/red-team
Ejecuta osv-scanner sobre lockfiles, rastrea alcanzabilidad con rg y ast-grep, enriquece opcionalmente con gh y clasifica cada aviso en cinco estados explícitos.
npx skills@latest add luci-efe/skills -s red-team- ProbarEtapa
- 03 Evidencia de terminadoMétodo
- .ramos/
red-team/ report.md · .ramos/ red-team/ osv.jsonArtefacto / salida producida
Usar cuando
Cuando cambiaron dependencias o lockfiles, llegó un aviso o CVE, o antes de publicar una versión.
Soporte y adaptadores
- Instrucciones usables en cualquier arnés
Árbol de decisión
- 01→ .ramos/
1. Escaneo de lockfiles (osv-scanner)
Ejecutar osv-scanner scan source -r --format json --output-file .ramos/
red-team/ osv.json . (0 limpio, 1 vulnerabilidades, 128/ otro = unknown) red-team/ osv.json - 02→ not affected (version) | not found within stated coverage | suspected
2. Triaje de alcanzabilidad (rg + ast-grep)
Verificar versión resuelta en lockfile y rastrear llamadas con rg -n y ast-grep run -p; enriquecer opcionalmente con gh api
- 03→ .ramos/
3–4. Reproducción local y actualización mínima
Escribir prueba fallida en la suite del repo contra un checkout local para confirmar exploit, actualizar con osv-scanner fix y pasar a /
proof red-team/ report.md
Requisitos y comandos de instalación
- osv-scannerrequerido · ramas scan y github-enrich
osv-scannerbrew install osv-scanner - rgrequerido · rama scan
rgbrew install ripgrep - ast-greprequerido · rama scan
ast-grepbrew install ast-grep - ghopcional · rama github-enrich
ghbrew install ghEnriquecimiento opcional de alertas de Dependabot en solo lectura
Criterios de completitud
- Lista cada aviso en .ramos/
red-team/ report.md como confirmed | suspected | not affected (version) | not found within stated coverage | unknown. - Trata la ausencia de lockfiles (código 128) o errores de la herramienta como unknown, nunca como repositorio limpio.
- Reproduce exploits únicamente contra un checkout local o entorno propio dentro de la suite de pruebas del repositorio.