스킬 idor-testing
📦
idor-testing
콘텐츠 리비전 r2 중간 위험 ⚙️ 외부 명령어
IDOR 접근 제어 테스트
객체 참조에 소유권 검사가 없을 때 IDOR 결함은 비공개 레코드를 노출합니다. 이 스킬은 승인된 테스터가 발견, 검증, 보고 및 수정 계획 수립을 진행하도록 안내합니다.
지원: Claude Codex Code(CC)
내 에이전트로 설치
이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.
에이전트 요청
Review the Skillstore skill "idor-testing" from https://skillstore.io/skills/sickn33-idor-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.
에이전트가 읽기 쉬운 리소스
AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.
테스트해 보기
"idor-testing" 사용 중입니다. 테스터가 두 계정 흐름을 제공하고 IDOR 검사를 어디서 시작해야 하는지 묻습니다.
예상 결과:
- 검토할 객체 참조의 우선순위 목록.
- 안전한 계정 쌍 검증 계획.
- 영향 및 수정 사항을 문서화하기 위한 체크리스트.
"idor-testing" 사용 중입니다. 애플리케이션 팀이 영수증 다운로드가 다른 계정을 노출할 수 있다고 보고합니다.
예상 결과:
- 영향을 받는 엔드포인트와 소유권 위험을 포함한 간결한 발견 사항 요약.
- 실제 고객 데이터 노출을 피하는 증거 수집 지침.
- 사용자 범위로 제한된 리소스 조회를 사용하는 권장 수정 사항.
"idor-testing" 사용 중입니다. 개발자가 업데이트 및 다운로드 엔드포인트에서 IDOR를 방지하는 방법을 묻습니다.
예상 결과:
- 서버 측 권한 부여 검사를 위한 수정 체크리스트.
- 상태 변경 전에 계정 간 객체 접근을 거부하기 위한 지침.
- 승인된 계정으로 수정 사항을 확인하기 위한 테스트 참고 사항.
보안 감사
중간 위험v5 • 2026. 7. 24. 버전별 보고서 열기
All 65 external-command alerts are false positives caused by Markdown code delimiters, not executable shell or Ruby syntax. One low-risk enumeration instruction is confirmed. Destructive cross-account testing and rate-limit evasion create additional medium-risk misuse potential despite the authorization warnings.
1
스캔된 파일
449
분석된 줄 수
0
검토 항목
0
오탐 무시됨
확인된 보안 우려 사항 (3)
중간
Destructive Cross-Account Testing
The examples direct testers to alter another account's address and use successful modification as proof, creating integrity risk outside isolated test data.
The cited examples explicitly change a victim account's address and treat successful modification as evidence. Authorization warnings reduce misuse intent but not operational impact.
중간
Rate-Limit Evasion Guidance
The skill recommends rotating IP addresses and testing off-peak to bypass throttling, enabling covert bulk enumeration beyond configured safeguards.
The cited troubleshooting section labels the techniques as bypasses and explicitly recommends proxy-chain IP rotation and off-peak testing.
낮음
System reconnaissance
| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |
The checklist recommends enumerating identifiers 1-1000 to find other users' records. This can expose unauthorized resources outside the stated authorized scope.
위험 요인
⚙️ 외부 명령어 (50)
SKILL.md:40-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-61 SKILL.md:61-64 SKILL.md:64-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-75 SKILL.md:75-83 SKILL.md:83-88 SKILL.md:88-98 SKILL.md:98-101 SKILL.md:101-111 SKILL.md:111-114 SKILL.md:114-121 SKILL.md:121-126 SKILL.md:126-135 SKILL.md:135-138 SKILL.md:138-149 SKILL.md:149-152 SKILL.md:152-160 SKILL.md:160-165 SKILL.md:165-174 SKILL.md:174-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-191 SKILL.md:191-199 SKILL.md:199 SKILL.md:202 SKILL.md:203-204 SKILL.md:204-221 SKILL.md:221 SKILL.md:222 SKILL.md:223 SKILL.md:224 SKILL.md:225 SKILL.md:251-266 SKILL.md:266-269 SKILL.md:269-291 SKILL.md:291-294 SKILL.md:294-306 SKILL.md:306-309 SKILL.md:309-327 SKILL.md:327-330 SKILL.md:330-341 SKILL.md:341-348
감지된 패턴
System reconnaissance
감사자: codex 감사 이력 보기 →
이 보고서 공유 및 인용
버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.
