AgentStack
Browse Sign in
Browse Why AgentStack Sell Docs
Sign in
SKILL verified MIT Self-run

Auth Access Control

skill-zhaji2333-ckskills-auth-access-control · by zhaji2333

当出现注册/登录/找回密码/验证码/绑定手机/实名认证/OAuth/SSO/2FA/JWT等认证功能，或发现ID可替换、角色参数可控、租户ID可控、接口存在越权迹象时调用。负责认证绕过、会话安全、水平/垂直越权、多租户隔离、密码重置、加密与随机性弱点分析。

↗ Repository
— No reviews yet
0 installs
0 views
— view→install

Install

$ agentstack add skill-zhaji2333-ckskills-auth-access-control

✓ scanned · ✓ verified, works with Claude Code, Cursor, and more.

Security review

✓ Passed

No issues found. Passed automated security review. · v0.1.0 How review works →

  • ✓ Prompt-injection patterns
  • ✓ Secret / credential exfiltration
  • ✓ Dangerous shell & filesystem operations
  • ✓ Untrusted network calls
  • ✓ Known-malicious package signatures

What it can access

  • ✓ Network access No
  • ✓ Filesystem access No
  • ✓ Shell / process execution No
  • ✓ Environment & secrets No
  • ✓ Dynamic code execution No

From automated source analysis of v0.1.0. “Used” means the capability is present in the source — more access means more to trust, not that it’s unsafe.

View the full security report →

Verified badge

Passed review? Show it. Paste this badge into your README, it links to the public security report.

AgentStack Verified badge Links to your public security report.
[![AgentStack Verified](https://agentstack.voostack.com/badges/verified.svg)](https://agentstack.voostack.com/security/report/skill-zhaji2333-ckskills-auth-access-control)

Reliability & compatibility

✓ Security review passed
0 installs to date
— no reviews yet
● today

Declared compatibility

Claude CodeClaude Desktop

Compatibility is declared by the source manifest. End-to-end runtime verification is coming, see below.

Preview Execution monitoring

We're building live execution health for every listing: tool-call success rate, median latency, uptime, and last-checked timestamps, measured, not self-reported. It isn't live yet, so we don't show numbers we can't stand behind.

How agent discovery & health will work →
Are you the author of Auth Access Control? Claim this listing to set pricing, connect Stripe payouts, and keep 70% of every sale.
Sign up to claim

About

auth-access-control — 认证授权与越权专项深度挖掘

何时调用（触发条件）

  • 注册/登录/找回密码/绑定换绑/实名认证/第三方登录/SSO/2FA 功能
  • JWT/Token/Session 机制存在或可疑
  • 发现对象ID可控（订单、用户、地址、收藏）
  • 发现 role/admin/tenant_id 等参数可控
  • 同一接口不同角色返回差异
  • 加密/签名参数需要逆向分析（自研加密、弱哈希、可预测随机数）

一、身份认证与会话安全

| 类型 | 场景 | 挖掘要点 | |---|---|---| | A1. 弱口令/默认口令 | 管理后台、运维面板、测试账号残留 | 字典策略、验证码绕过、MFA检查 | | A2. 认证绕过 | 客户端校验、异常路径放行 | 不同header/cookie/参数组合对比 | | A3. 会话固定/劫持 | 登录前后session不变 | Secure/HttpOnly/SameSite检查 | | A4. JWT/Token风险 | 弱密钥、alg混淆、过期不校验 | token校验逻辑、重放测试 |

JWT/Token 专项

  • 弱密钥爆破（jwt_tool / hashcat）
  • alg 混淆：RS256→HS256，用公钥当私钥签名
  • 过期 token 是否仍可用、注销是否失效
  • 重放测试：同 token 多端使用、跨环境使用
  • 签名算法是否强制校验（none 算法）

二、访问控制与越权

| 类型 | 场景 | 挖掘要点 | |---|---|---| | B1. 水平越权（IDOR） | /order?id=xxx | 同角色不同用户资源ID替换 | | B2. 垂直越权 | 管理接口未鉴权 | 对比管理员/用户接口差异 | | B3. 多租户隔离失败 | tenantId可控 | 更换租户标识跨租户访问 |

