SkillProof tested Claude skills

API Fuzzing (Bug Bounty)

Fa fuzzing di API REST e GraphQL per trovare IDOR e altre falle da bug bounty.

di zebbern · zebbern/claude-code-guide

Richiede configurazione ★ 6.8/10

API Fuzzing (Bug Bounty) — Fa fuzzing di API REST e GraphQL per trovare IDOR e altre falle da bug bounty.

Cosa fa

Questo skill va usato quando l'utente chiede di "testare la sicurezza delle API", "fare fuzzing delle API", "trovare vulnerabilità IDOR", "testare API REST", "testare GraphQL", "penetration testing di API", "bug bounty testing di API", oppure ha bisogno di indicazioni sulle tecniche di valutazione della sicurezza delle API.

Rapporto di test

Una guida metodologica per pentest autorizzati / bug bounty su API (recon, test di autenticazione, IDOR/BOLA, injection, GraphQL) — testata in modo difensivo contro un'API locale usa-e-getta con un IDOR piantato di proposito, solo su localhost, nessun target esterno. L'installazione verbatim clone+copy ha funzionato al primo tentativo; lo skill è una checklist autonoma in un solo SKILL.md (tecnica manuale guidata da curl, non uno scanner automatico) con riferimenti agli strumenti accurati e nessuna promessa eccessiva di automazione, anche se non include alcun disclaimer legale/di scope per una guida offensiva a duplice uso. Nell'A/B entrambi i bracci hanno individuato l'IDOR piantato (il token di Alice che legge l'ordine di Bob, con leak di card_last4) in entrambe le direzioni, con la stessa disciplina di controllo negativo e la stessa correzione del controllo di ownership 403/404; lo skill ha aggiunto una scansione di recon e un'impostazione esplicita a checklist ma non ha prodotto un risultato materialmente migliore dell'audit diretto del base.

Testato il: 2026-07-12 · Claude Code 2.x (agent harness)

Installazione

git clone https://github.com/zebbern/claude-code-guide
cd claude-code-guide
mkdir -p ~/.claude/skills
cp -r skills/api-fuzzing-bug-bounty ~/.claude/skills/api-fuzzing-bug-bounty

Comandi e prompt di esempio

  • /api-fuzzing-bug-bountyFa fuzzing di API REST e GraphQL per trovare IDOR e altre falle da bug bounty.

Gli skill si attivano con richieste in linguaggio naturale, senza comandi da ricordare. Dopo l'installazione, prompt come questi lo attivano (in inglese):

  • Fuzz this REST API for IDOR vulnerabilities
  • Test this GraphQL endpoint for security flaws
  • Run an API penetration test for bug bounty

Rapporto completo →