api-auth-and-jwt-abuse

API authentication and JWT abuse playbook. Use when testing bearer tokens, API keys, claim trust, header spoofing, rate limits, and API auth boundary weaknesses.

Star: 2,440
分类: 浏览器与测试
许可证: MIT
最近提交: 2026年9月13日

安装

将下方内容发给 Claude Code、Codex 或 Cursor。智能体先检查 Skill 内容，经你确认后安装。

读取 https://funcoding.ai/skills/yaklang/hack-skills/api-auth-and-jwt-abuse/install.md ，按里面的步骤帮我安装这个 Skill。

Star 趋势

近 7 天: +64
近 30 天: +259

2.4k

2026年4月7日2026年10月13日

Star 趋势
2026年4月7日	5
2026年7月16日	1361
2026年7月20日	1389
2026年7月24日	1426
2026年7月28日	1467
2026年8月1日	1499
2026年8月5日	1535
2026年8月9日	1556
2026年8月13日	1722
2026年8月17日	1769
2026年8月21日	1818
2026年8月25日	1853
2026年8月29日	1912
2026年9月2日	2013
2026年9月6日	2102
2026年9月10日	2147
2026年9月14日	2191
2026年9月18日	2228
2026年9月22日	2269
2026年9月26日	2305
2026年9月30日	2335
2026年10月4日	2367
2026年10月8日	2406
2026年10月12日	2440
2026年10月13日	2440

来源仓库

yaklang/hack-skills

Helping AI Agent become an awesome practical hacker!

在 GitHub 上查看

同仓库的其他 Skill29

查看全部

skills/api-auth-and-jwt-abuse/SKILL.md

SKILL: API Auth and JWT Abuse — Token Trust, Header Tricks, and Rate Limits

AI LOAD INSTRUCTION: Use this skill when APIs rely on JWT, bearer tokens, API keys, or weak request identity signals. Focus on token trust boundaries, claim misuse, header spoofing, and rate-limit bypass.

1. TOKEN TRIAGE

Inspect:

alg, kid, jku, x5u
role, org, tenant, scope, or privilege claims
issuer and audience mismatches
reuse of mobile and web tokens across products

2. QUICK ATTACK PICKS

Pattern	First Test
`alg:none` acceptance	unsigned token with trailing dot
RS256 confusion	switch to HS256 using public key as secret
`kid` lookup trust	path traversal or injection in `kid`
remote key fetch trust	attacker-controlled `jku` or `x5u`
weak secret	offline crack with targeted wordlists

3. HIDDEN FIELDS AND BATCH ABUSE

Mass assignment field picks

role
isAdmin
admin
verified
plan
tier
permissions
org
owner

Rate limit and batch abuse picks

X-Forwarded-For: 1.2.3.4
X-Real-IP: 5.6.7.8
Forwarded: for=9.9.9.9

GraphQL or JSON batch abuse candidates:

arrays of login mutations
bulk object fetches with varying IDs
repeated password reset or verification calls in one request

4. RATE LIMIT BYPASS FAMILIES

X-Forwarded-For
X-Real-IP
Forwarded
User-Agent rotation
Path case / slash variants

5. NEXT ROUTING

For GraphQL batching and hidden parameters: graphql and hidden parameters
For default credential and brute-force planning: authentication bypass
For full JWT and OAuth depth: jwt oauth token attacks
For OAuth or OIDC configuration flaws in browser and SSO flows: oauth oidc misconfiguration
For credentialed browser reads and origin trust bugs: cors cross origin misconfiguration