API Fuzzing for Bug Bounty
Domine Testes de Segurança de API para Bug Bounty
Vulnerabilidades de API estão entre as descobertas mais comuns e críticas em programas de bug bounty. Esta habilidade fornece técnicas abrangentes para testar APIs REST, GraphQL e SOAP para descobrir vulnerabilidades de IDOR, injeção e bypass de autenticação.
下载技能 ZIP
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
开启并开始使用
测试它
正在使用“API Fuzzing for Bug Bounty”。 Test for IDOR on invoice endpoint
预期结果:
Systematic IDOR testing approach: (1) Access own invoice at /api/v1/invoices/12345, (2) Increment ID to 12346 and observe response, (3) Test array wrapping {"id":[12346]}, (4) Try UUID/GUID formats, (5) Test parameter pollution with multiple user_id values
正在使用“API Fuzzing for Bug Bounty”。 GraphQL introspection analysis
预期结果:
Schema analysis reveals: User type exposes email/password/creditCard fields without authorization checks. Mutation login() vulnerable to SQL injection. Recommend: Disable introspection in production, implement field-level authorization, add input validation
安全审计
低风险This skill is a markdown documentation file containing educational content about API security testing methodologies. The static analyzer flagged 75 patterns (external commands, network URLs, injection payloads), but all are false positives - they exist within markdown code blocks as instructional examples, not executable code. The content covers legitimate bug bounty techniques including IDOR testing, SQL injection detection, GraphQL security, and authentication bypass methods. Suitable for publication as educational security content for authorized testing engagements.
低风险问题 (1)
风险因素
⚙️ 外部命令 (1)
🌐 网络访问 (1)
质量评分
你能构建什么
Teste de API para Bug Bounty Hunter
Abordagem sistemática para descobrir vulnerabilidades de API em programas de bug bounty autorizados, focando em descobertas de alto impacto como IDOR e bypasses de autenticação.
Suporte a Engajamento de Penetration Testing
Metodologia abrangente de teste de segurança de API para penetration testers profissionais conduzindo avaliações autorizadas de APIs de clientes.
Treinamento de Segurança para Desenvolvedores
Recurso educacional para desenvolvedores entenderem vetores de ataque de API e implementar controles de segurança apropriados em suas aplicações.
试试这些提示
I need to test the security of an API endpoint at https://target.com/api/v1. Help me identify potential attack surfaces and create a testing checklist for common API vulnerabilities.
I found an API endpoint /api/v1/users/{id} that returns user data. Guide me through systematic IDOR testing techniques including parameter manipulation, array injection, and bypass methods.The target has a GraphQL endpoint at /graphql with introspection enabled. Help me analyze the schema for security issues and test for common GraphQL vulnerabilities including batching attacks and authorization bypasses.
I'm testing a REST API that accepts JSON input. Provide a comprehensive injection testing strategy covering SQL injection in JSON fields, command injection via parameters, and XXE payloads for XML endpoints.
最佳实践
- Sempre obtenha autorização explícita por escrito antes de testar qualquer API - teste apenas sistemas que você possui ou tem permissão para avaliar através de programas de bug bounty
- Teste todas as versões de API (v1, v2, v3) separadamente pois controles de segurança frequentemente diferem entre versões
- Documente todas as descobertas com passos claros de reprodução, requisições HTTP e análise de impacto para divulgação responsável
避免
- Nunca assuma que APIs mobile, web e de desenvolvedores têm controles de segurança idênticos - teste cada superfície independentemente
- Não pule endpoints não documentados - endpoints ocultos de admin e debug frequentemente têm segurança mais fraca
- Evite testes sem conscientização de rate limit - implemente delays e considere usar requisições em lote de forma responsável