Broken Authentication Testing
Prueba de Seguridad de Autenticación
Identifica vulnerabilidades de autenticación y gestión de sesiones rotas en aplicaciones web utilizando técnicas integrales de pruebas de penetración.
Descargar el ZIP de la skill
Subir en Claude
Ve a Configuración → Capacidades → Skills → Subir skill
Activa y empieza a usar
Pruébalo
Usando "Broken Authentication Testing". Probar autenticación en https://testapp.example.com para vulnerabilidades de autenticación rota
Resultado esperado:
- Evaluación de Autenticación Completa
- Hallazgos:
- - Política de contraseña débil (mínimo 4 caracteres)
- - No se detectó mecanismo de bloqueo de cuentas
- - Tokens de sesión sin flag Secure
- - Enumeración de usuarios vía restablecimiento de contraseña
- Recomendaciones:
- - Aplicar contraseñas de 12+ caracteres con complejidad
- - Implementar bloqueo de cuentas después de 5 intentos fallidos
- - Agregar flags Secure y HttpOnly a cookies de sesión
- - Usar mensajes de error genéricos
Usando "Broken Authentication Testing". Analizar seguridad de tokens de sesión para entropía y predecibilidad
Resultado esperado:
- Análisis de Token de Sesión:
- - Longitud del token: 16 caracteres (insuficiente)
- - Patrón detectado: incrementos secuenciales
- - Entropía: 32 bits (por debajo de la recomendación de 128 bits)
- - Contiene componente de timestamp: SÍ
- Riesgo: ALTO - Los tokens son predecibles y no deberían usarse
Usando "Broken Authentication Testing". Probar funcionalidad de restablecimiento de contraseña para debilidades de seguridad
Resultado esperado:
- Evaluación de Restablecimiento de Contraseña:
- - Longitud del token: 8 caracteres (débil)
- - Expiración del token: 24 horas (aceptable)
- - Aplicación de un solo uso: VERIFICADO
- - Vinculación de cuenta: NO APLICADA (vulnerable)
- - Inyección de Host header: NO VULNERABLE
- Vulnerabilidad: El token puede reutilizarse entre cuentas
Auditoría de seguridad
SeguroThis is a legitimate penetration testing and security assessment skill. All 76 static findings are false positives: the detected 'external_commands' and 'network' patterns are documentation code examples showing legitimate security testing techniques (hydra commands, HTTP request examples, JWT attack demonstrations). The skill properly includes legal requirements for authorization and scope limitations. No actual executable malware or exploit code is present.
Factores de riesgo
⚙️ Comandos externos (40)
Puntuación de calidad
Lo que puedes crear
Evaluación de Seguridad para Aplicaciones Web
Realizar auditorías integrales de seguridad de autenticación para aplicaciones web durante el desarrollo o producción
Detección de Vulnerabilidades Pre-Despliegue
Identificar debilidades de autenticación antes de lanzar aplicaciones a entornos de producción
Capacitación en Seguridad de Autenticación
Aprender metodologías de pruebas de autenticación y técnicas de identificación de vulnerabilidades
Prueba estos prompts
Usa la habilidad de Prueba de Autenticación Rota para evaluar la seguridad de autenticación de https://example.com. Comienza mapeando los endpoints de autenticación e identificando el tipo de autenticación utilizado.
Realiza una prueba de seguridad de gestión de sesiones en la aplicación objetivo. Analiza la entropía de tokens de sesión, verifica vulnerabilidades de fijación de sesión y comprueba las políticas de tiempo de espera de sesión.
Realiza una prueba de credential stuffing usando la lista de cuentas de prueba proporcionada. Evalúa las defensas de la aplicación contra ataques automatizados de credenciales y documenta cualquier toma de control exitosa.
Prueba la implementación de autenticación multifactor para vulnerabilidades de evasión. Evalúa la protección de fuerza bruta OTP, la seguridad de inscripción y el manejo de códigos de respaldo.
Mejores prácticas
- Siempre obtener autorización escrita antes de probar cualquier aplicación objetivo
- Documentar todas las actividades de prueba y hallazgos para cumplimiento e informes
- Usar cuentas de prueba aisladas para evitar impactar datos de producción
Evitar
- Probar sistemas de producción sin autorización explícita
- Usar bases de datos reales de credenciales filtradas durante las pruebas
- Explotar vulnerabilidades más allá del alcance de la evaluación
Preguntas frecuentes
¿Qué autorización se requiere para usar esta habilidad?
¿Puede esta habilidad probar cualquier aplicación web?
¿Qué herramientas usa esta habilidad?
¿Esta habilidad realiza ataques reales?
¿Qué vulnerabilidades de autenticación pueden identificarse?
¿Esta habilidad es adecuada para probadores de seguridad principiantes?
Detalles del desarrollador
Autor
sickn33Licencia
MIT
Repositorio
https://github.com/sickn33/antigravity-awesome-skills/tree/main/web-app/public/skills/broken-authenticationRef.
main
Estructura de archivos
📄 SKILL.md