⚠️ APENAS USO AUTORIZADO Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Fluxo de Trabalho de Teste de Segurança de API

Visão Geral

Fluxo de trabalho especializado para testar a segurança de APIs REST e GraphQL, incluindo autenticação, autorização, limitação de taxa, validação de entrada e vulnerabilidades específicas de API.

Quando Usar Este Fluxo de Trabalho

Use este fluxo de trabalho quando:

• Testando a segurança de APIs REST
• Avaliando endpoints GraphQL
• Validando a autenticação de API
• Testando a limitação de taxa de API
• Testando APIs em caça a bugs

Escopo e Evidências

Selecione fases e contas de teste aprovadas; não envie todas as habilidades listadas automaticamente. Use recursos próprios para métodos destrutivos, injeções, força bruta, exaustão de recursos e requisições GraphQL complexas/profundas. Defina limites de requisição, concorrência, bytes e duração, condições de parada e limpeza antes de testar. Mantenha sistemas de terceiros e dados reais de clientes fora dos testes. Esquemas públicos, cabeçalhos ausentes e uma resposta HTTP de sucesso por si só não provam uma falha de autorização ou um bypass explorável de limite. Registre endpoints não testados e o impacto observado em vez de verificar "todos os endpoints testados" por suposição.

Fases do Fluxo de Trabalho

Fase 1: Descoberta de API

Habilidades a Invocar

• api-fuzzing-bug-bounty - Fuzzing de API
• scanning-tools - Escaneamento de API

Ações

1. Enumerar endpoints
2. Documentar métodos de API
3. Identificar parâmetros
4. Mapear fluxos de dados
5. Revisar documentação

Prompts de Copiar e Colar

Use @api-fuzzing-bug-bounty to discover API endpoints

Fase 2: Teste de Autenticação

Habilidades a Invocar

• broken-authentication - Teste de autenticação
• api-security-best-practices - Autenticação de API

Ações

1. Testar validação de chave de API
2. Testar tokens JWT
3. Testar fluxos OAuth2
4. Testar expiração de token
5. Testar tokens de atualização

Prompts de Copiar e Colar

Use @broken-authentication to test API authentication

Fase 3: Teste de Autorização

Habilidades a Invocar

• idor-testing - Teste de IDOR

Ações

1. Testar autorização em nível de objeto
2. Testar autorização em nível de função
3. Testar acesso baseado em função
4. Testar escalonamento de privilégios
5. Testar isolamento multi-inquilino

Prompts de Copiar e Colar

Use @idor-testing to test API authorization

Fase 4: Validação de Entrada

Habilidades a Invocar

• api-fuzzing-bug-bounty - Fuzzing de API
• sql-injection-testing - Teste de injeção

Ações

1. Testar validação de parâmetros
2. Testar injeção de SQL
3. Testar injeção de NoSQL
4. Testar injeção de comando
5. Testar injeção de XXE

Prompts de Copiar e Colar

Use @api-fuzzing-bug-bounty to fuzz API parameters

Fase 5: Limitação de Taxa

Habilidades a Invocar

• api-security-best-practices - Limitação de taxa

Ações

1. Testar cabeçalhos de limite de taxa
2. Testar proteção contra força bruta
3. Testar exaustão de recursos
4. Testar técnicas de bypass
5. Documentar limitações

Prompts de Copiar e Colar

Use @api-security-best-practices to test rate limiting

Fase 6: Teste de GraphQL

Habilidades a Invocar

• api-fuzzing-bug-bounty - Fuzzing de GraphQL

Ações

1. Testar introspecção
2. Testar profundidade de consulta
3. Testar complexidade de consulta
4. Testar consultas em lote
5. Testar sugestões de campo

Prompts de Copiar e Colar

Use @api-fuzzing-bug-bounty to test GraphQL security

Fase 7: Tratamento de Erros

Habilidades a Invocar

• api-security-best-practices - Tratamento de erros

Ações

1. Testar mensagens de erro
2. Verificar divulgação de informações
3. Testar rastreamentos de pilha
4. Verificar logs
5. Documentar descobertas

Prompts de Copiar e Colar

Use @api-security-best-practices to audit API error handling

Checklist de Segurança de API

• Autenticação funcionando
• Autorização aplicada
• Entrada validada
• Limitação de taxa ativa
• Erros sanitizados
• Logs ativados

…