mcpField
A
api-auth-and-jwt-abuse

api-auth-and-jwt-abuse

github.com/yaklangセキュリティ2.6k3.8k 回インストール6 週間前に更新
リポジトリ

api-auth-and-jwt-abuse について

JWT、Bearer Token、API Keyを使うAPI認証のセキュリティ検証向けスキルです。トークンやクレームの確認、マスアサインメントの検査、レート制限回避のテストを扱います。

主な機能

  1. 01JWTヘッダーとクレームの確認
  2. 02トークンの信頼境界の検査
  3. 03マスアサインメント項目の確認
  4. 04レート制限回避パターン
  5. 05関連セキュリティスキルへの案内

活用シーン

  1. 01APIトークン検証の評価
  2. 02権限クレームと隠し項目のテスト
  3. 03IPヘッダーによる制限の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/yaklang/hack-skills --skill api-auth-and-jwt-abuse

インストール後、Claude Code で/api-auth-and-jwt-abuseを入力して読み込まれたか確認します。

詳細

スキル：API 認証と JWT の悪用 — トークンの信頼性、ヘッダーのトリック、レート制限

AI LOAD INSTRUCTION: API が JWT、ベアラートークン、API キー、または弱いリクエスト ID シグナルに依存している場合は、このスキルを使用してください。トークンの信頼境界、クレームの誤用、ヘッダーのなりすまし、レート制限の回避に重点を置きます。

1. トークンのトリアージ

次の項目を調査します。

  • alg、kid、jku、x5u
  • ロール、組織、テナント、スコープ、または権限のクレーム
  • 発行者とオーディエンスの不一致
  • 製品間でのモバイルトークンとウェブトークンの使い回し

2. すぐに試す攻撃パターン

パターン最初のテスト
alg:none の受け入れ末尾にドットを付けた署名なしトークン
RS256 の混同公開鍵をシークレットとして使用し、HS256 に切り替える
kid の参照先の信頼kid に対するパストラバーサルまたはインジェクション
リモートキー取得先の信頼攻撃者が制御する jku または x5u
弱いシークレット対象を絞ったワードリストを使ったオフラインでのクラッキング

3. 隠しフィールドとバッチの悪用

Mass assignment で試すフィールド
role
isAdmin
admin
verified
plan
tier
permissions
org
owner
レート制限とバッチの悪用で試すパターン
X-Forwarded-For: 1.2.3.4
X-Real-IP: 5.6.7.8
Forwarded: for=9.9.9.9

GraphQL または JSON のバッチ悪用候補：

  • ログインミューテーションの配列
  • ID を変えながらの一括オブジェクト取得
  • 1 回のリクエスト内でのパスワードリセットまたは検証呼び出しの繰り返し

4. レート制限を回避するパターン

X-Forwarded-For
X-Real-IP
Forwarded
User-Agent rotation
Path case / slash variants

5. 次のルーティング

  • GraphQL のバッチ処理と隠しパラメーターについては、graphql and hidden parameters を参照してください
  • デフォルトの認証情報とブルートフォース攻撃の計画については、authentication bypass を参照してください
  • JWT と OAuth の詳細については、jwt oauth token attacks を参照してください
  • ブラウザーおよび SSO フローにおける OAuth または OIDC の設定不備については、oauth oidc misconfiguration を参照してください
  • 認証情報を使ったブラウザー読み取りとオリジンの信頼に関する不備については、cors cross origin misconfiguration を参照してください

コメント

Markdown 対応