⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Federação de Identidade (SAML / OIDC / OAuth)

Quando Usar

• Testando fluxos de SSO/federação dentro de um escopo aprovado.
• Caçando falhas de validação de assinatura ou confusão de público.

Cenários de Aplicação

• Assinatura de Resposta SAML / Manipulação de Assertiva (padrão de falha clássico)
• OIDC Implícito / Código de Autorização + PKCE ausente
• Problemas de redirect_uri / state / nonce
• Confusão de metadados IdP e SP, issuer multi-tenant
• Complementar a ataques JWT com api-security (esta habilidade foca em federação e fluxos de SSO)

Fluxo de Trabalho

□ 画清：User → SP → IdP → Token → SP
□ 收集：/.well-known/openid-configuration、SAML metadata
□ 检查：redirect_uri 精确匹配、state 绑定、PKCE
□ 检查：SAML 签名覆盖范围、algorithm 降级
□ 会话固定与登出失效

Cadeia de Ferramentas

Referências

• references/sso-flow-checklist.md
• ../api-security/ ../windows-ad/ (IdP Corporativo)

Contexto de Rota

Upstream: MASTER R37
Downstream: API JWT Pura → api-security; IdP na Nuvem → cloud-k8s

Autoverificação de Conclusão de Tarefa

• Fluxo de SSO mapeado completamente?
• Cada achado tem reprodução e impacto?
• Checklist?

Limitações

• Testes do lado do IdP geralmente estão fora do escopo; confirme os limites primeiro.
• Testes de repetição de token podem bloquear usuários reais; planeje cuidadosamente.

Adaptado de zhaoxuya520/reverse-skill (MIT).