API Fuzzing for Bug Bounty
Maîtrisez les tests de sécurité API pour le Bug Bounty
Les vulnérabilités API font partie des failles les plus courantes et critiques dans les programmes de bug bounty. Cette compétence fournit des techniques complètes pour tester les API REST, GraphQL et SOAP afin de découvrir des vulnérabilités IDOR, d'injection et de contournement d'authentification.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "API Fuzzing for Bug Bounty". Tester IDOR sur le point de terminaison de facture
النتيجة المتوقعة:
Approche de test IDOR systématique : (1) Accéder à sa propre facture à /api/v1/invoices/12345, (2) Incrémenter l'ID à 12346 et observer la réponse, (3) Tester l'encapsulation de tableau {"id":[12346]}, (4) Essayer les formats UUID/GUID, (5) Tester la pollution de paramètres avec plusieurs valeurs user_id
استخدام "API Fuzzing for Bug Bounty". Analyse d'introspection GraphQL
النتيجة المتوقعة:
L'analyse du schéma révèle : Le type User expose les champs email/password/creditCard sans contrôles d'autorisation. Mutation login() vulnérable à l'injection SQL. Recommandations : Désactiver l'introspection en production, implémenter une autorisation au niveau des champs, ajouter une validation des entrées
التدقيق الأمني
مخاطر منخفضةThis skill is a markdown documentation file containing educational content about API security testing methodologies. The static analyzer flagged 75 patterns (external commands, network URLs, injection payloads), but all are false positives - they exist within markdown code blocks as instructional examples, not executable code. The content covers legitimate bug bounty techniques including IDOR testing, SQL injection detection, GraphQL security, and authentication bypass methods. Suitable for publication as educational security content for authorized testing engagements.
مشكلات منخفضة المخاطر (1)
عوامل الخطر
⚙️ الأوامر الخارجية (1)
🌐 الوصول إلى الشبكة (1)
درجة الجودة
ماذا يمكنك بناءه
Tests API pour Chasseur de Bug Bounty
Approche systématique pour découvrir des vulnérabilités API dans les programmes de bug bounty autorisés, en se concentrant sur les découvertes à fort impact comme IDOR et les contournements d'authentification.
Support pour Engagement de Test de Pénétration
Méthodologie complète de test de sécurité API pour les testeurs de pénétration professionnels menant des évaluations autorisées d'API clients.
Formation des Développeurs à la Sécurité
Ressource éducative pour les développeurs afin de comprendre les vecteurs d'attaque API et d'implémenter des contrôles de sécurité appropriés dans leurs applications.
جرّب هذه الموجهات
Je dois tester la sécurité d'un point de terminaison API à https://target.com/api/v1. Aidez-moi à identifier les surfaces d'attaque potentielles et à créer une liste de vérification de test pour les vulnérabilités API courantes.
J'ai trouvé un point de terminaison API /api/v1/users/{id} qui renvoie des données utilisateur. Guidez-moi à travers des techniques de test IDOR systématiques incluant la manipulation de paramètres, l'injection de tableaux et les méthodes de contournement.La cible possède un point de terminaison GraphQL à /graphql avec l'introspection activée. Aidez-moi à analyser le schéma pour des problèmes de sécurité et à tester les vulnérabilités GraphQL courantes incluant les attaques de batching et les contournements d'autorisation.
Je teste une API REST qui accepte des entrées JSON. Fournissez une stratégie complète de test d'injection couvrant l'injection SQL dans les champs JSON, l'injection de commande via les paramètres et les charges utiles XXE pour les points de terminaison XML.
أفضل الممارسات
- Toujours obtenir une autorisation écrite explicite avant de tester n'importe quelle API - tester uniquement les systèmes que vous possédez ou pour lesquels vous avez une permission via des programmes de bug bounty
- Tester toutes les versions d'API (v1, v2, v3) séparément car les contrôles de sécurité diffèrent souvent entre les versions
- Documenter toutes les découvertes avec des étapes de reproduction claires, des requêtes HTTP et une analyse d'impact pour la divulgation responsable
تجنب
- Ne jamais supposer que les API mobile, web et développeur ont des contrôles de sécurité identiques - tester chaque surface indépendamment
- Ne pas ignorer les points de terminaison non documentés - les points de terminaison d'administration et de débogage cachés ont souvent une sécurité plus faible
- Éviter de tester sans conscience des limites de débit - implémenter des délais et envisager d'utiliser des requêtes groupées de manière responsable