# Auth Access Control

> 当出现注册/登录/找回密码/验证码/绑定手机/实名认证/OAuth/SSO/2FA/JWT等认证功能，或发现ID可替换、角色参数可控、租户ID可控、接口存在越权迹象时调用。负责认证绕过、会话安全、水平/垂直越权、多租户隔离、密码重置、加密与随机性弱点分析。

- **Type:** Skill
- **Install:** `agentstack add skill-zhaji2333-ckskills-auth-access-control`
- **Verified:** Yes — security-reviewed for prompt injection and unsafe behavior
- **Seller:** [zhaji2333](https://agentstack.voostack.com/s/zhaji2333)
- **Installs:** 0
- **Category:** [Security](https://agentstack.voostack.com/c/security)
- **Latest version:** 0.1.0
- **License:** MIT
- **Upstream author:** [zhaji2333](https://github.com/zhaji2333)
- **Source:** https://github.com/zhaji2333/CkSKILLS/tree/main/.agents/skills/auth-access-control

## Install

```sh
agentstack add skill-zhaji2333-ckskills-auth-access-control
```

Requires the [AgentStack CLI](https://agentstack.voostack.com/docs/cli). Works with Claude Code, Cursor, and any MCP-compatible agent.

## About

# auth-access-control — 认证授权与越权专项深度挖掘

## 何时调用（触发条件）

- 注册/登录/找回密码/绑定换绑/实名认证/第三方登录/SSO/2FA 功能
- JWT/Token/Session 机制存在或可疑
- 发现对象ID可控（订单、用户、地址、收藏）
- 发现 role/admin/tenant_id 等参数可控
- 同一接口不同角色返回差异
- 加密/签名参数需要逆向分析（自研加密、弱哈希、可预测随机数）

## 一、身份认证与会话安全

| 类型 | 场景 | 挖掘要点 |
|---|---|---|
| A1. 弱口令/默认口令 | 管理后台、运维面板、测试账号残留 | 字典策略、验证码绕过、MFA检查 |
| A2. 认证绕过 | 客户端校验、异常路径放行 | 不同header/cookie/参数组合对比 |
| A3. 会话固定/劫持 | 登录前后session不变 | Secure/HttpOnly/SameSite检查 |
| A4. JWT/Token风险 | 弱密钥、alg混淆、过期不校验 | token校验逻辑、重放测试 |

### JWT/Token 专项
- 弱密钥爆破（`jwt_tool` / hashcat）
- alg 混淆：`RS256→HS256`，用公钥当私钥签名
- 过期 token 是否仍可用、注销是否失效
- 重放测试：同 token 多端使用、跨环境使用
- 签名算法是否强制校验（none 算法）

## 二、访问控制与越权

| 类型 | 场景 | 挖掘要点 |
|---|---|---|
| B1. 水平越权（IDOR） | `/order?id=xxx` | 同角色不同用户资源ID替换 |
| B2. 垂直越权 | 管理接口未鉴权 | 对比管理员/用户接口差异 |
| B3. 多租户隔离失败 | tenantId可控 | 更换租户标识跨租户访问 |

### 权限验证三问（每次越权测试必答）
- 我是谁（认证）→ 身份是否可伪造
- 我能干什么（授权）→ 角色是否可篡改
- 我能操作哪个对象（对象级校验）→ 资源 ID 是否可替换

## 三、用户认证类场景表（全景）

| 场景 | 漏洞类型 | 挖掘要点 |
|---|---|---|
| 用户注册 | 批量注册/手机号遍历/邮箱轰炸 | 无验证码、验证码可绕过、无频率限制 |
| 用户登录 | 暴力破解/凭证泄露/登录绕过 | 无锁定机制、错误信息泄露用户存在性 |
| 密码找回 | 任意用户密码重置 | token可预测、验证码回显、用户凭证可控 |
| 短信/邮件验证码 | 验证码绕过/轰炸/回显 | 万能验证码、验证码在响应中、无次数限制 |
| 手机号绑定/换绑 | 任意绑定/覆盖绑定 | 旧手机验证可绕过、直接绑定无验证 |
| 实名认证 | 绕过/伪造/信息泄露 | 前端校验、接口未验证、返回他人信息 |
| OAuth/第三方登录 | 账号劫持/绑定覆盖 | redirect_uri校验不严、state可预测 |
| SSO单点登录 | 票据伪造/会话固定 | ticket可重放、跨域token泄露 |
| 双因素认证(2FA) | 绕过/降级攻击 | 备用验证弱、可直接跳过2FA步骤 |

