Навыки api-fuzzing-bug-bounty
🔒

api-fuzzing-bug-bounty

Безопасно ⚙️ Внешние команды🌐 Доступ к сети

Фаззинг API для Bug Bounty

API часто содержат уязвимости безопасности, которыми могут воспользоваться злоумышленники. Этот навык обучает комплексным техникам фаззинга API, чтобы вы могли выявлять IDOR, уязвимости инъекций и обходы аутентификации во время авторизованного bug bounty-поиска.

Поддерживает: Claude Codex Code(CC)
⚠️ 63 Плохо
1

Скачать ZIP навыка

2

Загрузить в Claude

Перейдите в Settings → Capabilities → Skills → Upload skill

3

Включите и начните использовать

Протестировать

Использование «api-fuzzing-bug-bounty». Помоги мне протестировать IDOR на /api/v1/invoices/{invoice_id}

Ожидаемый результат:

Руководство по тестированию IDOR:

1. Сначала получите доступ к своему инвойсу для установления базовой линии
2. Попробуйте инкрементировать ID: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. Тестируйте техники обхода:
- Оберните ID в массив: {"id":[12345]}
- JSON обертка: {"id":{"id":12345}}
- Загрязнение параметров: ?invoice_id=12345&invoice_id=12346
4. Тестируйте разные пользовательские контексты, если у вас несколько аккаунтов
5. Проверяйте горизонтальный и вертикальный IDOR (доступ с разными привилегиями)

Использование «api-fuzzing-bug-bounty». Какие полезные нагрузки SQL-инъекций работают в JSON API запросах?

Ожидаемый результат:

Полезные нагрузки JSON SQL Injection:

Базовые тесты:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}

Boolean-based:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}

Time-based (blind):
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}

Error-based:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}

Аудит безопасности

Безопасно
v1 • 2/24/2026

All 76 static findings are false positives. The skill is documentation for authorized security testing (bug bounty/penetration testing). The detected patterns are legitimate testing methodologies: command examples for API fuzzing, example URLs for target testing, and documented vulnerability test payloads (XXE, LFI, SSRF). This is standard security education content for authorized testing workflows.

1
Просканировано файлов
439
Проанализировано строк
5
находки
1
Всего аудитов

Критические проблемы (2)

Static Scanner False Positive: XXE Test Payload
Line 141 contains `<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>` which is a legitimate XXE (XML External Entity) injection test payload. This is standard security testing documentation for authorized penetration testing, not actual malicious code.
Static Scanner False Positive: LFI Test Payload
Line 298 contains `<iframe src="file:///etc/passwd"` which is a Local File Inclusion (LFI) test example. This is legitimate documentation for testing PDF export vulnerabilities.

Проблемы высокого риска (1)

Static Scanner False Positive: JWT Weakness Documentation
Line 329 mentions 'JWT Weaknesses' in the vulnerability checklist. This documents what to test for during security assessments, not the use of weak cryptography.
Проверено: claude

Оценка качества

38
Архитектура
100
Сопровождаемость
87
Контент
31
Сообщество
55
Безопасность
91
Соответствие спецификации

Что вы можете построить

Bug Bounty Хантер Тестирует Целевой API

Исследователь bug bounty использует этот навык для систематического тестирования API программы на уязвимости. Он следует рабочему процессу тестирования IDOR, техникам инъекций и методам тестирования GraphQL для поиска действительных проблем безопасности.

Пентестер Оценивает Безопасность API

Профессиональный пентестер использует этот навык во время engagement для аудита клиентских API. Навык предоставляет комплексный контрольный список и методологию для тестирования элементов управления безопасностью API.

Разработчик Изучает Безопасность API

Разработчик программного обеспечения использует этот навык для понимания распространенных уязвимостей API. Это помогает им писать более безопасный код и лучше понимать, как защищаться от задокументированных здесь атакующих техник.

Попробуйте эти промпты

Базовый Тест Безопасности API
Помоги мне протестировать конечную точку REST API на уязвимости безопасности. Конечная точка — /api/v1/users/{id} и использует аутентификацию Bearer token. Какие основные категории уязвимостей мне следует тестировать?
Проверка Уязвимости IDOR
Покажи мне, как тестировать уязвимости IDOR в API, который возвращает данные профиля пользователя. API использует конечную точку /api/users/{user_id}. Я хочу протестировать, могу ли я получить доступ к профилям других пользователей.
Аудит Безопасности GraphQL
Мне нужно провести аудит GraphQL API на предмет проблем безопасности. Конечная точка — /graphql. Какие специфичные для GraphQL атаки мне следует тестировать и как проверить, включена ли introspection?
Полный Пентест API
У меня есть авторизация на тестирование API по адресу https://api.example.com. Создайте комплексный план тестирования, охватывающий разведку, тестирование аутентификации, IDOR, инъекции и техники обхода. Включите конкретные полезные нагрузки для каждой категории тестов.

Лучшие практики

  • Всегда получайте письменную авторизацию перед тестированием любого API, которым вы не владеете
  • Тестируйте в непродакшен окружениях, когда это возможно, чтобы избежать нарушения работы сервисов
  • Документируйте все находки с proof-of-concept запросами и ответами для bug-отчетов
  • Используйте ограничение скорости и throttling, чтобы не перегружать целевые API во время тестирования

Избегать

  • Не тестируйте продакшен API без явной авторизации от владельца
  • Не используйте агрессивные техники сканирования, которые могут вызвать отказ в обслуживании
  • Не предполагайте, что все конечные точки имеют одинаковые элементы управления безопасностью — тестируйте каждую отдельно
  • Не игнорируйте ограничение скорости — уважайте цель и отступайте, когда достигнуты лимиты

Часто задаваемые вопросы

Законно ли использование этого навыка?
Этот навык предоставляет методологию тестирования безопасности. Использование этих техник на API, которыми вы не владеете или не имеете авторизации для тестирования, может быть незаконным. Всегда получайте письменное разрешение от владельца цели перед тестированием.
Нужны ли мне специальные инструменты для использования этого навыка?
Этот навык работает лучше всего с инструментом-прокси, таким как Burp Suite, OWASP ZAP или аналогичным. Вам также понадобится понимание HTTP-запросов и распространенных веб-уязвимостей.
Может ли этот навык найти все уязвимости API?
Ни один навык не может найти все уязвимости. Этот навык охватывает распространенные проблемы API, но продвинутые угрозы могут потребовать специализированных инструментов и техник. Ручное тестирование в сочетании с автоматизацией дает наилучшие результаты.
В чем разница между тестированием REST и GraphQL?
REST и GraphQL имеют разные поверхности атаки. GraphQL использует единую конечную точку с языком запросов, обеспечивая introspection, атаки батчингом и DoS через вложенные запросы. REST обычно имеет несколько конечных точек с разными HTTP методами.
Как тестировать API, использующие OAuth или API ключи?
Включите заголовки аутентификации в ваши запросы. Тестируйте как аутентифицированные, так и неаутентифицированные состояния. Для OAuth проверяйте валидацию токенов, конечные точки refresh token и поток авторизации на уязвимости.
Что мне делать, если я нашел уязвимость?
Задокументируйте находку с четкими шагами для воспроизведения, доказательством воздействия и примерами запроса/ответа. Отправьте через процесс ответственного раскрытия программы bug bounty цели.

Сведения для разработчиков

Автор

sickn33

Лицензия

MIT

Ссылка

main

Структура файлов

📄 SKILL.md