技能 idor-vulnerability-testing

📦

idor-vulnerability-testing

Name: idor-vulnerability-testing
Author: sickn33

v1.1 内容修订 r1 高风险 ⚙️ 外部命令

安全测试 IDOR 访问控制

当对象引用缺少所有权检查时，IDOR 缺陷会暴露用户数据。此技能指导已获授权的测试人员进行受控检测、证据收集和修复规划。

支持: Claude Codex Code(CC)

⚠️ 38 差

此技能属于一个技能包

一条命令安装完整技能包，获得任务所需的全部技能。

安全评估套件 · 3 技能安装完整技能包

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "idor-vulnerability-testing" from https://skillstore.io/skills/sickn33-idor-vulnerability-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-vulnerability-testing/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/sickn33-idor-vulnerability-testing.md 已签名 manifest GET /api/skills/sickn33-idor-vulnerability-testing/manifest 已签名 lockfile GET /api/skills/sickn33-idor-vulnerability-testing/lockfile

测试它

正在使用“idor-vulnerability-testing”。为用户资料和发票页面规划一次已授权的 IDOR 测试。

预期结果:

一份有范围限定的检查清单，涵盖测试账户、对象引用、请求比较、预期拒绝行为和证据记录。

正在使用“idor-vulnerability-testing”。为安全报告总结此受控 IDOR 结果。

预期结果:

一份简洁的发现项摘要，包含受影响端点、授权缺口、业务影响、复现说明和建议的所有权检查。

正在使用“idor-vulnerability-testing”。审查直接对象引用的修复选项。

预期结果:

一组按优先级排序的修复措施：服务端所有权过滤、默认拒绝行为、间接引用和回归测试。

安全审计

高风险

v4 • 2026/7/5 打开版本化报告

Most static external-command alerts are false positives caused by Markdown fences and inline examples, not executable shell calls. Semantic review found dual-use IDOR exploitation guidance and rate-limit evasion advice that could enable unauthorized data access without strict authorization.

已扫描文件

443

分析行数

复核项

已忽略误报

已确认安全问题 (3)

高

SKILL.md:13 SKILL.md:134-146 SKILL.md:247-288 SKILL.md:326-338

Dual-Use IDOR Exploitation Guidance

The skill gives step-by-step methods for identifier manipulation, automated enumeration, victim account targeting, and vertical escalation checks. This can support legitimate testing, but it can also enable unauthorized access if used outside scope.

The cited sections explicitly describe exploiting IDOR, enumerating identifiers, modifying victim-related values, and checking escalation paths. The file also includes legal boundaries, so the risk is dual-use rather than clearly malicious.

高

SKILL.md:378-388

Rate-Limit Evasion Advice

The troubleshooting section advises bypass techniques for rate limiting, including delay tactics, IP rotation, and targeted high-value identifiers. That guidance can help evade defensive controls during enumeration.

The cited lines are direct evasion guidance for a security control that limits enumeration. This is stronger than normal vulnerability verification guidance.

中

SKILL.md:198

System reconnaissance

| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |

The checklist explicitly recommends enumerating ID ranges to find records belonging to other users. This is a real offensive discovery technique, even when framed for authorized testing.

风险因素

⚙️ 外部命令 (65)

SKILL.md:37-43 SKILL.md:43-47 SKILL.md:47-53 SKILL.md:53-58 SKILL.md:58-61 SKILL.md:61-65 SKILL.md:65-66 SKILL.md:66-67 SKILL.md:67-68 SKILL.md:68-69 SKILL.md:69-72 SKILL.md:72-80 SKILL.md:80-85 SKILL.md:85-95 SKILL.md:95-98 SKILL.md:98-108 SKILL.md:108-111 SKILL.md:111-118 SKILL.md:118-123 SKILL.md:123-132 SKILL.md:132-135 SKILL.md:135-146 SKILL.md:146-149 SKILL.md:149-157 SKILL.md:157-162 SKILL.md:162-171 SKILL.md:171-174 SKILL.md:174-179 SKILL.md:179-182 SKILL.md:182-188 SKILL.md:188-196 SKILL.md:196 SKILL.md:199 SKILL.md:200-201 SKILL.md:201-218 SKILL.md:218 SKILL.md:219 SKILL.md:220 SKILL.md:221 SKILL.md:222 SKILL.md:248-263 SKILL.md:263-266 SKILL.md:266-288 SKILL.md:288-291 SKILL.md:291-303 SKILL.md:303-306 SKILL.md:306-324 SKILL.md:324-327 SKILL.md:327-338 SKILL.md:338-345 SKILL.md:345-352 SKILL.md:352-357 SKILL.md:357-364 SKILL.md:364-369 SKILL.md:369-376 SKILL.md:376-381 SKILL.md:381-388 SKILL.md:388-393 SKILL.md:393-400 SKILL.md:400-405 SKILL.md:405-416 SKILL.md:416-419 SKILL.md:419-427 SKILL.md:427-430 SKILL.md:430-442