## 四、权限控制类场景表（全景）

| 场景 | 漏洞类型 | 挖掘要点 |
|---|---|---|
| 订单/交易详情 | 水平越权(IDOR) | 订单号遍历、无归属校验 |
| 个人信息/地址管理 | 越权查看/修改/删除 | ID可控、无用户绑定校验 |
| 后台管理接口 | 垂直越权/未授权访问 | 普通用户直接调用管理接口 |
| 角色/权限管理 | 越权提权 | role参数可控、权限ID可猜测 |
| 多租户系统 | 租户隔离失败 | tenant_id可控、跨租户访问 |
| 数据导出/报表 | 越权导出他人数据 | 导出范围可控、无权限过滤 |
| 批量操作接口 | 批量越权 | ids参数含他人资源ID |
| 审批/工作流 | 越权审批/跳过流程 | 直接修改审批状态、绕过前置节点 |

## 五、加密与随机性弱点（M类）

- 自研加密算法：逆向分析密钥、固定IV、可逆算法
- 弱哈希：MD5/SHA1 无盐、可预测随机数生成 token/验证码
- token/验证码可预测性：时间戳、递增序列、固定种子
- 加密参数篡改：修改密文中的用户ID/金额字段是否生效

## 六、挖掘步骤

1. **收集凭证流转**：注册→登录→找回密码→绑定→解绑，记录每个步骤的凭证传递
2. **对比测试**：A用户 token 访问 B用户资源；无 token/过期 token/伪 token 访问
3. **角色篡改**：注册时或请求中注入 role=admin / isAdmin=true / group_id
4. **对象绑定**：遍历资源 ID（订单号、用户ID、uuid），观察归属校验
5. **租户切换**：修改 tenant_id/org_id，验证跨租户访问
6. **验证码专项**：回显、万能码、爆破（无锁定）、并发、响应头/Set-Cookie 泄露
7. **密码重置链**：验证码绕过 → token 预测 → 任意用户重置 → 登录目标账号
8. **OAuth/SSO**：redirect_uri 白名单绕过、state 缺失/可预测、绑定覆盖

## 七、验证要点

- 响应差异：状态码、响应体字段、错误措辞（用户存在性枚举）
- 越权判定：能读到/改到他人数据即确认，无需深入
- 多用户矩阵：A↔B 双向测试，同角色/跨角色/跨租户
- 报告需标注：前置条件（登录态/角色/网络位置）、影响对象数量

## 八、修复建议

- 服务端统一鉴权：每个接口强制校验身份与资源归属
- 对象ID不可预测（UUID）+ 归属校验（owner_id 比对）
- 验证码：服务端校验、次数限制、时效、防爆破
- JWT：强密钥、强制算法白名单、短时效+撤销机制
- 密码重置 token：高熵随机、一次性、绑定会话
- 敏感操作（改密/绑手机/资金）增加二次验证

## Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

- **Author:** [zhaji2333](https://github.com/zhaji2333)
- **Source:** [zhaji2333/CkSKILLS](https://github.com/zhaji2333/CkSKILLS)
- **License:** MIT

Install and usage instructions live in the source repository linked above.

## Pricing

- **Free** — Free

## Security capabilities

Automated source analysis of v0.1.0 — what this tool can access:

- **Network access:** no
- **Filesystem access:** no
- **Shell / process execution:** no
- **Environment & secrets:** no
- **Dynamic code execution:** no

*"Yes" means the capability is present in the source — more access means more to trust, not that it is unsafe.*


## Versions

- **0.1.0** — security scan: passed — Imported from the upstream source.

## Links

- Listing page: https://agentstack.voostack.com/l/skill-zhaji2333-ckskills-auth-access-control
- Seller: https://agentstack.voostack.com/s/zhaji2333
- Browse the marketplace: https://agentstack.voostack.com/browse

---
Listed on AgentStack — the marketplace for AI agent skills and MCP servers. Every listing is security-reviewed. Creators keep 70%.