SkillProof tested Claude skills

API Fuzzing (Bug Bounty)

Fuzzt REST- und GraphQL-APIs, um IDOR und andere bug-bounty-taugliche Schwachstellen zu finden.

von zebbern · zebbern/claude-code-guide

Funktioniert mit Setup ★ 6.8/10

API Fuzzing (Bug Bounty) — Fuzzt REST- und GraphQL-APIs, um IDOR und andere bug-bounty-taugliche Schwachstellen zu finden.

Was es kann

Dieser Skill sollte verwendet werden, wenn der Nutzer bittet, „API-Sicherheit testen“, „APIs fuzzen“, „IDOR-Schwachstellen finden“, „REST-API testen“, „GraphQL testen“, „API-Penetrationstest“, „Bug-Bounty-API-Test“, oder Anleitung zu API-Sicherheitsbewertungstechniken benötigt.

Testbericht

Ein Leitfaden für autorisierte Pentests / Bug-Bounty-API-Methodik (Recon, Auth-Testing, IDOR/BOLA, Injection, GraphQL) — defensiv getestet gegen eine lokale Wegwerf-API mit einer bewusst eingebauten IDOR, nur localhost, keine externen Ziele. Wortgetreue clone+copy-Installation lief beim ersten Versuch; der Skill ist eine einzelne, in sich geschlossene SKILL.md-Checkliste (curl-gestützte manuelle Technik, kein automatisierter Scanner) mit präzisen Tool-Referenzen und ohne Automatisierungs-Übertreibungen, liefert allerdings keinen Rechts-/Scope-Disclaimer für einen dual-use-fähigen offensiven Leitfaden. Im A/B fanden beide Arme die eingebaute IDOR (Alices Token liest Bobs Bestellung, leakt card_last4) in beide Richtungen mit identischer Negativkontroll-Disziplin und demselben 403/404-Ownership-Check-Fix; der Skill ergänzte einen Recon-Sweep und ein explizites Checklisten-Framing, erzielte aber keinen materiell besseren Fund als das direkte Audit der Base-Variante.

Getestet am: 2026-07-12 · Claude Code 2.x (agent harness)

Installation

git clone https://github.com/zebbern/claude-code-guide
cd claude-code-guide
mkdir -p ~/.claude/skills
cp -r skills/api-fuzzing-bug-bounty ~/.claude/skills/api-fuzzing-bug-bounty

Befehle & Beispiel-Prompts

  • /api-fuzzing-bug-bountyFuzzt REST- und GraphQL-APIs, um IDOR und andere bug-bounty-taugliche Schwachstellen zu finden.

Skills reagieren auf normale Anfragen — keine Slash-Befehle nötig. Nach der Installation aktivieren Prompts wie diese den Skill (auf Englisch):

  • Fuzz this REST API for IDOR vulnerabilities
  • Test this GraphQL endpoint for security flaws
  • Run an API penetration test for bug bounty

Vollständiger Testbericht (Englisch) →