技能介绍

问题背景

API 认证中，JWT 和 Bearer Token 常被当作自包含且可信的凭据：服务端一旦验证签名，就信任声明中的角色、租户与权限，几乎不再检查请求的真实来源。但生产环境里的真实漏洞往往出现在信任边界上：alg 头部被篡改为 none 仍被接受、RS256 与 HS256 混淆导致用公钥做 HMAC 密钥、kid 查询路径存在注入、jku/x5u 允许攻击者指定远端密钥。此外，Web 端与移动端 token 跨产品线复用、role/tenant 等声明在不同服务间被不加区分地采信，都会放大单条令牌的爆炸半径。批量接口与 GraphQL 又进一步让限流策略失效——一个请求里塞进登录变更数组、密码重置重放或批量 ID 拉取。

技能如何工作

技能分四步推进：

令牌分诊（Token Triage）：检查 alg、kid、jku、x5u，核对 role/org/tenant/scope 声明，比对 issuer 与 audience，并留意移动端与 Web 端 token 的跨产品复用。
快速攻击验证：按固定清单跑首轮测试——alg:none 是否接受带尾点的未签名 token、RS256 到 HS256 混淆、kid 路径遍历或注入、jku/x5u 远程密钥拉取，以及用定向词表离线爆破弱密钥。
隐藏字段与批量滥用：探测 mass assignment 字段、限流与批量滥用点，重点覆盖 GraphQL 或 JSON batch 中的登录变更数组、不同 ID 的批量对象拉取、单请求内重复的密码重置/验证调用。
限流绕过家族：梳理限流绕过手法，与隐藏参数、GraphQL 批处理等场景联动。

适用边界与注意点

该技能聚焦认证令牌与请求身份的信任边界测试，不做通用功能测试。若目标暴露 GraphQL 批处理或隐藏参数，需转向 graphql 与 hidden parameters；默认凭据与暴力破解规划见 authentication bypass；JWT 与 OAuth 的完整纵深见 jwt oauth token attacks；浏览器与 SSO 流程中的 OAuth/OIDC 配置缺陷见 oauth oidc misconfiguration；已认证浏览器读取与源信任缺陷见 cors cross origin misconfiguration。所有验证应在授权范围内进行，离线爆破与远程密钥拉取前先确认测试窗口。