Habilidades idor-testing
📦
idor-testing
Revisão do conteúdo r2 Risco Médio ⚙️ Comandos externos
Testar Controles de Acesso IDOR
Falhas de IDOR expõem registros privados quando referências a objetos não têm verificações de propriedade. Esta skill orienta testadores autorizados em descoberta, verificação, relatórios e planejamento de remediação.
Suporta: Claude Codex Code(CC)
Instalar com meu Agente
Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.
Solicitação do agente
Review the Skillstore skill "idor-testing" from https://skillstore.io/skills/sickn33-idor-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.
Recursos legíveis por agentes
Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.
Testar
Usando "idor-testing". Um testador fornece dois fluxos de conta e pergunta onde as verificações de IDOR devem começar.
Resultado esperado:
- Uma lista priorizada de referências a objetos para revisar.
- Um plano seguro de verificação com par de contas.
- Uma lista de verificação para documentar impacto e remediação.
Usando "idor-testing". Uma equipe de aplicação relata que downloads de recibos podem expor outra conta.
Resultado esperado:
- Um resumo conciso da descoberta com endpoint afetado e risco de propriedade.
- Orientação de coleta de evidências que evita exposição de dados reais de clientes.
- Correções recomendadas usando busca de recursos com escopo por usuário.
Usando "idor-testing". Um desenvolvedor pergunta como prevenir IDOR em endpoints de atualização e download.
Resultado esperado:
- Uma lista de verificação de remediação para verificações de autorização no lado do servidor.
- Orientação para rejeitar acesso a objetos entre contas antes de qualquer mudança de estado.
- Notas de teste para confirmar a correção com contas aprovadas.
Auditoria de segurança
Risco Médiov5 • 24/07/2026 Abrir o relatório versionado
All 65 external-command alerts are false positives caused by Markdown code delimiters, not executable shell or Ruby syntax. One low-risk enumeration instruction is confirmed. Destructive cross-account testing and rate-limit evasion create additional medium-risk misuse potential despite the authorization warnings.
1
Arquivos analisados
449
Linhas analisadas
0
Itens de revisão
0
Falsos positivos ignorados
Preocupações de segurança confirmadas (3)
Médio
Destructive Cross-Account Testing
The examples direct testers to alter another account's address and use successful modification as proof, creating integrity risk outside isolated test data.
The cited examples explicitly change a victim account's address and treat successful modification as evidence. Authorization warnings reduce misuse intent but not operational impact.
Médio
Rate-Limit Evasion Guidance
The skill recommends rotating IP addresses and testing off-peak to bypass throttling, enabling covert bulk enumeration beyond configured safeguards.
The cited troubleshooting section labels the techniques as bypasses and explicitly recommends proxy-chain IP rotation and off-peak testing.
Baixo
System reconnaissance
| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |
The checklist recommends enumerating identifiers 1-1000 to find other users' records. This can expose unauthorized resources outside the stated authorized scope.
Fatores de risco
⚙️ Comandos externos (50)
SKILL.md:40-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-61 SKILL.md:61-64 SKILL.md:64-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-75 SKILL.md:75-83 SKILL.md:83-88 SKILL.md:88-98 SKILL.md:98-101 SKILL.md:101-111 SKILL.md:111-114 SKILL.md:114-121 SKILL.md:121-126 SKILL.md:126-135 SKILL.md:135-138 SKILL.md:138-149 SKILL.md:149-152 SKILL.md:152-160 SKILL.md:160-165 SKILL.md:165-174 SKILL.md:174-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-191 SKILL.md:191-199 SKILL.md:199 SKILL.md:202 SKILL.md:203-204 SKILL.md:204-221 SKILL.md:221 SKILL.md:222 SKILL.md:223 SKILL.md:224 SKILL.md:225 SKILL.md:251-266 SKILL.md:266-269 SKILL.md:269-291 SKILL.md:291-294 SKILL.md:294-306 SKILL.md:306-309 SKILL.md:309-327 SKILL.md:327-330 SKILL.md:330-341 SKILL.md:341-348
Padrões detectados
System reconnaissance
Auditado por: codex Ver histórico de auditoria →
Compartilhar e citar este relatório
Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.
