📦
content-creator
88建立符合品牌一致性的行銷內容
行銷團隊需要能在各通路保持一致的內容。這項技能可協助規劃、撰寫、分析及最佳化內容，以符合品牌語調與 SEO。
寫作與內容 查看
技能 idor-testing
📦
idor-testing
內容修訂 r2 中風險 ⚙️ 外部命令
測試 IDOR 存取控制
當物件參照缺乏擁有權檢查時，IDOR 缺陷會暴露私人記錄。此技能會引導已授權的測試人員完成探索、驗證、報告與修復規劃。
支援: Claude Codex Code(CC)
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "idor-testing" from https://skillstore.io/skills/sickn33-idor-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-idor-testing/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「idor-testing」。 測試人員提供兩個帳戶流程，並詢問應從何處開始進行 IDOR 檢查。
預期結果:
- 按優先順序排列的待審查物件參照清單。
- 安全的帳戶配對驗證計畫。
- 用於記錄影響與修復的檢查清單。
正在使用「idor-testing」。 應用程式團隊回報收據下載可能會暴露另一個帳戶。
預期結果:
- 包含受影響端點與擁有權風險的精簡發現摘要。
- 避免暴露真實客戶資料的證據收集指引。
- 使用使用者範圍資源查找的建議修復方式。
正在使用「idor-testing」。 開發人員詢問如何在更新與下載端點中防止 IDOR。
預期結果:
- 伺服器端授權檢查的修復檢查清單。
- 在任何狀態變更前拒絕跨帳戶物件存取的指引。
- 使用已核准帳戶確認修復的測試注意事項。
安全審計
中風險v5 • 2026/7/24 開啟版本化報告
All 65 external-command alerts are false positives caused by Markdown code delimiters, not executable shell or Ruby syntax. One low-risk enumeration instruction is confirmed. Destructive cross-account testing and rate-limit evasion create additional medium-risk misuse potential despite the authorization warnings.
1
已掃描檔案
449
分析行數
0
複核項目
0
已忽略的誤報
已確認的安全問題 (3)
中
Destructive Cross-Account Testing
The examples direct testers to alter another account's address and use successful modification as proof, creating integrity risk outside isolated test data.
The cited examples explicitly change a victim account's address and treat successful modification as evidence. Authorization warnings reduce misuse intent but not operational impact.
中
Rate-Limit Evasion Guidance
The skill recommends rotating IP addresses and testing off-peak to bypass throttling, enabling covert bulk enumeration beyond configured safeguards.
The cited troubleshooting section labels the techniques as bypasses and explicitly recommends proxy-chain IP rotation and off-peak testing.
低
System reconnaissance
| Enumerate Range | Test IDs 1-1000 | Find valid records of other users |
The checklist recommends enumerating identifiers 1-1000 to find other users' records. This can expose unauthorized resources outside the stated authorized scope.
風險因素
⚙️ 外部命令 (50)
SKILL.md:40-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-61 SKILL.md:61-64 SKILL.md:64-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-75 SKILL.md:75-83 SKILL.md:83-88 SKILL.md:88-98 SKILL.md:98-101 SKILL.md:101-111 SKILL.md:111-114 SKILL.md:114-121 SKILL.md:121-126 SKILL.md:126-135 SKILL.md:135-138 SKILL.md:138-149 SKILL.md:149-152 SKILL.md:152-160 SKILL.md:160-165 SKILL.md:165-174 SKILL.md:174-177 SKILL.md:177-182 SKILL.md:182-185 SKILL.md:185-191 SKILL.md:191-199 SKILL.md:199 SKILL.md:202 SKILL.md:203-204 SKILL.md:204-221 SKILL.md:221 SKILL.md:222 SKILL.md:223 SKILL.md:224 SKILL.md:225 SKILL.md:251-266 SKILL.md:266-269 SKILL.md:269-291 SKILL.md:291-294 SKILL.md:294-306 SKILL.md:306-309 SKILL.md:309-327 SKILL.md:327-330 SKILL.md:330-341 SKILL.md:341-348
偵測到的模式
System reconnaissance
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/sickn33-idor-testing/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-idor-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-idor-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-idor-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
