elementalsouls/Claude-BugHunter✦ 精选0°

hunt-idor

仓库创建 2026年5月5日最近提交 4 天前SkillHot 收录 20 天前

⬈ GitHub 仓库 ⬈ SKILL.md 原文件 ⬇ Raw 原始文件

▸ 精选理由

覆盖高价值目标与可复现测试流程，适合漏洞赏金

▸ 风险提示

可能包含敏感数据访问方法，滥用风险

这个 Skill 做什么

针对 IDOR 的检测与利用手法，基于实战报告汇总

专门找 IDOR（不当直接对象引用）漏洞的实战手册，基于大量赏金报告整理的方法和技巧。适合渗透测试或漏洞狩猎时定位能越权访问他人资源的缺陷。按资产价值排序优先级，并给出复现与利用链路的思路。

▸ 展开 SKILL.md 英文原文

Hunting skill for idor vulnerabilities. Built from 26 public bug bounty reports. Use when hunting idor on any target.

研究检索IDOR水平越权数据泄露通用

3.1k

Stars

480

Forks

仓库内 Skill

+245

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/elementalsouls/Claude-BugHunter/main/skills/hunt-idor/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/elementalsouls/Claude-BugHunter/main/skills/hunt-idor/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

## Crown Jewel Targets

**Why IDOR pays big:**
- Direct access to other users' data without authentication bypass — clear, demonstrable impact
- Chains easily with privilege escalation, financial fraud, and account takeover
- Affects virtually every application with user-owned resources

**Highest-value asset types (by payout potential):**

| Asset Type | Why It Pays |
|---|---|
| Financial documents / billing APIs | PII + financial data exposure (Shopify, Uber, PayPal) |
| Private repositories / source code | IP theft, critical data loss (GitHub) |
| User messages / DMs | Privacy violation at scale (Reddit) |
| Account management endpoints | User addition, deletion, privilege escalation (Pa

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有