Навыки idor-testing
📦
idor-testing
Ревизия содержимого r2 Средний риск ⚙️ Внешние команды
Тестирование контроля доступа IDOR
Уязвимости IDOR раскрывают приватные записи, когда в ссылках на объекты отсутствуют проверки принадлежности. Этот навык помогает авторизованным тестировщикам в обнаружении, проверке, подготовке отчетов и планировании устранения.
Поддерживает: Claude Codex Code(CC)
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "idor-testing" from https://skillstore.io/skills/sickn33-idor-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «idor-testing». Тестировщик предоставляет два пользовательских потока учетных записей и спрашивает, с чего начать проверки IDOR.
Ожидаемый результат:
- Приоритизированный список ссылок на объекты для проверки.
- Безопасный план проверки с парой учетных записей.
- Чеклист для документирования влияния и устранения.
Использование «idor-testing». Команда приложения сообщает, что загрузки квитанций могут раскрывать данные другой учетной записи.
Ожидаемый результат:
- Краткое резюме находки с затронутым endpoint и риском нарушения принадлежности.
- Рекомендации по сбору доказательств, исключающие раскрытие реальных данных клиентов.
- Рекомендуемые исправления с использованием поиска ресурсов в области пользователя.
Использование «idor-testing». Разработчик спрашивает, как предотвратить IDOR в endpoints обновления и загрузки.
Ожидаемый результат:
- Чеклист по устранению для серверных проверок авторизации.
- Рекомендации отклонять межаккаунтный доступ к объектам до любого изменения состояния.
- Заметки по тестированию для подтверждения исправления с утвержденными учетными записями.
Аудит безопасности
Средний рискv5 • 24.07.2026 Открыть версионный отчет
All 65 external-command alerts are false positives caused by Markdown code delimiters, not executable shell or Ruby syntax. One low-risk enumeration instruction is confirmed. Destructive cross-account testing and rate-limit evasion create additional medium-risk misuse potential despite the authorization warnings.
1
Просканировано файлов
449
Проанализировано строк
0
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (3)
Средний
Destructive Cross-Account Testing
The examples direct testers to alter another account's address and use successful modification as proof, creating integrity risk outside isolated test data.
The cited examples explicitly change a victim account's address and treat successful modification as evidence. Authorization warnings reduce misuse intent but not operational impact.
Средний
Rate-Limit Evasion Guidance
The skill recommends rotating IP addresses and testing off-peak to bypass throttling, enabling covert bulk enumeration beyond configured safeguards.
The cited troubleshooting section labels the techniques as bypasses and explicitly recommends proxy-chain IP rotation and off-peak testing.
Низкий
System reconnaissance
| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |
The checklist recommends enumerating identifiers 1-1000 to find other users' records. This can expose unauthorized resources outside the stated authorized scope.
Факторы риска
⚙️ Внешние команды (50)
SKILL.md:40-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-61 SKILL.md:61-64 SKILL.md:64-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-75 SKILL.md:75-83 SKILL.md:83-88 SKILL.md:88-98 SKILL.md:98-101 SKILL.md:101-111 SKILL.md:111-114 SKILL.md:114-121 SKILL.md:121-126 SKILL.md:126-135 SKILL.md:135-138 SKILL.md:138-149 SKILL.md:149-152 SKILL.md:152-160 SKILL.md:160-165 SKILL.md:165-174 SKILL.md:174-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-191 SKILL.md:191-199 SKILL.md:199 SKILL.md:202 SKILL.md:203-204 SKILL.md:204-221 SKILL.md:221 SKILL.md:222 SKILL.md:223 SKILL.md:224 SKILL.md:225 SKILL.md:251-266 SKILL.md:266-269 SKILL.md:269-291 SKILL.md:291-294 SKILL.md:294-306 SKILL.md:306-309 SKILL.md:309-327 SKILL.md:327-330 SKILL.md:330-341 SKILL.md:341-348
Обнаруженные паттерны
System reconnaissance
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/sickn33-idor-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/sickn33-idor-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
zebbern. (2026). idor-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-idor-testing/audits/5Цитата BibTeX
@techreport{zebbern-sickn33-idor-testing-2026,
author = {zebbern},
title = {idor-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-idor-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-24"
url: "https://skillstore.io/skills/sickn33-idor-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-idor-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Высокий 55
Архитектура
85
Сопровождаемость
87
Контент
69
Сообщество
83
Соответствие спецификации
Что вы можете построить
Планирование авторизованных тестов IDOR
Создайте тест-план в заданной области для проверок авторизации на уровне объектов в staging-среде или утвержденной production-среде.
Триаж находок контроля доступа
Преобразуйте proxy-захваты и наблюдения в четкие формулировки влияния, затронутые endpoints и задачи по устранению.
Проверка исправлений авторизации
Проверьте, фильтруют ли endpoints ресурсы по аутентифицированному пользователю и отклоняют ли межаккаунтный доступ.
Попробуйте эти промпты
Картирование ссылок на объекты
Используйте этот навык для авторизованного staging-приложения. Помогите мне перечислить ссылки на объекты, необходимые тестовые учетные записи и безопасные шаги проверки.
Сравнение запросов учетных записей
У меня есть две авторизованные тестовые учетные записи и proxy-захваты. Сравните запросы и определите параметры, которым нужны проверки принадлежности.
Написание деталей находки
Проанализируйте эту авторизованную находку IDOR. Создайте описание влияния, затронутые endpoints, рекомендации по доказательствам и задачи по устранению без раскрытия реальных пользовательских данных.
Проектирование тестовой стратегии
Постройте контролируемый тест-план IDOR для multi-tenant API. Включите границы области, настройку синтетических данных, логику проверки и критерии отчетности.
Лучшие практики
- Используйте для проверки только утвержденные учетные записи, утвержденные цели и синтетические данные.
- Фиксируйте область, временные метки, запросы и результаты без раскрытия конфиденциальных пользовательских данных.
- Сопровождайте каждую находку четкой проверкой принадлежности или исправлением контроля доступа.
Избегать
- Тестирование реальных пользователей, реальных данных или production-систем без явного письменного разрешения.
- Использование широкой enumeration или тактик обхода за пределами утвержденной области тестирования.
- Сообщение о влиянии IDOR без доказательства границ принадлежности и затронутых ресурсов.
Часто задаваемые вопросы
Этот навык предназначен только для авторизованного тестирования?
Да. Используйте его только в системах, где у вас есть письменное разрешение и определенная область.
Запускает ли он сканирования автоматически?
Нет. Он предоставляет методологию и структуру отчетности. Утвержденные инструменты необходимо использовать отдельно.
Может ли он тестировать production-данные?
Только при явном разрешении. Предпочитайте staging-системы, синтетические учетные записи и отредактированные доказательства.
Какие инструменты предполагаются?
Предполагается использование перехватывающего proxy, такого как Burp Suite, а также как минимум двух авторизованных учетных записей.
На какие уязвимости он нацелен?
Он фокусируется на IDOR и нарушенной авторизации на уровне объектов в URL-адресах, параметрах, телах запросов и файлах.
Включает ли он помощь с устранением?
Да. Он объясняет проверки принадлежности, запросы с областью видимости пользователя, непрямые ссылки и серверную валидацию.