检测到的模式

System reconnaissance

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/sickn33-idor-vulnerability-testing/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-idor-vulnerability-testing/security.svg)](https://skillstore.io/skills/sickn33-idor-vulnerability-testing?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/sickn33-idor-vulnerability-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-vulnerability-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/sickn33-idor-vulnerability-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

sickn33. (2026). idor-vulnerability-testing security audit report (audit version 4) [Author version 1.1]. Skillstore. https://skillstore.io/skills/sickn33-idor-vulnerability-testing/audits/4

BibTeX 引用

@techreport{sickn33-sickn33-idor-vulnerability-testing-2026,
  author = {sickn33},
  title = {idor-vulnerability-testing security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/sickn33-idor-vulnerability-testing/audits/4},
  note = {Author version 1.1}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-vulnerability-testing security audit report (audit version 4)"
version: "1.1"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/sickn33-idor-vulnerability-testing/audits/4"
identifiers:
  - type: other
    value: "skillstore:sickn33-idor-vulnerability-testing:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

验证租户隔离

检查用户是否可以访问属于另一个账户或租户的资源。

准备安全报告

将受控的 IDOR 测试证据转化为清晰的影响说明和修复步骤。

审查访问控制修复

将已实现的所有权检查与常见 IDOR 失败模式进行比较。

试试这些提示

规划基础 IDOR 测试

我已获得测试此应用程序的书面授权。请帮助我使用两个受控账户创建一个安全的 IDOR 测试计划。

映射对象引用

审查这些已授权的请求模式，并列出需要所有权检查的对象引用。包括优先级和要收集的证据。

评估发现项

我在测试账户中发现了一个受控的 IDOR 结果。请帮助我评估影响、受影响资源和修复措辞。

设计回归覆盖

请帮助我为已修复的 IDOR 问题设计回归测试。包括水平访问、垂直访问、文件下载和错误处理。

最佳实践

在进行任何 IDOR 活动之前，确认书面授权、范围和测试数据。
尽可能使用受控账户，并避免使用真实客户数据。
记录证据时避免暴露不必要的个人数据或敏感数据。

避免

在没有明确许可的情况下测试生产用户或第三方系统。
在已批准的范围或速率限制之外运行大范围枚举。
在未证明资源所有权和授权影响的情况下报告访问问题。

常见问题

什么是 IDOR 漏洞？

这是一种访问控制缺陷，用户可以通过更改直接标识符来访问对象。

我可以在任何网站上使用此技能吗？

不能。只能在你拥有明确书面授权的系统上使用它。

为什么建议使用两个账户？

两个受控账户有助于验证一个用户是否可以访问另一个用户的资源。

此技能能替代 Burp Suite 吗？

不能。它解释的是可以使用 Burp Suite 或类似代理工具的测试工作流。

报告应包含哪些证据？

包括受影响资源、所有权证明、请求上下文、影响和修复指导。

开发人员应如何修复 IDOR 问题？

在服务器端验证所有权，并按已认证用户过滤每一次对象查询。

开发者详情

作者

sickn33

许可证

MIT

作者版本

v1.1

Skillstore 修订

版本提示

作者声明的版本不符合 SemVer 规范。

仓库

https://github.com/sickn33/antigravity-awesome-skills/tree/main/web-app/public/skills/idor-testing

引用

6425ec35f4ac137735cff58cd7877843bba23e3b

维护新鲜度

2026/7/24

使用量

10 次下载 · 217 次浏览

文件结构

📄 SKILL.md