Authentication 是一个用于身份认证安全测试的技能模块，来源为 transilienceai/communitytools。它帮助测试人员系统性地评估登录、令牌、双因素认证、验证码与机器人检测等认证相关机制的安全性。
用途 该技能面向认证机制的安全测试，覆盖从登录表单、令牌处理到多因素验证与反自动化防护的完整链路，用于发现认证绕过、令牌伪造、凭据攻击等安全问题。
主要能力 技能按技术类型组织测试向量：
- 认证绕过：默认凭据、逻辑缺陷、响应篡改。
- ADFS/SAML：Golden SAML、令牌签名证书窃取、断言篡改、SAML 包装。
- JWT：算法混淆、密钥注入、声明篡改、令牌伪造。
- OAuth：重定向操纵、CSRF、令牌泄露、作用域滥用。
- 密码：暴力破解、撞库、密码策略绕过。
- 2FA 绕过：响应篡改、直接访问端点、验证码复用、竞态条件。
- CAPTCHA 绕过：服务端校验缺失、令牌复用、OCR、参数操纵。
- 机器人检测规避：行为生物特征模拟、指纹随机化、隐身模式。
内置工具
- PasswordGenerator（tools/password_generator.py）： from tools.password_generator import generate_password password = generate_password(hint_text="8-16 chars, uppercase, numbers")
- CredentialManager（tools/credential_manager.py）： from tools.credential_manager import CredentialManager mgr = CredentialManager() mgr.store_credential(target="example.com", username="test", password="pass")
使用方式 技能描述的工作流为：
- 分析认证实现（表单、令牌、2FA、CAPTCHA）。
- 按技术类型测试绕过向量。
- 使用 Playwright MCP 并模拟人类行为（输入间隔 80-200ms、随机停顿）。
- 捕获证据（截图、网络日志、令牌）。
- 用 PoC 脚本记录发现。
参考资源
- reference/authentication*.md：认证绕过技术、载荷与资源。
- reference/jwt*.md：JWT 攻击技术与速查表。
- reference/oauth*.md：OAuth 漏洞测试。
- reference/scenarios/password-attacks/*.md：密码攻击向量（喷洒、撞库、破解、PtH）。
- reference/adfs-exploitation.md：ADFS、Golden SAML、联合身份攻击。
- reference/scenarios/2fa/*.md：2FA 绕过方法。
- reference/CAPTCHA_BYPASS.md：11 种 CAPTCHA 绕过技术。
- reference/BOT_DETECTION.md：机器人检测规避策略。
- reference/PASSWORD_CREDENTIAL_MANAGEMENT.md：工具使用指南。
适用场景 适用于授权范围内的安全测试、渗透测试与红队评估，尤其是需要验证认证逻辑、令牌安全、多因素防护与反自动化机制有效性的场景。
限制 该技能聚焦于认证安全测试，不涉及其他类型的安全评估。具体平台支持、收费方式、价格与效果等事实暂未提供。使用时须确保在合法授权范围内进行。