zebbern. (2026). idor-testing security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-idor-testing/audits/5BibTeX 引用
@techreport{zebbern-sickn33-idor-testing-2026,
author = {zebbern},
title = {idor-testing security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-idor-testing/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "idor-testing security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "zebbern"
date-released: "2026-07-24"
url: "https://skillstore.io/skills/sickn33-idor-testing/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-idor-testing:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 高 55
架構
85
可維護性
87
內容
69
社群
83
規範符合度
你可以打造什麼
規劃已授權的 IDOR 測試
為預備環境或已核准的生產環境中的物件層級授權檢查，建立限定範圍的測試計畫。
分流存取控制發現項目
將代理擷取資料與觀察結果轉化為清楚的影響說明、受影響端點與修復任務。
審查授權修復
檢查端點是否依已驗證使用者篩選資源，並拒絕跨帳戶存取。
試試這些提示
對應物件參照
針對已授權的預備環境應用程式使用此技能。協助我列出物件參照、所需測試帳戶與安全驗證步驟。
比較帳戶請求
我有兩個已授權的測試帳戶與代理擷取資料。比較這些請求，並識別需要擁有權檢查的參數。
撰寫發現項目詳細資料
分析這個已授權的 IDOR 發現項目。建立影響、受影響端點、證據指引與修復任務，且不要暴露真實使用者資料。
設計測試策略
為多租戶 API 建立受控的 IDOR 測試計畫。包含範圍邊界、合成資料設定、驗證邏輯與報告標準。
最佳實務
- 僅使用已核准帳戶、已核准目標與合成資料進行驗證。
- 記錄範圍、時間戳記、請求與結果，且不要暴露敏感使用者資料。
- 為每個發現項目搭配清楚的擁有權檢查或存取控制修復。
避免
- 在沒有明確書面授權的情況下，測試真實使用者、真實資料或生產系統。
- 在核准測試範圍外使用廣泛列舉或規避技巧。
- 在未證明擁有權邊界與受影響資源的情況下，報告 IDOR 影響。
常見問題
此技能是否僅適用於已授權測試？
是。僅可在你擁有書面許可且範圍已定義的系統上使用。
它會自動執行掃描嗎？
否。它提供方法論與報告結構。你必須另外使用已核准的工具。
它可以測試生產資料嗎？
只有在明確核准時才可以。優先使用預備環境、合成帳戶與經遮蔽的證據。
假設會使用哪些工具？
它假設會使用攔截代理工具，例如 Burp Suite，並需要至少兩個已授權帳戶。
它針對哪些弱點？
它專注於 URL、參數、請求主體與檔案中的 IDOR 與物件層級授權失效。
它是否包含修復協助？
是。它說明擁有權檢查、使用者範圍查詢、間接參照與伺服器端驗證。
開發者詳細資訊
作者
zebbern授權
MIT
Skillstore 修訂
r2
版本提示
作者未聲明版本。
引用
88a8e9a07f4c54ab105c1c41b6267c287146b07b
維護新鮮度
2026/7/26
使用量
10 次下載 · 108 次瀏覽
檔案結構
📄 SKILL.md
zebbern 的更多技能
📦
prompt-engineering-patterns
85以經實證的模式改善 LLM 提示詞
不一致的提示詞會浪費時間，並讓 AI 輸出難以信任。此技能透過可重複使用的模式、範例、評估步驟和最佳化工作流程來指引提示詞設計。
效率 查看
📦
senior-architect
81設計可擴展的軟體架構
在 web、mobile、backend 和 cloud 系統之間比較架構決策並不容易。此技能提供結構化指南與本機 scaffold scripts，用於報告、依賴項審查和取捨文件。
程式開發 查看
📦
senior-fullstack
81以資深級模式建置全端應用程式
團隊需要一致的設定、架構與審查指引，來打造現代 Web 應用程式。此技能為 React、Next.js、Node.js、GraphQL 和 PostgreSQL 專案提供 scaffolders、工作流程參考與品質提示。
程式開發 查看
📦
prompt-engineer
81使用 Prompt Engineer 優化 AI 提示詞
當目標模糊或複雜時，要寫出清楚的提示詞並不容易。此技能會運用經驗證的提示詞框架，將粗略請求轉化為結構化提示詞。
效率 查看
📦
product-manager-toolkit
80運用研究洞察排定產品工作的優先順序
產品團隊需要更快速的方法來排序功能、綜合訪談內容並記錄決策。此技能提供 RICE 評分、訪談分析和 PRD 範本，用於結構化規劃。
效率 查看
相關技能
查看全部📦
web-app-penetration-testing
70Test Authorized Web Apps with Strix
由 usestrix
Web application reviews can miss vulnerabilities behind login and across tenant boundaries. This skill guides authorized Strix testing, evidence review, and repeat testing after fixes.
安全與法遵 查看
📦
webapp-sqlmap
38使用 SQLMap 測試 SQL 注入
由 AgentSecOps
手動 SQL 注入測試速度慢，而且容易留下品質不佳的文件。此技能提供經授權的 SQLMap 工作流程，涵蓋偵測、列舉、證據處理和修復。
安全與法遵 查看
📦
python-web-app-security-audit
90Audit Python Web Apps Before Release
由 glenskii
Python teams need repeatable checks for common application security controls. This skill provides configurable pytest coverage with clear evidence, boundaries, and release decisions.
安全與法遵 查看
📦
senior-security
81強化應用程式安全審查
由 alirezarezvani
安全審查通常缺乏一致的檢查清單和可重複使用的工作流程。此技能為 Claude、Codex 和 Claude Code 提供安全審查腳手架、參考指南和簡單的報告指令碼。
安全與法遵 查看
📦
security-report
78產生安全性評估報告
由 BytR-Ecosystems
安全性發現很難清楚呈現給高階主管和技術團隊。此技能會建立結構化 DOCX 報告，包含風險評級和修復指引。
安全與法遵 查看
📦
cultural-review
78審查文化資料實務
由 Acurioustractor
當同意、存取與所有權規則不明確時，敏感故事可能遭到不當處理。此技能會運用 OCAP、敏感度等級與核准工作流程來指引審查。
安全與法遵 查看