[![Des-java-auto-skill — Java Web 全链路自动化审计](/media/202608/fe802d32816f4c53a58a8ce63eba6b717324.png)](https://github.com/Dest1ny-Sec/Des-java-auto-skill/blob/main/assets/hero.png)
项目地址：https://github.com/Dest1ny-Sec/Des-java-auto-skill

## 它不是简单的正则匹配，而是一个 **7 阶段流水线的智能审计**

[](https://github.com/Dest1ny-Sec/Des-java-auto-skill#%E5%AE%83%E4%B8%8D%E6%98%AF%E7%AE%80%E5%8D%95%E7%9A%84%E6%AD%A3%E5%88%99%E5%8C%B9%E9%85%8D%E8%80%8C%E6%98%AF%E4%B8%80%E4%B8%AA-7-%E9%98%B6%E6%AE%B5%E6%B5%81%E6%B0%B4%E7%BA%BF%E7%9A%84%E6%99%BA%E8%83%BD%E5%AE%A1%E8%AE%A1)

传统 Java 审计靠人肉 grep + 反编译 + 经验，效率低。Des-java-auto-skill 跑 **7 阶段流水线**（路由识别 → 控制器分析 → 调用链追踪 → sink 匹配 → 利用链编排 → 报告 → 快速模式），把"中危"串成"Critical"，还实时查 OSV.dev 3000+ CVE 补组件漏洞。

*   **路由识别 → 控制器分析 → 调用链追踪 → sink 匹配 → 利用链编排 → 报告生成 → 快速模式**
*   **8** 漏洞类型 / **12** sink / **10+** 表达式引擎（OGNL / SpEL / MVEL / FreeMarker / Velocity）
*   OSV.dev 实时查 **3000+ CVE**（Log4j / Fastjson / Spring / Shiro / Struts2 / Jackson / XStream

一行命令，挖完整个 Java Web 项目。基于 [java-audit-skills](https://github.com/RuoJi6/java-audit-skills) 深度二次开发。

## 这是什么

[](https://github.com/Dest1ny-Sec/Des-java-auto-skill#%E8%BF%99%E6%98%AF%E4%BB%80%E4%B9%88)

一个 Claude Code 技能包。输入一个 Java Web 项目路径，自动跑完 **7 阶段流水线**——识别路由、追踪调用链、检测漏洞、编排利用链——最终产出一份完整的审计报告。

**不需要你懂安全。** 启动之后去喝杯咖啡，回来看报告就行。

## 它能挖到什么

| 漏洞类型      | 能发现什么                                           | 示例                                         |
|-----------|-------------------------------------------------|--------------------------------------------|
| 🔴 SQL 注入 | ORDER BY 拼接、MyBatis ${}、HQL 注入                  | sql + " ORDER BY " + page.getOrderBy()     |
| 🔴 反序列化   | ObjectInputStream、Fastjson、Jackson、Hessian、JNDI | JSON.parse(userInput) + classpath 含 CC1 链  |
| 🔴 SSRF   | RestTemplate、HttpClient、OkHttp 等 12 种 sink      | restTemplate.getForObject(userUrl) → 打云元数据 |
| 🔴 表达式注入  | OGNL、SpEL、MVEL、FreeMarker、Velocity 等 10+ 引擎     | Struts2 S2-045 Content-Type 注入             |
| 🟠 XXE    | 5 种 XML 解析器外部实体注入                               | SAXReader 未禁用 DOCTYPE                      |
| 🟠 文件上传   | 任意文件上传、路径穿越、Web 目录写入                            | getOriginalFilename() 直接拼路径                |
| 🟠 文件读取   | 任意文件读取、路径遍历                                     | new FileInputStream(userPath) 无校验          |
| 🟠 鉴权绕过   | Shiro/Spring Security 绕过、越权、Actuator 暴露         | /admin;.js 绕过 Filter                       |

Java全链路代审利器