Broken Authentication Testing
测试身份验证安全
使用全面的渗透测试技术识别 Web 应用程序中损坏的身份验证和会话管理漏洞。
下载技能 ZIP
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
开启并开始使用
测试它
正在使用“Broken Authentication Testing”。 测试 https://testapp.example.com 的身份验证是否存在损坏的身份验证漏洞
预期结果:
- 身份验证评估完成
- 发现：
- - 弱密码策略（最少 4 个字符）
- - 未检测到账户锁定机制
- - 会话令牌缺少 Secure 标志
- - 通过密码重置进行用户名枚举
- 建议：
- - 强制执行 12 个以上字符的密码并包含复杂性
- - 在 5 次失败尝试后实施账户锁定
- - 为会话 cookie 添加 Secure 和 HttpOnly 标志
- - 使用通用错误消息
正在使用“Broken Authentication Testing”。 分析会话令牌安全性的熵和可预测性
预期结果:
- 会话令牌分析：
- - 令牌长度：16 个字符（不足）
- - 检测到模式：顺序递增
- - 熵：32 位（低于 128 位建议）
- - 包含时间戳组件：是
- 风险：高 - 令牌是可预测的，不应使用
正在使用“Broken Authentication Testing”。 测试密码重置功能的安全弱点
预期结果:
- 密码重置评估：
- - 令牌长度：8 个字符（弱）
- - 令牌过期：24 小时（可接受）
- - 单次使用强制：已验证
- - 账户绑定：未强制执行（存在漏洞）
- - Host 头注入：不存在漏洞
- 漏洞：令牌可以在账户之间重复使用
安全审计
安全This is a legitimate penetration testing and security assessment skill. All 76 static findings are false positives: the detected 'external_commands' and 'network' patterns are documentation code examples showing legitimate security testing techniques (hydra commands, HTTP request examples, JWT attack demonstrations). The skill properly includes legal requirements for authorization and scope limitations. No actual executable malware or exploit code is present.
风险因素
⚙️ 外部命令 (40)
质量评分
你能构建什么
Web 应用程序安全评估
在开发或生产期间对 Web 应用程序进行全面的身份验证安全审计
部署前漏洞筛选
在将应用程序发布到生产环境之前识别身份验证弱点
身份验证安全培训
学习身份验证测试方法和漏洞识别技术
试试这些提示
使用损坏的身份验证测试技能评估 https://example.com 的身份验证安全性。首先映射身份验证端点并识别使用的身份验证类型。
对目标应用程序执行会话管理安全测试。分析会话令牌熵，检查会话固定漏洞，并验证会话超时策略。
使用提供的测试账户列表执行凭据填充测试。评估应用程序对自动化凭据攻击的防御能力，并记录任何成功的账户接管。
测试多因素身份验证实现是否存在绕过漏洞。评估 OTP 暴力破解保护、注册安全性和备份代码处理。
最佳实践
- 在测试任何目标应用程序之前始终获得书面授权
- 记录所有测试活动和发现以用于合规性和报告
- 使用隔离的测试账户以避免影响生产数据
避免
- 未经明确授权测试生产系统
- 在测试期间使用真实泄露的凭据数据库
- 超出评估范围利用漏洞