用途：在获得书面授权的前提下，识别并验证 Web 应用的认证与会话管理漏洞，如账号接管、身份盗用与未授权访问。
主要能力：认证机制分析（口令、令牌、证书、多因素）；密码策略测试；用户名/账号枚举；暴力破解与账号锁定、速率限制评估；凭据填充；会话令牌熵与可预测性分析；会话固定；会话空闲/绝对超时与注销有效性；MFA 测试（OTP 爆破、绕过、API 降级、注册与恢复流程）；密码重置令牌安全与 Host 头注入等。
使用方式：需 HTTP 与会话机制、认证类型、Cookie/令牌处理等知识，以及 Burp Suite、Hydra、字典、浏览器开发者工具；需目标 URL、测试账号与书面授权。示例命令：hydra -l admin -P /usr/share/wordlists/rockyou.txt target.com http-post-form "/login:username=^USER^&password=^PASS^:Invalid credentials"。输出包括认证评估报告、凭据测试结果、会话安全分析与修复建议。
适用场景：对自有或授权目标开展认证安全评估、渗透测试中的认证环节审计。
限制：仅限明确书面授权测试，避免使用真实泄露凭据或访问真实用户账号；CAPTCHA、速率限制、MFA 会显著影响测试；测试账号与生产环境行为可能不同，第三方认证可能不在范围内；生产环境测试需格外谨慎。收费、价格与具体平台未提供。