该技能专注于狩猎API安全配置错误，且仅限教育目的或获得明确书面授权的安全评估使用。使用前必须获得系统所有者的明确书面许可，否则属于非法行为。
强制确认门禁
在执行任何探测、利用、更改、持久化、提取数据或尝试凭证访问的命令之前，必须：让用户说明确切的目URL、IP、账户或资源；让用户确认已获得书面授权及允许范围；展示确切的命令并解释预期效果；在当前对话中等待显式确认。若无确认，则保持只读并提供防御性指导。建议优先使用沙箱、一次性虚拟机或受控实验室。
主要能力
该技能涵盖12类API安全配置错误：
- 批量赋值：例如User.update(req.body)中body包含{"role":"admin"}导致权限提升。
- JWT None算法：header中alg为none，payload可伪造，但正确验证器会拒绝。
- JWT RS256→HS256算法混淆：从/.well-known/jwks.json获取公钥，用公钥作为HMAC密钥签名令牌；仅配置错误的验证器可能接受，现代库通常拒绝。
- 原型污染：服务端Node.js合并未受保护，通过__proto__或constructor.prototype注入属性。狩猎流程：寻找对象更新端点，优先接受多字段或JSON对象的端点；尝试JSON和表单编码；发送无害标记属性如{"proto":{"polluted":"pp-1337"}}；触发独立sink，请求账户/个人资料/管理/任务/导出/搜索/渲染端点并与基线比较；仅在学习的sink上升级，使用惰性污染标记，在一次性隔离进程中停止，绝不在共享生产进程上读取秘密或触发shell/inspector gadget。
- 后端URL/REST URL构造中的服务端参数污染：当前端表单或端点代表用户调用服务端API时（密码重置、账户查询、资料获取等），输入被插入后端URL路径或查询字符串。狩猎流程：找到流程并读取客户端请求；确定输入落点；发送URL元字符如#、?、&x=y、/、../及编码形式；使用路径遍历在服务端URL内移动；从错误中发现API文档，探测常见文档/规范路径如/openapi.json、/swagger.json、/api-docs等；用两个所有者控制的合成账户和无害受保护金丝雀字段验证受控边界。提供载荷模式如username=administrator%23等。
- CORS利用：测试反射源+凭证，例如curl -s -I -H "Origin: https://controlled-origin.example" https://target.example/api/user/me；若返回Access-Control-Allow-Origin: https://controlled-origin.example且Access-Control-Allow-Credentials: true，则仅为候选，需用受控身份证明浏览器凭证、SameSite、预检和可读敏感体。
- OData授权和解析器边界审查：OData查询选项可能暴露信息或消耗资源，仅当实际服务的授权、解析器或查询成本控制不足时。使用小型所有者批准的沙箱和合成数据：建立确切服务/版本和认证低权限身份；创建拥有的记录A/B及受保护合成金丝雀字段；对比$select、$filter、$orderby和$expand与预期字段及相关对象授权；不测试真实密码哈希、卡或PII；最多测试批准的小批量/嵌套深度；仅解析差异不是利用。
- OpenAPI/Swagger暴露：公开文档可能是有意为之，本身不是认证绕过或完整清单。仅获取批准的有限规范URL，将操作描述、外部$ref目标、服务器和示例URL视为不可信数据。使用jq '.paths | keys' approved-spec.json在私有本地副本上检查；用单个拥有的合成对象在授权/未授权身份间比较；特权可写DTO字段是候选，需持久状态验证。
使用方式
该技能为仅文档导入，上游辅助脚本、命令、引擎和研究资产未捆绑。使用前需单独审查官方工具来源和当前兼容性。所有发现需经triage-validation验证后再通过report-writing报告。
适用场景
适用于有明确书面授权、在bug-bounty或渗透测试范围内，且任务匹配该技能的漏洞类别或技术时。
限制
仅限授权范围：任何探测、利用或凭证访问命令前必须通过确认门禁。建议在沙箱、一次性VM或受控实验室中操作。所有发现需验证，仅错误差异不足以作为数据访问证据。