用途
hunt-brute-force 用于在获得明确书面授权的安全评估或漏洞赏金场景中，检查目标系统在速率限制、暴力破解与枚举方面是否存在缺陷。它聚焦“速率限制缺失或薄弱”这一漏洞类别，帮助测试者组织受控验证流程，并在报告中区分真实证据与推测。
主要能力
该技能归纳了几类高风险目标链：
- OTP/2FA 验证码爆破导致多因素认证绕过与账户接管；
- 密码重置令牌爆破（短、可预测或不过期的令牌，且无速率限制）；
- 用户名/邮箱枚举，进而为定向凭据填充提供条件；
- 优惠券、礼品卡、推荐码的验证接口无速率限制，造成财务影响；
- ReDoS：攻击者可控输入触发灾难性回溯正则，导致 CPU 耗尽与拒绝服务。
技能还提供受控评估过程：先确认范围与测试身份，建立已知正确/错误的合成对照，在极小请求、时间与并发预算内测试，记录状态码、延迟、语义结果和服务端限流事件，并区分账户锁定、来源限流、验证码挑战、延迟/排队处理与丢弃提交等不同情形。
使用方式
使用前必须通过强制确认关卡：要求用户说明确切的目标 URL、IP、账户或资源，确认书面授权与允许范围，展示将执行的确切命令并解释预期效果，等待当前对话中的明确确认。缺少确认时应保持只读，仅提供防御性建议。建议在沙箱、一次性虚拟机或受控实验室中操作。
该技能为文档型导入，上游的辅助脚本、命令、引擎与研究资产未随附，需另行获取官方工具并核验来源后再安装。示例中给出的只读第一步为读取授权任务书中的目标清单。
适用场景
适用于有书面授权的渗透测试或漏洞赏金任务，且任务属于速率限制、暴力破解或枚举类漏洞。测试应使用所有者控制的合成账户，在低于约定锁定/通知阈值的预算内进行，优先使用可配置小限额、状态已知的隔离测试环境。
限制与边界
仅限授权范围使用；确认关卡在任何探测、利用或凭据访问命令前强制生效。不得使用弱/默认口令、泄露凭据库、账户喷洒、完整 OTP 列表、源/代理轮换、大规模注册或造成受害者锁定作为默认探测手段。遇到限流、账户锁定、服务错误或意外真实数据/消息时应停止。令牌与密码等敏感信息不得出现在命令参数、输出、截图、可预测临时文件或 Git 中。六位验证码格式本身不决定严重性，需结合有效尝试预算、绑定、生命周期与其他控制评估；字符频率熵或少量样本不能证明令牌生成器的密码学熵或可预测性。ReDoS 测试不得向共享生产服务发送升级型灾难回溯输入，应在有硬性时间与内存上限的一次性子进程中用极小合成案例与同等大小的良性对照验证。所有发现须经分诊验证后再报告，不完整或被拒绝的请求不能得出存在或不存在漏洞的结论。