口

7.8 burpsuite-project-parser

Burp Suite 项目数据提取:

• HTTP 请求/响应解析
• 漏洞模式识别
• 与 audit-context-building 联动

八、完整工作流

来源:tencent 极道

[1] 准备阶段
    audit-context-building
    ↓
[2] 静态分析
    static-analysis (CodeQL + Semgrep)
    ↓
[3] 已知漏洞
    insecure-defaults(配置)
    supply-chain-risk-auditor(依赖)
    ↓
[4] 深度分析
    variant-analysis(同类)
    differential-review(本次)
    constant-time-analysis(密码)
    ↓
[5] 智能合约
    building-secure-contracts
    entry-point-analyzer
    spec-to-code-compliance
    ↓
[6] 修复
    写代码
    ↓
[7] 验证
    fix-review(确认修复到位)
    testing-handbook-skills(fuzzing)
    ↓
[8] 完成
    finishing-a-development-branch

九、5 条反合理化

十、5 条实战技巧

1. CI 集成 static-analysis + 手动跑 variant-analysis 互补
2. CVE 公开 24h 内用 variant-analysis 横向排查
3. PR 必走 differential-review,即使是 1 行
4. 生产前用 insecure-defaults 全库审计
5. 加密代码必须过 constant-time-analysis

十一、Q&A

Q: 跟 Snyk / Dependabot 区别? A: 它们是 SCA(软件成分分析);Trail of Bits 是全方位安全。

Q: 必须用 Claude Code 吗? A: 工具本身不需要。Skill 引导 Claude 调用。

Q: License? A: CC-BY-SA-4.0(部分 Skill)。

Q: 商用? A: 可商用,但需保留版权。

Q: 中文支持? A: SKILL.md 英文,处理中文代码无障碍。

Q: 实战战绩? A: 已在 RustCrypto / ML-DSA / 多个 DeFi 发现真实漏洞。

Q: 跟 ECC / Superpowers 关系? A: Trail of Bits 专注安全深度;其他专注开发效率。互补。

Q: 14 个 Skill 都用? A: 不必。按需:

• Web 项目:static-analysis / variant-analysis / differential-review
• 智能合约:building-secure-contracts / entry-point-analyzer
• 密码项目:constant-time-analysis
• 通用:insecure-defaults / supply-chain-risk-auditor

十二、Prompt 模板

模板 1:Web 项目安全审计

请用 trailofbits/skills 对我项目做安全审计:
1. static-analysis(CodeQL + Semgrep + SARIF)
2. insecure-defaults(检查硬编码、Fail-Open)
3. supply-chain-risk-auditor(依赖漏洞)
4. differential-review(对比 main 的 diff)
5. 输出:按 Critical/High/Medium/Low 分级的报告

模板 2:智能合约审计

请用 building-secure-contracts 审计合约:
- 输入:contracts/*.sol
- 扫描:重入 / 整数溢出 / 权限绕过
- 输出:漏洞清单 + 修复建议
- 然后用 entry-point-analyzer 标攻击面

模板 3:加密代码审查

请用 constant-time-analysis 检查:
- crypto/sign.rs
- crypto/verify.rs
- 输出:时序侧信道风险点 + constant-time 修复

模板 4:CVE 应急

CVE-2024-XXXX 刚公开,模式:deserialize unsafe.
请用 variant-analysis 排查我们全代码库:
- 找类似反序列化
- 找受影响的 commit
- 输出风险评估 + 修复优先级

十三、真实踩坑案例

案例 1:Semgrep 规则漏报

现象:用了 unsafe pickle.load,Semgrep 没报。 根因:规则没覆盖。 解决:用 semgrep-rule-creator 自定义规则。

案例 2:CI 跑全量 CodeQL 太慢

现象:CodeQL Nightly 跑 8 小时没完。 解决:用 security-extended suite(轻量),全量放 weekly。

案例 3:False positive 多

现象:Semgrep 报 200+ 警告,80% 误报。 解决:baseline 抑制老报警,只查新问题。

案例 4:变体搜索没匹配

现象:variant-analysis 找不到同类。 根因:模式描述不够具体。 解决:提供 PoC + CVE 链接让 AI 理解。

案例 5:智能合约 false positive

现象:误报某个 view function 有 reentrancy。 根因:Slither 默认规则过严。 解决:人工 review + 写自定义 Semgrep 排除 view 函数。

案例 6:时序分析测不出

现象:dudect 跑 1 亿次样本没显著差异。 根因:测的代码本来就是 constant-time。 解决:改用更敏感的统计方法(如 TVLA)。

十四、真实战绩

来源:trailofbits/skills README

十五、安装

# Claude Code
/plugin marketplace add trailofbits/skills

# 选择性安装
/plugin install static-analysis@trailofbits
/plugin install variant-analysis@trailofbits
/plugin install building-secure-contracts@trailofbits
...

# 通用
npx skills add trailofbits/skills --skill static-analysis
npx skills add trailofbits/skills --skill variant-analysis
npx skills add trailofbits/skills --skill constant-time-analysis

十六、总结

核心价值:

• Trail of Bits 多年安全实战经验
• 14 个 Skill 覆盖安全全生命周期
• 实战发现真实 0day
• 完整 CI/CD 集成
• 与 CodeQL / Semgrep 工业级工具联动

适用人群:

• 甲方安全团队
• 智能合约开发者
• 密码学实现工程师
• DevSecOps
• Web3 项目

投入产出比:⭐⭐⭐⭐⭐(5/5)—— 安全团队必装。

何时不要用:

• 纯前端 demo
• 一次性脚本
• 不用 CI
• 无安全合规要求

参考链接:

• trailofbits/skills 官方仓库
• Trail of Bits 公司官网
• tencent 极道详解
• LobeHub static-analysis 详情
• 应用安全测试手册 (Application Security Testing Handbook)
• 配套:static-analysis | variant-analysis | insecure-defaults