api-fuzzing-bug-bounty
Фаззинг API для Bug Bounty
API часто содержат уязвимости безопасности, которыми могут воспользоваться злоумышленники. Этот навык обучает комплексным техникам фаззинга API, чтобы вы могли выявлять IDOR, уязвимости инъекций и обходы аутентификации во время авторизованного bug bounty-поиска.
Скачать ZIP навыка
Загрузить в Claude
Перейдите в Settings → Capabilities → Skills → Upload skill
Включите и начните использовать
Протестировать
Использование «api-fuzzing-bug-bounty». Помоги мне протестировать IDOR на /api/v1/invoices/{invoice_id}
Ожидаемый результат:
Руководство по тестированию IDOR:
1. Сначала получите доступ к своему инвойсу для установления базовой линии
2. Попробуйте инкрементировать ID: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. Тестируйте техники обхода:
- Оберните ID в массив: {"id":[12345]}
- JSON обертка: {"id":{"id":12345}}
- Загрязнение параметров: ?invoice_id=12345&invoice_id=12346
4. Тестируйте разные пользовательские контексты, если у вас несколько аккаунтов
5. Проверяйте горизонтальный и вертикальный IDOR (доступ с разными привилегиями)
Использование «api-fuzzing-bug-bounty». Какие полезные нагрузки SQL-инъекций работают в JSON API запросах?
Ожидаемый результат:
Полезные нагрузки JSON SQL Injection:
Базовые тесты:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}
Boolean-based:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}
Time-based (blind):
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}
Error-based:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}
Аудит безопасности
БезопасноAll 76 static findings are false positives. The skill is documentation for authorized security testing (bug bounty/penetration testing). The detected patterns are legitimate testing methodologies: command examples for API fuzzing, example URLs for target testing, and documented vulnerability test payloads (XXE, LFI, SSRF). This is standard security education content for authorized testing workflows.
Критические проблемы (2)
Проблемы высокого риска (1)
Факторы риска
⚙️ Внешние команды (48)
Оценка качества
Что вы можете построить
Bug Bounty Хантер Тестирует Целевой API
Исследователь bug bounty использует этот навык для систематического тестирования API программы на уязвимости. Он следует рабочему процессу тестирования IDOR, техникам инъекций и методам тестирования GraphQL для поиска действительных проблем безопасности.
Пентестер Оценивает Безопасность API
Профессиональный пентестер использует этот навык во время engagement для аудита клиентских API. Навык предоставляет комплексный контрольный список и методологию для тестирования элементов управления безопасностью API.
Разработчик Изучает Безопасность API
Разработчик программного обеспечения использует этот навык для понимания распространенных уязвимостей API. Это помогает им писать более безопасный код и лучше понимать, как защищаться от задокументированных здесь атакующих техник.
Попробуйте эти промпты
Помоги мне протестировать конечную точку REST API на уязвимости безопасности. Конечная точка — /api/v1/users/{id} и использует аутентификацию Bearer token. Какие основные категории уязвимостей мне следует тестировать?Покажи мне, как тестировать уязвимости IDOR в API, который возвращает данные профиля пользователя. API использует конечную точку /api/users/{user_id}. Я хочу протестировать, могу ли я получить доступ к профилям других пользователей.Мне нужно провести аудит GraphQL API на предмет проблем безопасности. Конечная точка — /graphql. Какие специфичные для GraphQL атаки мне следует тестировать и как проверить, включена ли introspection?
У меня есть авторизация на тестирование API по адресу https://api.example.com. Создайте комплексный план тестирования, охватывающий разведку, тестирование аутентификации, IDOR, инъекции и техники обхода. Включите конкретные полезные нагрузки для каждой категории тестов.
Лучшие практики
- Всегда получайте письменную авторизацию перед тестированием любого API, которым вы не владеете
- Тестируйте в непродакшен окружениях, когда это возможно, чтобы избежать нарушения работы сервисов
- Документируйте все находки с proof-of-concept запросами и ответами для bug-отчетов
- Используйте ограничение скорости и throttling, чтобы не перегружать целевые API во время тестирования
Избегать
- Не тестируйте продакшен API без явной авторизации от владельца
- Не используйте агрессивные техники сканирования, которые могут вызвать отказ в обслуживании
- Не предполагайте, что все конечные точки имеют одинаковые элементы управления безопасностью — тестируйте каждую отдельно
- Не игнорируйте ограничение скорости — уважайте цель и отступайте, когда достигнуты лимиты
Часто задаваемые вопросы
Законно ли использование этого навыка?
Нужны ли мне специальные инструменты для использования этого навыка?
Может ли этот навык найти все уязвимости API?
В чем разница между тестированием REST и GraphQL?
Как тестировать API, использующие OAuth или API ключи?
Что мне делать, если я нашел уязвимость?
Сведения для разработчиков
Автор
sickn33Лицензия
MIT
Репозиторий
https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/api-fuzzing-bug-bountyСсылка
main
Структура файлов
📄 SKILL.md