Broken Authentication Testing
Test der Authentifizierungssicherheit
Identifizierung von Schwachstellen bei gebrochener Authentifizierung und Sitzungsverwaltung in Webanwendungen mittels umfassender Penetrationstesting-Techniken.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "Broken Authentication Testing". Testen Sie die Authentifizierung bei https://testapp.example.com auf Schwachstellen bei gebrochener Authentifizierung
النتيجة المتوقعة:
- Authentifizierungsbewertung abgeschlossen
- Ergebnisse:
- - Schwache Passwortrichtlinie (Minimum 4 Zeichen)
- - Kein Kontosperrmechanismus erkannt
- - Session-Tokens fehlt Secure-Flag
- - Username-Enumeration über Passwort-Zurücksetzung
- Empfehlungen:
- - Erzwingen Sie 12+ Zeichen Passwörter mit Komplexität
- - Implementieren Sie Kontosperrung nach 5 fehlgeschlagenen Versuchen
- - Fügen Sie Secure- und HttpOnly-Flags zu Session-Cookies hinzu
- - Verwenden Sie generische Fehlermeldungen
استخدام "Broken Authentication Testing". Analysieren Sie die Session-Token-Sicherheit auf Entropie und Vorhersagbarkeit
النتيجة المتوقعة:
- Session-Token-Analyse:
- - Token-Länge: 16 Zeichen (unzureichend)
- - Muster erkannt: sequentielle Inkremente
- - Entropie: 32 Bit (unter der 128-Bit-Empfehlung)
- - Enthält Zeitstempel-Komponente: JA
- Risiko: HOCH - Tokens sind vorhersagbar und sollten nicht verwendet werden
استخدام "Broken Authentication Testing". Testen Sie die Passwort-Zurücksetzungsfunktionalität auf Sicherheitsschwachstellen
النتيجة المتوقعة:
- Passwort-Zurücksetzungsbewertung:
- - Token-Länge: 8 Zeichen (schwach)
- - Token-Ablauf: 24 Stunden (akzeptabel)
- - Einmalverwendungs-Erzwingung: VERIFIZIERT
- - Kontobindung: NICHT ERZWUNGEN (anfällig)
- - Host-Header-Injection: NICHT ANFÄLLIG
- Schwachstelle: Token kann kontenübergreifend wiederverwendet werden
التدقيق الأمني
آمنThis is a legitimate penetration testing and security assessment skill. All 76 static findings are false positives: the detected 'external_commands' and 'network' patterns are documentation code examples showing legitimate security testing techniques (hydra commands, HTTP request examples, JWT attack demonstrations). The skill properly includes legal requirements for authorization and scope limitations. No actual executable malware or exploit code is present.
عوامل الخطر
⚙️ الأوامر الخارجية (40)
درجة الجودة
ماذا يمكنك بناءه
Sicherheitsbewertung für Webanwendungen
Durchführung umfassender Authentifizierungssicherheitsaudits für Webanwendungen während der Entwicklung oder im Produktivbetrieb
Vulnerabilitätsprüfung vor dem Deployment
Identifizierung von Authentifizierungsschwachstellen vor dem Release von Anwendungen in Produktivumgebungen
Authentifizierungssicherheitstraining
Erlernen von Authentifizierungstest-Methodiken und Techniken zur Schwachstellenidentifizierung
جرّب هذه الموجهات
Verwenden Sie die Broken Authentication Testing-Fähigkeit zur Bewertung der Authentifizierungssicherheit von https://example.com. Beginnen Sie mit der Erfassung der Authentifizierungs-Endpunkte und der Identifizierung des verwendeten Authentifizierungstyps.
Führen Sie einen Sicherheitstest der Sitzungsverwaltung an der Zielanwendung durch. Analysieren Sie die Session-Token-Entropie, prüfen Sie auf Session Fixation-Schwachstellen und verifizieren Sie Session-Timeout-Richtlinien.
Führen Sie einen Credential Stuffing-Test unter Verwendung der bereitgestellten Testkontoliste durch. Bewerten Sie die Anwendungsverteidigung gegen automatisierte Credential-Angriffe und dokumentieren Sie alle erfolgreichen Kontoübernahmen.
Testen Sie die Multi-Faktor-Authentifizierungsimplementierung auf Umgehungsschwachstellen. Evaluieren Sie den OTP-Brute-Force-Schutz, die enrollment-Sicherheit und die Handhabung von Backup-Codes.
أفضل الممارسات
- Holen Sie immer eine schriftliche Genehmigung ein, bevor Sie eine Zielanwendung testen
- Dokumentieren Sie alle Testaktivitäten und Ergebnisse für Compliance und Berichterstattung
- Verwenden Sie isolierte Testkonten, um keine Produktionsdaten zu beeinträchtigen
تجنب
- Testen von Produktivsystemen ohne ausdrückliche Genehmigung
- Verwendung echter kompromittierter Credential-Datenbanken während des Testens
- Ausnutzen von Schwachstellen außerhalb des Bewertungsumfangs