API Fuzzing for Bug Bounty
Domine Testes de Segurança de API para Bug Bounty
Vulnerabilidades de API estão entre as descobertas mais comuns e críticas em programas de bug bounty. Esta habilidade fornece técnicas abrangentes para testar APIs REST, GraphQL e SOAP para descobrir vulnerabilidades de IDOR, injeção e bypass de autenticação.
Télécharger le ZIP du skill
Importer dans Claude
Allez dans Paramètres → Capacités → Skills → Importer un skill
Activez et commencez à utiliser
Tester
Utilisation de "API Fuzzing for Bug Bounty". Test for IDOR on invoice endpoint
Résultat attendu:
Systematic IDOR testing approach: (1) Access own invoice at /api/v1/invoices/12345, (2) Increment ID to 12346 and observe response, (3) Test array wrapping {"id":[12346]}, (4) Try UUID/GUID formats, (5) Test parameter pollution with multiple user_id values
Utilisation de "API Fuzzing for Bug Bounty". GraphQL introspection analysis
Résultat attendu:
Schema analysis reveals: User type exposes email/password/creditCard fields without authorization checks. Mutation login() vulnerable to SQL injection. Recommend: Disable introspection in production, implement field-level authorization, add input validation
Audit de sécurité
Risque faibleThis skill is a markdown documentation file containing educational content about API security testing methodologies. The static analyzer flagged 75 patterns (external commands, network URLs, injection payloads), but all are false positives - they exist within markdown code blocks as instructional examples, not executable code. The content covers legitimate bug bounty techniques including IDOR testing, SQL injection detection, GraphQL security, and authentication bypass methods. Suitable for publication as educational security content for authorized testing engagements.
Problèmes à risque faible (1)
Facteurs de risque
⚙️ Commandes externes (1)
🌐 Accès réseau (1)
Score de qualité
Ce que vous pouvez construire
Teste de API para Bug Bounty Hunter
Abordagem sistemática para descobrir vulnerabilidades de API em programas de bug bounty autorizados, focando em descobertas de alto impacto como IDOR e bypasses de autenticação.
Suporte a Engajamento de Penetration Testing
Metodologia abrangente de teste de segurança de API para penetration testers profissionais conduzindo avaliações autorizadas de APIs de clientes.
Treinamento de Segurança para Desenvolvedores
Recurso educacional para desenvolvedores entenderem vetores de ataque de API e implementar controles de segurança apropriados em suas aplicações.
Essayez ces prompts
I need to test the security of an API endpoint at https://target.com/api/v1. Help me identify potential attack surfaces and create a testing checklist for common API vulnerabilities.
I found an API endpoint /api/v1/users/{id} that returns user data. Guide me through systematic IDOR testing techniques including parameter manipulation, array injection, and bypass methods.The target has a GraphQL endpoint at /graphql with introspection enabled. Help me analyze the schema for security issues and test for common GraphQL vulnerabilities including batching attacks and authorization bypasses.
I'm testing a REST API that accepts JSON input. Provide a comprehensive injection testing strategy covering SQL injection in JSON fields, command injection via parameters, and XXE payloads for XML endpoints.
Bonnes pratiques
- Sempre obtenha autorização explícita por escrito antes de testar qualquer API - teste apenas sistemas que você possui ou tem permissão para avaliar através de programas de bug bounty
- Teste todas as versões de API (v1, v2, v3) separadamente pois controles de segurança frequentemente diferem entre versões
- Documente todas as descobertas com passos claros de reprodução, requisições HTTP e análise de impacto para divulgação responsável
Éviter
- Nunca assuma que APIs mobile, web e de desenvolvedores têm controles de segurança idênticos - teste cada superfície independentemente
- Não pule endpoints não documentados - endpoints ocultos de admin e debug frequentemente têm segurança mais fraca
- Evite testes sem conscientização de rate limit - implemente delays e considere usar requisições em lote de forma responsável