Fähigkeiten idor-testing
📦
idor-testing
Inhaltsrevision r2 Mittleres Risiko ⚙️ Externe Befehle
IDOR-Zugriffskontrollen testen
IDOR-Schwachstellen legen private Datensätze offen, wenn Objektreferenzen keine Eigentümerprüfungen haben. Dieser Skill führt autorisierte Tester durch Erkennung, Verifizierung, Berichterstattung und Behebungsplanung.
Unterstützt: Claude Codex Code(CC)
Mit meinem Agent installieren
Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.
Agent-Anfrage
Review the Skillstore skill "idor-testing" from https://skillstore.io/skills/sickn33-idor-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.
Agent-lesbare Ressourcen
Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.
Testen
„idor-testing“ wird verwendet. Ein Tester stellt zwei Kontoabläufe bereit und fragt, wo IDOR-Prüfungen beginnen sollten.
Erwartetes Ergebnis:
- Eine priorisierte Liste von Objektreferenzen zur Überprüfung.
- Ein sicherer Verifizierungsplan mit Kontopaaren.
- Eine Checkliste zur Dokumentation von Auswirkungen und Behebung.
„idor-testing“ wird verwendet. Ein Anwendungsteam berichtet, dass Belegdownloads möglicherweise ein anderes Konto offenlegen.
Erwartetes Ergebnis:
- Eine prägnante Befundzusammenfassung mit betroffenem Endpunkt und Eigentümerrisiko.
- Hinweise zur Nachweiserfassung, die die Offenlegung echter Kundendaten vermeiden.
- Empfohlene Fixes mithilfe benutzerbezogener Ressourcenabfragen.
„idor-testing“ wird verwendet. Ein Entwickler fragt, wie IDOR in Update- und Download-Endpunkten verhindert werden kann.
Erwartetes Ergebnis:
- Eine Behebungscheckliste für serverseitige Autorisierungsprüfungen.
- Anleitung, kontenübergreifenden Objektzugriff vor jeder Zustandsänderung abzulehnen.
- Testnotizen zur Bestätigung des Fixes mit genehmigten Konten.
Sicherheitsaudit
Mittleres Risikov5 • 24.7.2026 Versionsbericht öffnen
All 65 external-command alerts are false positives caused by Markdown code delimiters, not executable shell or Ruby syntax. One low-risk enumeration instruction is confirmed. Destructive cross-account testing and rate-limit evasion create additional medium-risk misuse potential despite the authorization warnings.
1
Gescannte Dateien
449
Analysierte Zeilen
0
Prüfelemente
0
Falschmeldungen ignoriert
Bestätigte Sicherheitsbedenken (3)
Mittel
Destructive Cross-Account Testing
The examples direct testers to alter another account's address and use successful modification as proof, creating integrity risk outside isolated test data.
The cited examples explicitly change a victim account's address and treat successful modification as evidence. Authorization warnings reduce misuse intent but not operational impact.
Mittel
Rate-Limit Evasion Guidance
The skill recommends rotating IP addresses and testing off-peak to bypass throttling, enabling covert bulk enumeration beyond configured safeguards.
The cited troubleshooting section labels the techniques as bypasses and explicitly recommends proxy-chain IP rotation and off-peak testing.
Niedrig
System reconnaissance
| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |
The checklist recommends enumerating identifiers 1-1000 to find other users' records. This can expose unauthorized resources outside the stated authorized scope.
Risikofaktoren
⚙️ Externe Befehle (50)
SKILL.md:40-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-61 SKILL.md:61-64 SKILL.md:64-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-75 SKILL.md:75-83 SKILL.md:83-88 SKILL.md:88-98 SKILL.md:98-101 SKILL.md:101-111 SKILL.md:111-114 SKILL.md:114-121 SKILL.md:121-126 SKILL.md:126-135 SKILL.md:135-138 SKILL.md:138-149 SKILL.md:149-152 SKILL.md:152-160 SKILL.md:160-165 SKILL.md:165-174 SKILL.md:174-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-191 SKILL.md:191-199 SKILL.md:199 SKILL.md:202 SKILL.md:203-204 SKILL.md:204-221 SKILL.md:221 SKILL.md:222 SKILL.md:223 SKILL.md:224 SKILL.md:225 SKILL.md:251-266 SKILL.md:266-269 SKILL.md:269-291 SKILL.md:291-294 SKILL.md:294-306 SKILL.md:306-309 SKILL.md:309-327 SKILL.md:327-330 SKILL.md:330-341 SKILL.md:341-348
Erkannte Muster
System reconnaissance
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren
Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.