权限验证三问（每次越权测试必答）

  • 我是谁（认证）→ 身份是否可伪造
  • 我能干什么（授权）→ 角色是否可篡改
  • 我能操作哪个对象（对象级校验）→ 资源 ID 是否可替换

三、用户认证类场景表（全景）

| 场景 | 漏洞类型 | 挖掘要点 | |---|---|---| | 用户注册 | 批量注册/手机号遍历/邮箱轰炸 | 无验证码、验证码可绕过、无频率限制 | | 用户登录 | 暴力破解/凭证泄露/登录绕过 | 无锁定机制、错误信息泄露用户存在性 | | 密码找回 | 任意用户密码重置 | token可预测、验证码回显、用户凭证可控 | | 短信/邮件验证码 | 验证码绕过/轰炸/回显 | 万能验证码、验证码在响应中、无次数限制 | | 手机号绑定/换绑 | 任意绑定/覆盖绑定 | 旧手机验证可绕过、直接绑定无验证 | | 实名认证 | 绕过/伪造/信息泄露 | 前端校验、接口未验证、返回他人信息 | | OAuth/第三方登录 | 账号劫持/绑定覆盖 | redirect_uri校验不严、state可预测 | | SSO单点登录 | 票据伪造/会话固定 | ticket可重放、跨域token泄露 | | 双因素认证(2FA) | 绕过/降级攻击 | 备用验证弱、可直接跳过2FA步骤 |

四、权限控制类场景表（全景）

| 场景 | 漏洞类型 | 挖掘要点 | |---|---|---| | 订单/交易详情 | 水平越权(IDOR) | 订单号遍历、无归属校验 | | 个人信息/地址管理 | 越权查看/修改/删除 | ID可控、无用户绑定校验 | | 后台管理接口 | 垂直越权/未授权访问 | 普通用户直接调用管理接口 | | 角色/权限管理 | 越权提权 | role参数可控、权限ID可猜测 | | 多租户系统 | 租户隔离失败 | tenant_id可控、跨租户访问 | | 数据导出/报表 | 越权导出他人数据 | 导出范围可控、无权限过滤 | | 批量操作接口 | 批量越权 | ids参数含他人资源ID | | 审批/工作流 | 越权审批/跳过流程 | 直接修改审批状态、绕过前置节点 |

五、加密与随机性弱点（M类）

  • 自研加密算法：逆向分析密钥、固定IV、可逆算法
  • 弱哈希：MD5/SHA1 无盐、可预测随机数生成 token/验证码
  • token/验证码可预测性：时间戳、递增序列、固定种子
  • 加密参数篡改：修改密文中的用户ID/金额字段是否生效

六、挖掘步骤

  1. 收集凭证流转：注册→登录→找回密码→绑定→解绑，记录每个步骤的凭证传递
  2. 对比测试：A用户 token 访问 B用户资源；无 token/过期 token/伪 token 访问
  3. 角色篡改：注册时或请求中注入 role=admin / isAdmin=true / group_id
  4. 对象绑定：遍历资源 ID（订单号、用户ID、uuid），观察归属校验
  5. 租户切换：修改 tenantid/orgid，验证跨租户访问
  6. 验证码专项：回显、万能码、爆破（无锁定）、并发、响应头/Set-Cookie 泄露
  7. 密码重置链：验证码绕过 → token 预测 → 任意用户重置 → 登录目标账号
  8. OAuth/SSO：redirect_uri 白名单绕过、state 缺失/可预测、绑定覆盖

七、验证要点

  • 响应差异：状态码、响应体字段、错误措辞（用户存在性枚举）
  • 越权判定：能读到/改到他人数据即确认，无需深入
  • 多用户矩阵：A↔B 双向测试，同角色/跨角色/跨租户
  • 报告需标注：前置条件（登录态/角色/网络位置）、影响对象数量

八、修复建议

  • 服务端统一鉴权：每个接口强制校验身份与资源归属
  • 对象ID不可预测（UUID）+ 归属校验（owner_id 比对）
  • 验证码：服务端校验、次数限制、时效、防爆破
  • JWT：强密钥、强制算法白名单、短时效+撤销机制
  • 密码重置 token：高熵随机、一次性、绑定会话
  • 敏感操作（改密/绑手机/资金）增加二次验证

Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

Install and usage instructions live in the source repository linked above.

Reviews

No reviews yet, be the first.

Write a review

Versions

  • v0.1.0 Imported from the upstream source.

More in Security