api-fuzzing-bug-bounty
模糊测试API以寻找漏洞赏金
API通常包含可被攻击者利用的安全漏洞。本技能教授全面的API模糊测试技术，帮助您在授权的漏洞赏金狩猎中识别IDOR、注入缺陷和身份验证绕过问题。
下载技能 ZIP
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
开启并开始使用
测试它
正在使用“api-fuzzing-bug-bounty”。 Help me test for IDOR on /api/v1/invoices/{invoice_id}
预期结果:
IDOR Testing Guide:
1. First, access your own invoice to establish baseline
2. Try incrementing the ID: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. Test bypass techniques:
- Wrap ID in array: {"id":[12345]}
- JSON wrapper: {"id":{"id":12345}}
- Parameter pollution: ?invoice_id=12345&invoice_id=12346
4. Test different user contexts if you have multiple accounts
5. Check for horizontal and vertical IDOR (different privilege access)
正在使用“api-fuzzing-bug-bounty”。 What SQL injection payloads work in JSON API requests?
预期结果:
JSON SQL Injection Payloads:
Basic tests:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}
Boolean-based:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}
Time-based (blind):
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}
Error-based:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}
安全审计
安全All 76 static findings are false positives. The skill is documentation for authorized security testing (bug bounty/penetration testing). The detected patterns are legitimate testing methodologies: command examples for API fuzzing, example URLs for target testing, and documented vulnerability test payloads (XXE, LFI, SSRF). This is standard security education content for authorized testing workflows.
严重问题 (2)
高风险问题 (1)
风险因素
⚙️ 外部命令 (48)
质量评分
你能构建什么
漏洞赏金猎人测试目标API
漏洞赏金研究人员使用此技能系统地测试程序的API漏洞。他们遵循IDOR测试工作流、注入技术和GraphQL测试方法来发现有效的安全问题。
渗透测试人员评估API安全
专业渗透测试人员在参与期间使用此技能来审计客户端API。该技能提供了全面的检查清单和测试API安全控制的方法论。
开发人员学习API安全
软件开发人员使用此技能来了解常见API漏洞。这有助于他们编写更安全的代码，并更好地理解如何防御此处记录的攻击技术。
试试这些提示
Help me test a REST API endpoint for security vulnerabilities. The endpoint is /api/v1/users/{id} and uses Bearer token authentication. What are the main vulnerability categories I should test for?Show me how to test for IDOR vulnerabilities on an API that returns user profile data. The API uses /api/users/{user_id} endpoint. I want to test if I can access other users' profiles.I need to audit a GraphQL API for security issues. The endpoint is /graphql. What GraphQL-specific attacks should I test for, and how do I check if introspection is enabled?
I have authorization to test an API at https://api.example.com. Create a comprehensive testing plan covering reconnaissance, authentication testing, IDOR, injection, and bypass techniques. Include specific payloads for each test category.
最佳实践
- 在测试任何非您拥有的API之前，始终获得书面授权
- 在非生产环境可用时进行测试，以避免干扰服务
- 记录所有发现，包括概念验证请求和响应，用于漏洞报告
- 使用速率限制和节流以避免在测试期间使目标API过载
避免
- 不要在未获得所有者明确授权的情况下测试生产API
- 不要使用可能导致拒绝服务的激进扫描技术
- 不要假设所有端点具有相同的安全控制 - 分别测试每个端点
- 不要忽略速率限制 - 尊重目标并在达到限制时后退