前言¶

做补天 SRC 的白帽子，常见流程是手工拼出来的：先在收录范围内找资产，再逐个判断有没有洞，验证通过后还要按官方规范把报告和提交信息表整理好。工具分散、口径不统一，最容易出问题的是最后一步——漏洞没验证就写进报告，轻则被打回，重则影响账号信用。

下面介绍的这个 Skill，就是把上面这条链路固化成可触发的技能：资产侦察、漏洞发现、真实性验证、按补天规范出报告与提交信息表。

这是什么¶

「补天SRC全自动漏洞挖掘」，坐标 @user_aee8f51d/butian-src-hunter，版本 1.0.0，由社区发布者 user_aee8f51d 维护，分类为 it-ops-security，来源标记为 community。它是一个基于通用 SKILL.md 格式的 Agent Skill，解决的问题是：把补天 SRC 漏洞挖掘的全流程交给 Agent 按固定顺序执行，减少手工拼接和口径不一致。

官方地址：https://www.skillhub.cn/skills/user_aee8f51d/butian-src-hunter

核心功能¶

根据 SkillHub 页面资料，这个 Skill 的能力边界如下。

1、资产侦察与漏洞发现。对补天收录范围内的目标做资产侦察与漏洞发现，而不是对任意目标做无差别扫描。
2、逐个验证漏洞真实性。使用 sqlmap、nuclei、定制 PoC、curl 等专业工具对发现的漏洞逐个验证。这是它明确写在简介里的第一条不可违背原则：未经验证的漏洞不得进入报告。
3、按补天官方规范产出。生成符合补天官方规范的漏洞报告，以及一份”照表填写”的提交信息表。
4、触发条件。当用户提到补天、SRC、漏洞挖掘、挖洞、漏洞扫描、提交漏洞、漏洞报告、白帽子测试时触发；即使用户只说”帮我挖个洞”、”验证一个漏洞”、”写一份补天漏洞报告”也应触发。

下面把这些能力拆成执行顺序。

1、识别意图。Agent 先判断用户的表达是否落在上述触发词范围内，是则进入流程，否则不触发。
2、限定范围。把工作范围限定在补天收录范围内的目标，先做资产侦察，再做漏洞发现。
3、逐个验证。对发现的每个漏洞，用 sqlmap、nuclei、定制 PoC 或 curl 做真实性验证，未通过验证的直接排除，不进入报告。
4、产出结果。验证通过后，按补天官方规范生成漏洞报告，并生成对应的”照表填写”提交信息表。

经过上面的步骤，产出物直接对齐补天官方提交口径，减少手工整理报告的时间。

安装与启用¶

公开资料里没有给出可直接复制的安装命令或目录路径。目前能确认的只有 SkillHub 上的坐标与元数据：

坐标: @user_aee8f51d/butian-src-hunter
版本: 1.0.0
分类: it-ops-security
来源: community
标签: requires_api_key=false

requires_api_key=false 表示该 Skill 的元数据未声明需要额外的 API Key，但工具链本身（sqlmap、nuclei 等）是否随 Skill 一起提供，资料中没有说明。要确认安装命令、运行环境和所需依赖，需要打开官方页面查看：

https://www.skillhub.cn/skills/user_aee8f51d/butian-src-hunter

关于不同宿主的启用方式：公开资料没有区分 Cursor、Codex CLI、Claude Code 的差异，本文不做推断。

适用场景与注意¶

适合：熟悉补天 SRC 提交流程、希望把资产侦察、漏洞验证、报告整理串成固定流程的人；希望统一报告口径、减少手工拼接的人。

注意：

1、范围限制。它只处理补天收录范围内的目标，收录范围外的站点不在本 Skill 覆盖范围内。
2、验证是硬门槛。未验证的漏洞不会进入报告，这意味着报告条目背后应当都有对应的验证动作支撑，需要保证 sqlmap、nuclei 等工具在运行环境中可用。
3、工具链依赖未在元数据中说明。requires_api_key=false 只代表 Skill 自身未声明需要额外密钥，不等于运行所需的外部工具全部就绪，使用前需要自行确认环境。
4、信息时效。本文的评分、下载量、版本号来自 2026-10-30 对 SkillHub 页面的抓取结果；当日对官方页面的二次抓取未成功，若页面已更新，以官方页面为准。

小结¶

这个 Skill 的价值在于把补天 SRC 漏洞挖掘的流程固定下来：先限定在补天收录范围做资产侦察与漏洞发现，再用 sqlmap、nuclei、定制 PoC、curl 逐个验证真实性，最后按补天官方规范生成漏洞报告和提交信息表。对已经在做 SRC 提交的人，它能省掉流程拼接和口径统一的时间；对刚入门的人，它能把”验证前置、未经验证不进报告”这条规则固化下来。

官方地址：https://www.skillhub.cn/skills/user_aee8f51d/butian-src-hunter