보고서 링크 복사
https://skillstore.io/skills/sickn33-idor-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 배지
[](https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge)HTML 배지
<a href="https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>임베드 카드
<iframe src="https://skillstore.io/embed/skills/sickn33-idor-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>학술 인용 (APA · BibTeX · CFF)
APA 인용
zebbern. (2026). idor-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-idor-testing/audits/5BibTeX 인용
@techreport{zebbern-sickn33-idor-testing-2026,
author = {zebbern},
title = {idor-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-idor-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-24"
url: "https://skillstore.io/skills/sickn33-idor-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-idor-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 점수
이 점수의 이유 증거 신뢰도: 높음 55
아키텍처
85
유지보수성
87
콘텐츠
69
커뮤니티
83
사양 준수
만들 수 있는 것
승인된 IDOR 테스트 계획
스테이징 또는 승인된 프로덕션 환경에서 객체 수준 권한 부여 검사를 위한 범위가 지정된 테스트 계획을 만듭니다.
접근 제어 발견 사항 분류
프록시 캡처와 관찰 내용을 명확한 영향 설명, 영향을 받는 엔드포인트 및 수정 작업으로 전환합니다.
권한 부여 수정 사항 검토
엔드포인트가 인증된 사용자별로 리소스를 필터링하고 계정 간 접근을 거부하는지 확인합니다.
이 프롬프트를 사용해 보세요
객체 참조 매핑
승인된 스테이징 앱에 이 스킬을 사용하세요. 객체 참조, 필요한 테스트 계정 및 안전한 검증 단계를 나열할 수 있도록 도와주세요.
계정 요청 비교
두 개의 승인된 테스트 계정과 프록시 캡처가 있습니다. 요청을 비교하고 소유권 검사가 필요한 매개변수를 식별하세요.
발견 사항 세부 정보 작성
이 승인된 IDOR 발견 사항을 분석하세요. 실제 사용자 데이터를 노출하지 않고 영향, 영향을 받는 엔드포인트, 증거 지침 및 수정 작업을 작성하세요.
테스트 전략 설계
멀티 테넌트 API를 위한 통제된 IDOR 테스트 계획을 수립하세요. 범위 경계, 합성 데이터 설정, 검증 로직 및 보고 기준을 포함하세요.
모범 사례
- 검증에는 승인된 계정, 승인된 대상 및 합성 데이터만 사용하세요.
- 민감한 사용자 데이터를 노출하지 않고 범위, 타임스탬프, 요청 및 결과를 기록하세요.
- 모든 발견 사항을 명확한 소유권 검사 또는 접근 제어 수정과 연결하세요.
피하기
- 명시적인 서면 승인 없이 실제 사용자, 실제 데이터 또는 프로덕션 시스템을 테스트하는 것.
- 승인된 테스트 범위를 벗어나 광범위한 열거 또는 회피 전술을 사용하는 것.
- 소유권 경계와 영향을 받는 리소스를 입증하지 않고 IDOR 영향을 보고하는 것.
자주 묻는 질문
이 스킬은 승인된 테스트 전용인가요?
예. 서면 허가와 정의된 범위가 있는 시스템에서만 사용하세요.
자동으로 스캔을 실행하나요?
아니요. 방법론과 보고 구조를 제공합니다. 승인된 도구는 별도로 사용해야 합니다.
프로덕션 데이터를 테스트할 수 있나요?
명시적인 승인이 있는 경우에만 가능합니다. 스테이징 시스템, 합성 계정 및 수정 처리된 증거를 선호하세요.
어떤 도구를 전제로 하나요?
Burp Suite와 같은 인터셉팅 프록시와 최소 두 개의 승인된 계정을 전제로 합니다.
어떤 취약점을 대상으로 하나요?
URL, 매개변수, 요청 본문 및 파일의 IDOR와 취약한 객체 수준 권한 부여에 중점을 둡니다.
수정 지원도 포함되나요?
예. 소유권 검사, 사용자 범위로 제한된 쿼리, 간접 참조 및 서버 측 검증을 설명합니다.