Claude安全漏洞挖掘AI 评分 · 79/100AI 辅助编辑·未发现明显提示词注入风险X

用 Claude Code 只读审计游戏仓库，5 分钟发现 13 个漏洞

输入：本地代码仓库 + 攻击者视角审计提示词 → 处理：Claude Code 只读分析 → 输出：按严重度分级的漏洞列表（含文件:行号与修复建议）

有一点经验步骤提示词贴士
给谁
游戏开发者 0xbobaaa，审计自己的 skyhold 天空岛城市建造游戏后端
你会得到
5 分 38 秒产出 13 项发现（2 致命、2 高危、3 中危、6 低危），其中 2 项致命漏洞正是此前 10 月 18 日两次服务器宕机的根因
你需要
Claude Code

硬约束

需要 Claude Code 访问权限与本地可读的代码仓库。作者强调全程只读，禁止对生产环境执行任何操作。审计范围由提示词限定为崩溃、作弊与滥用三类攻击面。

他们做了什么

游戏开发者 0xbobaaa 让自己的 Claude Code 以攻击者视角只读审计 skyhold 游戏的后端代码仓库，任务是找出所有可能导致崩溃、作弊或滥用的漏洞。

效果如何

作者报告：Claude Code 在 5 分 38 秒内产出 13 项发现，其中 2 项致命。致命漏洞一：畸形 URL 可让整个服务器进程崩溃；致命漏洞二：服务器未重新校验每日分数，导致任意数值都能进入排行榜。作者随后查看服务器日志，发现 10 月 18 日的两次宕机正是由 bad URLs 引起，此前误以为是随机重启。两项致命漏洞当日修复并部署：畸形 URL 现在返回 400 而非杀死进程；服务器重新下发每日种子并在计分前校验每次放置。

值得知道

本案例为作者自述（author_report），本站未实测。skyhold 是作者个人项目，帖内未提供仓库链接，无法直接复现。标题全大写为作者原样。只读代码审计不能替代完整的渗透测试或动态安全评估；实际发现数量与质量取决于代码库规模、Claude Code 版本及项目架构复杂度。提示词中的 "file:line" 要求对大型仓库可能输出极长列表，建议分模块执行。

步骤

  1. 在 Claude Code 中打开目标仓库

    启动 Claude Code 并进入你的项目目录。确认当前环境为只读模式，不连接生产服务器。作者明确说明 "read only, nothing fired at the live site"。

  2. 粘贴审计提示词并执行

    将以下提示词粘贴到 Claude Code 对话中，让它开始分析代码库。

    运行提示词 · 来源原文。Claude Code 对话输入框

    audit this repo like an attacker. read only, run nothing against production. list every way to crash it, cheat it or abuse it, ranked by severity, with file:line and a fix

  3. 审阅漏洞列表并修复

    Claude Code 将输出按严重度排序的发现清单，每项包含具体文件路径、行号与修复建议。作者报告耗时 5 分 38 秒得到 13 项发现。重点检查 critical 级别问题：作者的两个致命漏洞分别是畸形 URL 导致服务器崩溃，以及每日分数未重新校验导致任意分数可上榜。根据报告定位问题后，在代码中实施修复并验证。

可复制提示词

运行提示词 · 来源原文。Claude Code 对话输入框；直接粘贴执行

这一段是提示词，页面不会在这里插入广告。

audit this repo like an attacker. read only, run nothing against production. list every way to crash it, cheat it or abuse it, ranked by severity, with file:line and a fix

将提示词原样粘贴到 Claude Code 中，替换 "this repo" 为实际项目上下文。确保环境为只读，不连接生产数据库或 API。

来源

让 Claude Code 只读审计自己的游戏仓库：5 分半找出 13 个问题，其中 2 个致命漏洞正是此前两次宕机的原因 · 0xbobaaa · X · 2026-10-24T08:29:05.000Z

留言与反馈

试过这个方法吗？分享效果、遇到的问题或改进建议。留言审核后公开，请勿填写敏感信息。

正在加载…

    相关用例