mcpField
A
api-auth-and-jwt-abuse

api-auth-and-jwt-abuse

github.com/yaklang安全2.6k3.8k 次安装6 周前更新
代码仓库

关于 api-auth-and-jwt-abuse

面向 API 安全测试的技能，涵盖 JWT、Bearer Token 和 API Key 身份验证。它整理令牌与声明检查、批量赋值探测及速率限制绕过思路。

主要功能

  1. 01JWT 头部与声明检查
  2. 02令牌信任边界检查
  3. 03批量赋值字段探测
  4. 04速率限制绕过模式
  5. 05关联安全技能指引

适用场景

  1. 01评估 API 令牌验证
  2. 02测试权限声明与隐藏字段
  3. 03检查 IP 请求头限流控制

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/yaklang/hack-skills --skill api-auth-and-jwt-abuse

安装后在 Claude Code 中输入/api-auth-and-jwt-abuse确认已加载。

详细介绍

技能：API 身份验证与 JWT 滥用——令牌信任、标头技巧和速率限制

AI 加载说明：当 API 使用 JWT、Bearer 令牌、API 密钥或薄弱的请求身份标识时，使用此技能。重点关注令牌信任边界、声明滥用、标头伪造和速率限制绕过。

1. 令牌初步检查

检查：

  • alg、kid、jku、x5u
  • 角色、组织、租户、范围或权限声明
  • 签发者和受众不匹配
  • 在不同产品之间复用移动端和 Web 令牌

2. 快速攻击选项

模式首要测试
接受 alg:none带尾随句点的未签名令牌
RS256 混淆将算法切换为 HS256，并使用公钥作为密钥
信任 kid 查找在 kid 中尝试路径遍历或注入
信任远程密钥获取使用攻击者控制的 jku 或 x5u
弱密钥使用有针对性的字典离线破解

3. 隐藏字段和批量滥用

批量赋值字段选项
role
isAdmin
admin
verified
plan
tier
permissions
org
owner
速率限制和批量滥用选项
X-Forwarded-For: 1.2.3.4
X-Real-IP: 5.6.7.8
Forwarded: for=9.9.9.9

GraphQL 或 JSON 批处理滥用候选项：

  • 登录变更操作数组
  • 使用不同 ID 批量获取对象
  • 在单个请求中重复调用密码重置或验证接口

4. 速率限制绕过类型

X-Forwarded-For
X-Real-IP
Forwarded
User-Agent rotation
Path case / slash variants

5. 后续路由

评论

支持 Markdown