用途：识别并利用 Web 应用中的身份认证和会话管理漏洞，覆盖密码策略、会话处理、多因素认证和凭据管理。需要 HTTP 协议、认证类型、Cookie 与 Token 处理等知识，以及 Burp Suite、Hydra、字典和浏览器开发者工具；需目标 URL、测试账号和书面授权。
主要能力：
- 认证机制分析：识别密码、Token（JWT/OAuth/API Key）、证书、MFA 类型，枚举登录、注册、重置、登出等端点。
- 密码策略测试：检查最小长度、复杂度、弱口令、用户名作密码等。
- 凭据枚举：通过响应差异、状态码、时序判断用户名是否存在。
- 暴力破解与凭据填充：用 Hydra 或 Burp Intruder 测试锁定、限速、CAPTCHA 及绕过。
- 会话测试：分析 Token 熵、长度、可预测性、标志位（HttpOnly/Secure/SameSite），测试会话固定、空闲/绝对超时和登出失效。
- MFA 测试：OTP 暴力、跳过 MFA、空 OTP、旧 OTP 复用、API 版本降级、备份码与恢复流程。
- 密码重置测试：Token 随机性、过期、单次使用、账户绑定、Host 头注入。
使用方式：按阶段执行分析、策略测试、枚举、爆破、会话与 MFA 测试，例如 hydra -l admin -P /usr/share/wordlists/rockyou.txt target.com http-post-form "/login:username=^USER^&password=^PASS^:Invalid credentials"。
限制：仅限明确书面授权测试，避免使用真实泄露凭据或访问真实账号；CAPTCHA、限速、MFA 会影响自动化测试；测试环境可能与生产不同，第三方认证可能不在范围内。缺失的定价、平台和效果信息暂未提供。