用途
hunt-auth-bypass 是一个用于狩猎认证绕过（auth bypass）漏洞的技能，面向漏洞赏金与授权安全测试场景。认证绕过长期是漏洞赏金中赔付最高的漏洞类别之一，因为它直接违反最基础的安全控制。该技能基于 12 份公开漏洞赏金报告构建，覆盖 SAML XSW、解析器差异（如 GitHub Enterprise）以及 SSH 证书颁发机构信任伪造等类型。
主要能力
技能内容围绕以下方面组织：
- 高价值目标识别：企业 SaaS 的 SSO/SAML 实现、管理面板与合作伙伴/内部门户、第三方认证插件集成、WordPress XMLRPC 端点、OAuth 回调流程、API 认证层，以及连接大量用户的联邦身份目标。
- 攻击面信号：列出可狩猎的 URL 模式（如 /xmlrpc.php、/saml/、/oauth/callback、/partners.、/admin. 等）、指示 SSO 的响应头、指示联邦认证的 JS 模式、技术栈信号以及 Burp 被动扫描触发条件。
- 逐步狩猎方法：从映射所有认证入口点、识别每个入口的认证机制、独立测试 XMLRPC、枚举 SAML 实现、测试跨门户会话/令牌复用、模糊认证参数、检查重定向与 state 参数，到通过提权验证影响。
- 遗留协议矩阵：针对自定义品牌登录界面，列出 WordPress、SharePoint、Atlassian、Drupal、Joomla、Exchange/OWA、Citrix NetScaler、F5 BIG-IP、Spring Boot、Jenkins、GitLab、TeamCity、Apache Tomcat、WebLogic、Oracle EBS/PeopleSoft 等平台应探测的遗留端点及其原生凭据绕过面。
- 载荷与检测模式：提供 XMLRPC 认证探测、SAML 签名剥离、SAML XML 注释注入、合作伙伴/跨门户令牌复用测试、JWT none 算法攻击等代码示例，以及用于发现认证绕过面的 grep 模式。
- 常见根因与绕过技术：总结 SSO 仅绕过 UI 层而未绕过 API 层、SAML 签名验证被跳过、跨信任级别共享会话基础设施、多租户信任继承、插件/模块认证独立于应用认证、XML 解析不一致等根因，并以对照表列出防御与绕过方式。
- Gate 0 验证：在撰写报告前必须回答三个问题——攻击者现在能做什么、受害者失去什么、能否在 10 分钟内从零复现。
使用方式
该技能以文档形式提供方法论、探测矩阵、代码片段与检测模式。使用者需在获得授权的目标上，按照技能给出的步骤进行探测与验证。技能中提供的命令与代码示例应原样使用，包括 XMLRPC 探测的 curl 命令、SAML 签名剥离的 Python 代码、JWT none 算法构造代码等。
适用场景
适用于漏洞赏金项目与授权安全测试中，针对具有联邦身份（SAML、OAuth、OIDC）、管理/合作伙伴门户、第三方认证插件、遗留协议端点的目标进行认证绕过漏洞的发现与验证。
限制
该技能面向授权测试，不应在未授权目标上使用。技能中部分内容（如具体赔付金额范围、特定平台行为）来自公开报告与经验总结，实际效果因目标而异。技能未提供官方工具安装方式或平台支持信息，暂未提供。