Copiar link do relatório
https://skillstore.io/skills/sickn33-idor-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportBadge Markdown
[](https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge)Badge HTML
<a href="https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Cartão incorporável
<iframe src="https://skillstore.io/embed/skills/sickn33-idor-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citações acadêmicas (APA · BibTeX · CFF)
Citação APA
zebbern. (2026). idor-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-idor-testing/audits/5Citação BibTeX
@techreport{zebbern-sickn33-idor-testing-2026,
author = {zebbern},
title = {idor-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-idor-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-24"
url: "https://skillstore.io/skills/sickn33-idor-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-idor-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Pontuação do Skillstore
Por que esta pontuação Confiança das evidências: Alto 55
Arquitetura
85
Manutenibilidade
87
Conteúdo
69
Comunidade
83
Conformidade com a especificação
O que você pode criar
Planejar Testes de IDOR Autorizados
Crie um plano de teste com escopo definido para verificações de autorização no nível do objeto em um ambiente de staging ou produção aprovada.
Triar Descobertas de Controle de Acesso
Transforme capturas de proxy e observações em declarações claras de impacto, endpoints afetados e tarefas de remediação.
Revisar Correções de Autorização
Verifique se os endpoints filtram recursos pelo usuário autenticado e rejeitam acesso entre contas.
Teste estes prompts
Mapear Referências a Objetos
Use esta skill para uma aplicação de staging autorizada. Ajude-me a listar referências a objetos, contas de teste necessárias e etapas seguras de verificação.
Comparar Solicitações de Contas
Tenho duas contas de teste autorizadas e capturas de proxy. Compare as solicitações e identifique parâmetros que precisam de verificações de propriedade.
Escrever Detalhes da Descoberta
Analise esta descoberta de IDOR autorizada. Crie impacto, endpoints afetados, orientação de evidências e tarefas de remediação sem expor dados reais de usuários.
Projetar Estratégia de Teste
Crie um plano controlado de teste de IDOR para uma API multilocatário. Inclua limites de escopo, configuração de dados sintéticos, lógica de verificação e critérios de relatório.
Boas práticas
- Use apenas contas aprovadas, alvos aprovados e dados sintéticos para verificação.
- Registre escopo, timestamps, solicitações e resultados sem expor dados sensíveis de usuários.
- Associe cada descoberta a uma verificação clara de propriedade ou remediação de controle de acesso.
Evitar
- Testar usuários reais, dados reais ou sistemas de produção sem autorização explícita por escrito.
- Usar enumeração ampla ou táticas de evasão fora do escopo de teste aprovado.
- Relatar impacto de IDOR sem comprovar limites de propriedade e recursos afetados.
Perguntas frequentes
Esta skill é apenas para testes autorizados?
Sim. Use-a apenas em sistemas para os quais você tem permissão por escrito e um escopo definido.
Ela executa varreduras automaticamente?
Não. Ela fornece metodologia e estrutura de relatório. Você deve usar ferramentas aprovadas separadamente.
Ela pode testar dados de produção?
Somente com aprovação explícita. Prefira sistemas de staging, contas sintéticas e evidências redigidas.
Quais ferramentas são pressupostas?
Ela referencia um proxy de interceptação como Burp Suite, além de pelo menos duas contas autorizadas.
Quais vulnerabilidades ela aborda?
Ela se concentra em IDOR e autorização falha no nível do objeto em URLs, parâmetros, corpos de solicitação e arquivos.
Ela inclui ajuda de remediação?
Sim. Ela explica verificações de propriedade, consultas com escopo por usuário, referências indiretas e validação no lado do servidor.