API Fuzzing for Bug Bounty
API-Sicherheitstestung für Bug Bounty meistern
API-Schwachstellen gehören zu den häufigsten und kritischsten Findings in Bug-Bounty-Programmen. Diese Skill bietet umfassende Techniken zum Testen von REST-, GraphQL- und SOAP-APIs zur Entdeckung von IDOR-, Injection- und Authentication-Bypass-Schwachstellen.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "API Fuzzing for Bug Bounty". Teste IDOR auf Invoice-Endpunkt
النتيجة المتوقعة:
Systematischer IDOR-Testungsansatz: (1) Greife auf eigene Invoice unter /api/v1/invoices/12345 zu, (2) Erhöhe ID auf 12346 und beobachte Antwort, (3) Teste Array-Wrapping {"id":[12346]}, (4) Probiere UUID/GUID-Formate, (5) Teste Parameter-Pollution mit mehreren user_id-Werten
استخدام "API Fuzzing for Bug Bounty". GraphQL Introspection-Analyse
النتيجة المتوقعة:
Schema-Analyse zeigt: User-Typ legt email/password/creditCard-Felder ohne Authorization-Checks frei. Mutation login() anfällig für SQL-Injection. Empfehlung: Introspection in Produktion deaktivieren, Feld-level Authorization implementieren, Eingabevalidierung hinzufügen
التدقيق الأمني
مخاطر منخفضةThis skill is a markdown documentation file containing educational content about API security testing methodologies. The static analyzer flagged 75 patterns (external commands, network URLs, injection payloads), but all are false positives - they exist within markdown code blocks as instructional examples, not executable code. The content covers legitimate bug bounty techniques including IDOR testing, SQL injection detection, GraphQL security, and authentication bypass methods. Suitable for publication as educational security content for authorized testing engagements.
مشكلات منخفضة المخاطر (1)
عوامل الخطر
⚙️ الأوامر الخارجية (1)
🌐 الوصول إلى الشبكة (1)
درجة الجودة
ماذا يمكنك بناءه
Bug-Bounty-Jäger API-Testung
Systematischer Ansatz zur Entdeckung von API-Schwachstellen in autorisierten Bug-Bounty-Programmen, mit Fokus auf High-Impact-Findings wie IDOR und Authentication-Bypasses.
Penetrationstesting-Einsatz-Unterstützung
Umfassende API-Sicherheitstestungsmethodik für professionelle Penetrationstester, die autorisierte Bewertungen von Client-APIs durchführen.
Entwickler-Sicherheitsschulung
Bildungsressource für Entwickler, um API-Angriffsvektoren zu verstehen und entsprechende Sicherheitskontrollen in ihren Anwendungen zu implementieren.
جرّب هذه الموجهات
Ich muss die Sicherheit eines API-Endpunkts unter https://target.com/api/v1 testen. Helfen Sie mir, potenzielle Angriffsflächen zu identifizieren und eine Test-Checkliste für häufige API-Schwachstellen zu erstellen.
Ich habe einen API-Endpunkt /api/v1/users/{id} gefunden, der Benutzerdaten zurückgibt. Führen Sie mich durch systematische IDOR-Testtechniken einschließlich Parameter-Manipulation, Array-Injection und Bypass-Methoden.Das Ziel hat einen GraphQL-Endpunkt unter /graphql mit aktivierter Introspection. Helfen Sie mir, das Schema auf Sicherheitsprobleme zu analysieren und auf häufige GraphQL-Schwachstellen zu testen einschließlich Batching-Angriffen und Authorization-Bypasses.
Ich teste eine REST-API, die JSON-Eingabe akzeptiert. Geben Sie mir eine umfassende Injection-Teststrategie für SQL-Injection in JSON-Feldern, Command-Injection über Parameter und XXE-Payloads für XML-Endpunkte.
أفضل الممارسات
- Erhalten Sie immer eine ausdrückliche schriftliche Authorization bevor Sie eine API testen - testen Sie nur Systeme, die Sie besitzen oder für die Sie durch Bug-Bounty-Programme die Erlaubnis haben
- Testen Sie alle API-Versionen (v1, v2, v3) separat, da sich Sicherheitskontrollen oft zwischen Versionen unterscheiden
- Dokumentieren Sie alle Findings mit klaren Reproduktionsschritten, HTTP-Anfragen und Impact-Analysen für verantwortungsvolle Offenlegung
تجنب
- Nehmen Sie niemals an, dass mobile, Web- und Entwickler-APIs identische Sicherheitskontrollen haben - testen Sie jede Fläche unabhängig
- Überspringen Sie keine undokumentierten Endpunkte - versteckte Admin- und Debug-Endpunkte haben oft schwächere Sicherheit
- Testen Sie nicht ohne Rate-Limit-Bewusstsein - implementieren Sie Verzögerungen und erwägen Sie die verantwortungsvolle Nutzung von Batch-Anfragen