broken-authentication

仓库创建 2026年7月26日最近提交 1 天前SkillHot 收录 10 小时前

⬈ GitHub 仓库 ⬈ SKILL.md 原文件 ⬇ Raw 原始文件

▸ 精选理由

覆盖从签发到验证的全面攻击面，利于渗透测试与加固。

▸ 风险提示

涉及凭据与攻击逻辑，勿在未授权环境使用。

这个 Skill 做什么

评估 API 认证（令牌签发、校验、过期）是否可被绕过或盗用。

测试 API 的认证环节：令牌如何签发、校验、过期以及凭证端点，找出能被绕过或盗用的弱点。通过模拟攻击场景判断是否能冒充他人或滥用旧凭证，并给出加固建议。用于评估任何基于 token 的后端或排查登录相关风险。

▸ 展开 SKILL.md 英文原文

Use when testing how an API authenticates callers — token issuance, validation, expiry, and credential endpoints — for the flaws that let an attacker forge or steal identity.

开发编程认证API令牌通用

Stars

Forks

仓库内 Skill

积累中

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/04-api-security/02-broken-authentication/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/04-api-security/02-broken-authentication/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

## Purpose

APIs have no browser and no login page — authentication is a token the client sends on every request. When token issuance, validation, or the credential endpoints are weak, an attacker becomes another user. This skill covers testing API authentication end to end and the fixes. It's the broad companion to the JWT-specific skill.

## When to use it

Any API that authenticates callers — bearer tokens, API keys, session tokens. Test the login/token endpoints, the validation on protected routes, and the lifecycle (refresh, revoke) together.

## Procedure

1. **Map how auth works.** How is a token obtained (login, OAuth, API key), where is it sent (header, query — a query string is alr

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有