Tests de sécurité API BOLA/IDOR

de mukul975-anthropic-cybersecurity-skills-cybersecurity-skills12

Guide complet pour tester les API REST et GraphQL contre les vulnérabilités BOLA (Broken Object Level Authorization) et IDOR.

déclencheurs:BOLA testingIDOR in APIsobject-level authorizationAPI access control bypassOWASP API1:2023

GitHub SKILL.md

Ce que fait ce skill

Ce skill fournit une méthodologie rigoureuse pour identifier les vulnérabilités de type Broken Object Level Authorization (BOLA), également connues sous le nom d'IDOR (Insecure Direct Object References). Il permet à un agent de tester systématiquement si des utilisateurs authentifiés peuvent accéder à des ressources appartenant à d'autres utilisateurs ou les modifier en manipulant les identifiants d'objets dans les requêtes API.

Quand l'utiliser

Activez ce skill lors de la réalisation d'audits de sécurité sur des API REST ou GraphQL, lors de l'évaluation d'applications SaaS multi-tenants, ou pour valider le middleware d'autorisation après le déploiement de nouveaux endpoints. Il est spécifiquement conçu pour les évaluations basées sur le Top 10 de la sécurité des API de l'OWASP (API1:2023).

Ce qui est inclus

Scripts : Scripts Python pour automatiser la capture de requêtes de base et les tests BOLA sur différents types d'ID (Séquentiels, UUID, Slugs).
Références : Cartographie détaillée des types d'ID d'objets et des risques associés.
Instructions : Workflow étape par étape incluant la découverte d'endpoints, les tests d'escalade de privilèges horizontale, des techniques avancées (pollution de paramètres, overrides de corps) et l'intégration avec des outils comme l'extension Autorize de Burp Suite.

Agents compatibles

Conçu pour les agents IA ayant un accès au shell et la capacité d'exécuter des scripts Python, en particulier ceux intégrés à des ensembles d'outils de sécurité comme Burp Suite ou OWASP ZAP.

Étiquettes

#api-security #owasp #bola #idor #authorization #penetration-testing #rest-api #graphql

Pas encore audité

Cette compétence n'a pas encore été examinée par notre pipeline d'audit automatisé.

Informations

Dépôt: mukul975-anthropic-cybersecurity-skills-cybersecurity-skills
Étoiles: 12

Compétences similaires

GraphQL Inspector — Validate

Validate GraphQL operations against a schema with configurable depth, complexity, alias and directive limits to catch errors before runtime.

arxiv2md

Convert arXiv papers into clean, LLM-ready Markdown via a REST API or CLI for fast reading, summarization, and downstream processing.

LAP CLI

CLI for compiling, searching, and managing API specifications into a compact agent-native format and generating/installing skills from specs.

Anthropic Security Basics

Practical security practices for Anthropic Claude integrations: API key management, input validation, prompt-injection defenses, and output scanning.

UXC — Unified eXecution CLI

Discover, inspect, and invoke schema-exposed remote interfaces (OpenAPI, GraphQL, gRPC, MCP, JSON-RPC) via a single CLI contract with deterministic JSON envelop

API and Interface Design

Guides design of stable, predictable APIs and interfaces — contract-first patterns, error semantics, pagination, and naming conventions for robust integrations.

Security Research Meta-Methodology

A structured vulnerability research framework distilled from 5600+ security docs, covering web injection, deserialization, binary exploitation, domain pentest,

Marmot Data Catalog

Search and manage data assets, view lineage and glossary terms, and inspect pipeline runs via the Marmot CLI, REST API, or MCP server.

Retour aux compétences