awd

AWD Skill

何时使用

• 用户提到 AWD、攻防赛、防守、靶机服务保活、被打、Webshell、flag 泄露。
• 需要在比赛授权目标上做低风险巡检、证据整理和处置建议。

防守优先级

1. 先确认比赛授权范围、目标名、服务 URL/端口、预期状态码和关键文本；多目标先调用 fleet_inventory 核对匹配数量。
2. 服务可用性：用 awd_service_check 并发检查 HTTP/TCP。HTTP 4xx 是 WARN，5xx 是 DOWN；带认证或自定义健康页时传 expected_status / contains。TCP OPEN 只说明端口可连，不能证明应用正常。
3. 暴露面：在指定单目标上用 port_listen、net_connections、process_list 建立基线；多目标相同只读巡检用 fleet_exec。Windows 与 Linux 必须分组，分别使用对应命令和路径语法。
4. Webshell：委派 webshell-hunter，结合 file_ident、file_strings、最近修改文件；日志委派 log-analyst，保留时间、路径、进程和连接证据。
5. Flag/敏感线索：用 flag_scan 找明文 flag、token、异常备份，不在报告中暴露完整密钥。
6. 处置前明确目标选择器、匹配数量、受影响服务和回滚路径；按运行器风险确认执行，先少量目标验证，再扩展到同组，最后逐服务复验。

推荐工具

{"action":"tool","tool_name":"awd_service_check","tool_args":{"targets":"http://127.0.0.1:8080,127.0.0.1:22","timeout":"3"}}
{"action":"tool","tool_name":"fleet_inventory","tool_args":{"selector":"tag:awd,protocol:ssh"}}
{"action":"tool","tool_name":"flag_scan","tool_args":{"root":"/var/www","limit":"100"}}
{"action":"task","task_name":"webshell-hunter","task_prompt":"检查 /var/www 下可疑 Webshell，不要删除文件"}

输出格式

## AWD 防守报告
### 服务状态
每项写明目标、URL/端口、预期值、实测状态、延迟和检查时间。
### 高风险发现
### 入侵/后门证据
### Flag/敏感信息暴露
### 建议处置队列
每项写明目标范围、动作、影响、复验结果或阻塞原因。

边界

• 不自动攻击其他队伍，不批量利用漏洞。
• 不直接删除证据文件；先建议隔离/备份路径。