Навыки API Fuzzing for Bug Bounty
🔒

API Fuzzing for Bug Bounty

Низкий риск ⚙️ Внешние команды🌐 Доступ к сети

Освоение тестирования безопасности API для Bug Bounty

Уязвимости API относятся к наиболее распространённым и критическим находкам в программах bug bounty. Этот навык предоставляет комплексные методы тестирования REST, GraphQL и SOAP API для обнаружения уязвимостей IDOR, инъекций и обхода аутентификации.

Поддерживает: Claude Codex Code(CC)
⚠️ 66 Плохо
1

Скачать ZIP навыка

2

Загрузить в Claude

Перейдите в Settings → Capabilities → Skills → Upload skill

3

Включите и начните использовать

Протестировать

Использование «API Fuzzing for Bug Bounty». Test for IDOR on invoice endpoint

Ожидаемый результат:

Систематический подход к тестированию IDOR: (1) Получите доступ к собственному счёту по адресу /api/v1/invoices/12345, (2) Увеличьте ID до 12346 и наблюдайте за ответом, (3) Протестируйте обёртывание массивов {"id":[12346]}, (4) Попробуйте форматы UUID/GUID, (5) Протестируйте загрязнение параметров с несколькими значениями user_id

Использование «API Fuzzing for Bug Bounty». GraphQL introspection analysis

Ожидаемый результат:

Анализ схемы выявляет: тип User раскрывает поля email/password/creditCard без проверок авторизации. Мутация login() уязвима для SQL-инъекции. Рекомендации: Отключить интроспекцию в продакшене, реализовать авторизацию на уровне полей, добавить валидацию ввода

Аудит безопасности

Низкий риск
v1 • 2/24/2026

This skill is a markdown documentation file containing educational content about API security testing methodologies. The static analyzer flagged 75 patterns (external commands, network URLs, injection payloads), but all are false positives - they exist within markdown code blocks as instructional examples, not executable code. The content covers legitimate bug bounty techniques including IDOR testing, SQL injection detection, GraphQL security, and authentication bypass methods. Suitable for publication as educational security content for authorized testing engagements.

1
Просканировано файлов
434
Проанализировано строк
3
находки
1
Всего аудитов
Проблемы низкого риска (1)
SKILL.md:1-434
Educational Security Content - Documentation Only
Static analyzer detected code execution patterns, network URLs, and injection payloads. All findings are false positives - the file is markdown documentation containing instructional examples in code blocks, not executable code. No actual security risk from the skill itself.

Факторы риска

⚙️ Внешние команды (1)
SKILL.md:49-430
🌐 Доступ к сети (1)
SKILL.md:58-420
Проверено: claude

Оценка качества

38
Архитектура
90
Сопровождаемость
87
Контент
32
Сообщество
88
Безопасность
74
Соответствие спецификации

Что вы можете построить

Тестирование API для охотников за Bug Bounty

Систематический подход к обнаружению уязвимостей API в авторизованных программах bug bounty с акцентом на высокоэффективные находки, такие как IDOR и обход аутентификации.

Поддержка пентестингового ангажемента

Комплексная методология тестирования безопасности API для профессиональных пентестеров, проводящих авторизованные оценки API клиентов.

Обучение разработчиков безопасности

Образовательный ресурс для разработчиков, чтобы понять векторы атак на API и реализовать соответствующие меры безопасности в своих приложениях.

Попробуйте эти промпты

Базовая разведка API 
Мне нужно протестировать безопасность API-конечной точки по адресу https://target.com/api/v1. Помогите определить потенциальные поверхности атак и создать чек-лист для тестирования распространённых уязвимостей API.
Методология тестирования IDOR 
Я нашёл API-конечную точку /api/v1/users/{id}, которая возвращает данные пользователя. Проведите меня через систематические методы тестирования IDOR, включая манипуляцию параметрами, инъекцию массивов и методы обхода.
Оценка безопасности GraphQL 
Цель имеет GraphQL-конечную точку по адресу /graphql с включённой интроспекцией. Помогите проанализировать схему на наличие проблем безопасности и протестировать распространённые уязвимости GraphQL, включая атаки пакетной обработки и обходы авторизации.
Тестирование инъекций в API 
Я тестирую REST API, который принимает JSON-ввод. Предоставьте комплексную стратегию тестирования инъекций, охватывающую SQL-инъекцию в JSON-полях, инъекцию команд через параметры и XXE-нагрузки для XML-конечных точек.

Лучшие практики

  • Всегда получайте явное письменное разрешение перед тестированием любого API - тестируйте только системы, которыми вы владеете или имеете право оценивать через программы bug bounty
  • Тестируйте все версии API (v1, v2, v3) отдельно, так как меры безопасности часто различаются между версиями
  • Документируйте все находки с чёткими шагами воспроизведения, HTTP-запросами и анализом воздействия для ответственного раскрытия информации

Избегать

  • Никогда не предполагайте, что мобильные, веб- и API для разработчиков имеют идентичные меры безопасности - тестируйте каждую поверхность независимо
  • Не пропускайте недокументированные конечные точки - скрытые административные и отладочные конечные точки часто имеют более слабую безопасность
  • Избегайте тестирования без понимания ограничений скорости - реализуйте задержки и ответственно используйте пакетные запросы

Часто задаваемые вопросы

Является ли API фаззинг законным для охоты на bug bounty?
Да, при выполнении на системах с явным разрешением через программы bug bounty или на системах, которыми вы владеете. Всегда читайте и следуйте конкретным правилам участия и определениям области программы.
Какие инструменты мне нужны для тестирования безопасности API?
Необходимые инструменты включают Burp Suite или аналогичный прокси, списки слов API, такие как SecLists, и специализированные инструменты, такие как Kiterunner для обнаружения, InQL для GraphQL, и пользовательские скрипты Python для автоматизации.
Какая уязвимость API наиболее распространена?
IDOR (Небезопасная прямая ссылка на объект), также известная как BOLA (Нарушение авторизации на уровне объектов), неизменно входит в число наиболее распространённых и значимых уязвимостей API в программах bug bounty.
Как тестировать GraphQL API иначе, чем REST?
GraphQL требует тестирования запросов интроспекции, атак пакетной обработки для обхода ограничения скорости, DoS через вложенные запросы и анализа авторизации на основе схемы. Архитектура с одной конечной точкой значительно меняет поверхность атаки.
Что делать, если я найду критическую уязвимость API?
Документируйте уязвимость с чёткими шагами воспроизведения, минимизируйте доступ к данным во время тестирования и отправьте отчёт о ответственном раскрытии через соответствующий канал (платформа bug bounty или контакт по безопасности).
Может ли этот навык помочь мне изучить безопасность API с нуля?
Этот навык предоставляет комплексные методы, но предполагает базовые знания HTTP, концепций веб-безопасности и базовой методологии пентестинга. Новички должны начать с документации OWASP API Security Top 10.

Сведения для разработчиков

Автор

zebbern

Лицензия

MIT

Репозиторий

https://github.com/sickn33/antigravity-awesome-skills/tree/main/web-app/public/skills/api-fuzzing-bug-bounty

Ссылка

main

Структура файлов

📄 SKILL.md