Berichtslink kopieren
https://skillstore.io/skills/sickn33-idor-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown-Badge
[](https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge)HTML-Badge
<a href="https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Einbettungskarte
<iframe src="https://skillstore.io/embed/skills/sickn33-idor-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Wissenschaftliche Zitate (APA · BibTeX · CFF)
APA-Zitat
zebbern. (2026). idor-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-idor-testing/audits/5BibTeX-Zitat
@techreport{zebbern-sickn33-idor-testing-2026,
author = {zebbern},
title = {idor-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-idor-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-24"
url: "https://skillstore.io/skills/sickn33-idor-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-idor-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore-Score
Warum dieser Score Evidenzvertrauen: Hoch 55
Architektur
85
Wartbarkeit
87
Inhalt
69
Gemeinschaft
83
Spezifikationskonformität
Was Sie erstellen können
Autorisierte IDOR-Tests planen
Erstelle einen eingegrenzten Testplan für Autorisierungsprüfungen auf Objektebene in einer Staging- oder genehmigten Produktionsumgebung.
Zugriffskontrollbefunde triagieren
Wandle Proxy-Mitschnitte und Beobachtungen in klare Auswirkungsaussagen, betroffene Endpunkte und Behebungsaufgaben um.
Autorisierungsfixes überprüfen
Prüfe, ob Endpunkte Ressourcen nach authentifiziertem Benutzer filtern und kontenübergreifenden Zugriff ablehnen.
Diese Prompts ausprobieren
Objektreferenzen kartieren
Nutze diesen Skill für eine autorisierte Staging-App. Hilf mir, Objektreferenzen, erforderliche Testkonten und sichere Verifizierungsschritte aufzulisten.
Konto-Requests vergleichen
Ich habe zwei autorisierte Testkonten und Proxy-Mitschnitte. Vergleiche die Requests und identifiziere Parameter, die Eigentümerprüfungen benötigen.
Befunddetails schreiben
Analysiere diesen autorisierten IDOR-Befund. Erstelle Auswirkungen, betroffene Endpunkte, Hinweise zur Nachweisführung und Behebungsaufgaben, ohne echte Benutzerdaten offenzulegen.
Teststrategie entwerfen
Erstelle einen kontrollierten IDOR-Testplan für eine Multi-Tenant-API. Schließe Umfangsgrenzen, Einrichtung synthetischer Daten, Verifizierungslogik und Berichtskriterien ein.
Bewährte Praktiken
- Verwende zur Verifizierung nur genehmigte Konten, genehmigte Ziele und synthetische Daten.
- Erfasse Umfang, Zeitstempel, Requests und Ergebnisse, ohne sensible Benutzerdaten offenzulegen.
- Verknüpfe jeden Befund mit einer klaren Eigentümerprüfung oder Behebung der Zugriffskontrolle.
Vermeiden
- Tests mit echten Benutzern, echten Daten oder Produktionssystemen ohne ausdrückliche schriftliche Autorisierung.
- Verwendung breiter Enumeration oder Umgehungstaktiken außerhalb des genehmigten Testumfangs.
- IDOR-Auswirkungen melden, ohne Eigentümergrenzen und betroffene Ressourcen nachzuweisen.
Häufig gestellte Fragen
Ist dieser Skill nur für autorisierte Tests gedacht?
Ja. Verwende ihn nur für Systeme, für die du schriftliche Erlaubnis und einen definierten Umfang hast.
Führt er Scans automatisch aus?
Nein. Er stellt Methodik und Berichtsstruktur bereit. Genehmigte Tools musst du separat verwenden.
Kann er Produktionsdaten testen?
Nur mit ausdrücklicher Genehmigung. Bevorzuge Staging-Systeme, synthetische Konten und redigierte Nachweise.
Welche Tools werden vorausgesetzt?
Er geht von einem Intercepting Proxy wie Burp Suite sowie mindestens zwei autorisierten Konten aus.
Auf welche Schwachstellen zielt er ab?
Er konzentriert sich auf IDOR und fehlerhafte Autorisierung auf Objektebene in URLs, Parametern, Request-Bodies und Dateien.
Enthält er Hilfe zur Behebung?
Ja. Er erklärt Eigentümerprüfungen, benutzerbezogene Abfragen, indirekte Referenzen und serverseitige Validierung.