mosrai 是做什么的？
用于测试接受媒体上传并使用 ffmpeg 处理的应用（音频转录、视频处理、图像转换）。如果上传端点未验证文件魔数（magic bytes），且 ffmpeg 在调用时未限制协议，则通过包含 file:// 片段 URL 的 HLS 播放列表可实现跨用户文件读取，绕过所有应用级 ACL。触发关键词："媒体上传"、"音频处理"、"ffmpeg"、"转录"、"文件上传"、"HLS"、"m3u8"、"文件读取"、"媒体 LFI"、"跨用户"。
用于测试接受媒体上传并使用 ffmpeg 处理的应用（音频转录、视频处理、图像转换）。如果上传端点未验证文件魔数，且 ffmpeg 未限制协议，则通过包含 file:// 片段 URL 的 HLS 播放列表可实现跨用户文件读取，绕过所有应用级 ACL。
该技能专为安全测试人员设计，用于检测接受媒体上传并依赖 ffmpeg 处理的应用中的关键漏洞。当上传端点未验证文件魔数（magic bytes）且 ffmpeg 未禁用协议限制时，攻击者可上传一个精心构造的 HLS（m3u8）播放列表，其中包含指向本地文件的 file:// 协议 URL。此方法可直接绕过应用层访问控制列表（ACL），实现跨用户任意文件读取，例如读取 /etc/passwd、私钥或其他敏感文件。该漏洞影响使用 ffmpeg 进行音频转录、视频处理或图像转换的应用。该技能适用于 Claude Code、Cursor 或 Codex 等 AI 智能体平台，并提供了详细的 SKILL.md 文档，其中包含利用条件、攻击步骤、触发关键词和 PoC 示例，帮助测试人员快速识别和复现此类安全风险。
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-fileread用于测试接受媒体上传并使用 ffmpeg 处理的应用（音频转录、视频处理、图像转换）。如果上传端点未验证文件魔数（magic bytes），且 ffmpeg 在调用时未限制协议，则通过包含 file:// 片段 URL 的 HLS 播放列表可实现跨用户文件读取，绕过所有应用级 ACL。触发关键词："媒体上传"、"音频处理"、"ffmpeg"、"转录"、"文件上传"、"HLS"、"m3u8"、"文件读取"、"媒体 LFI"、"跨用户"。
Extract frames or short clips from videos using ffmpeg.
Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.
Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.
Obra superpowers agent skills.
See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...
End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.