用途
该技能用于自动化认证安全测试，覆盖注册、登录、双因素认证（2FA/OTP）绕过、CAPTCHA 评估以及机器人检测规避。所有浏览器自动化均要求通过 Playwright MCP 完成。
主要能力
- 账号注册：导航页面、分析表单、使用 PasswordGenerator 生成密码、创建账号，并通过 CredentialManager 存储凭据。
- 登录安全：测试绕过方式、凭据校验、会话令牌，以及会话固定/劫持。
- 2FA/OTP 绕过：启用 2FA 后测试多种向量，包括响应篡改、直接访问、参数移除、验证码复用、暴力破解，并可从邮件中提取 OTP。
- CAPTCHA 评估：识别类型，测试服务端校验、令牌过期、可复用性，并尝试绕过向量。
- 机器人检测：使用隐身模式与类人行为（自然鼠标、可变输入速度、随机停顿）测试检测机制。
使用方式
快速开始：初始化 Playwright，按注册 → 登录 → 2FA → CAPTCHA → 机器人检测的顺序测试，并记录带证据的发现。
命令：
/authenticating执行完整测试/authenticating --test=2fa测试特定区域/authenticating --report生成报告
凭据工具示例：
from tools.password_generator import generate_password
password = generate_password(hint_text="8-16 chars, uppercase, lowercase, numbers")
from tools.credential_manager import CredentialManager
mgr = CredentialManager()
cred_id = mgr.store_credential(target="example.com", username="test", password="pass")
cred = mgr.get_credential("example.com")
Playwright 自动化要求：类人操作（自然鼠标、80-200ms 输入延迟、500-2000ms 随机停顿、平滑滚动）；证据（前后截图、网络日志、控制台输出）；隐身（隐藏 webdriver、添加 chrome 对象、随机化指纹）。
适用场景
适用于授权范围内的认证安全测试，包括注册流程、登录机制、2FA/OTP 实现、CAPTCHA 校验和机器人检测的评估。
限制与规则
必须：仅使用测试账号、记录测试范围、负责任披露、清理环境。禁止：超出范围、造成干扰、在修复前公开发现。
输出结构示例：
outputs/authenticating/<target>/
├── signup/account_created.json + evidence/
├── login/session_tokens.json + evidence/
├── 2fa/bypass_attempts.json + otp_codes.txt + evidence/
├── captcha/bypass_methods.json + evidence/
├── bot_detection/detection_tests.json + behavioral_patterns.md
└── findings/vulnerabilities.json + authentication_report.md + poc_scripts/
常见漏洞分级：
- 严重：缺少 2FA 服务端校验、OTP 可复用、无需 2FA 直接访问、客户端 CAPTCHA。
- 高：OTP 生成弱、无速率限制、CAPTCHA 令牌复用、2FA 前会话持久化。
- 中：机器人检测弱、账号枚举、时序攻击、信息泄露。
测试清单：
- 前期：范围、测试账号、Playwright 配置、邮箱访问。
- 中期：注册、登录、2FA、CAPTCHA、机器人检测、证据。
- 后期：记录发现、PoC 脚本、CVSS 评分、修复建议、清理。
工具：Playwright MCP、PasswordGenerator、CredentialManager、邮件 API（IMAP、Gmail）、OCR（Tesseract）。
参考文档：CAPTCHA_BYPASS.md（11 种 CAPTCHA 技术）、2FA_BYPASS.md（10 种 2FA/OTP 方法）、BOT_DETECTION.md（机器人规避）、PASSWORD_CREDENTIAL_MANAGEMENT.md（工具用法）。