用途：当目标使用 Okta 作为身份提供商（IdP）时使用。触发迹象包括 DNS 出现 <tenant>.okta.com 或 <tenant>.okta-emea.com、登录跳转至 Okta、页面引用 oktapreview.com 或 auth-js-sdk、TLS 证书含 *.okta.com SAN。不适用于 Entra ID、Google Workspace、ADFS。
主要能力：租户发现（子域猜测、dnsx CNAME 解析、HTTP 跳转确认）；用户枚举（/api/v1/authn 差异、因子响应计时、会话端点、用户名格式探测、OIDC login_hint）；认证流程分析（先做，通过 /api/v1/authn 返回的 factors 列表判断 webauthn、question、sms、call、push、email、totp 等因子强度）；密码喷洒（Okta 默认 10 次失败锁定，部分组织仅 3 次，建议每用户 ≤2 次，逐用户记录状态）；OIDC redirect_uri 篡改测试；SAML SP 元数据检查（AuthnRequestsSigned、WantAssertionsSigned）；获得凭据后测试 Okta Admin API 的 SSWS 令牌端点（users、groups、apps、logs）。
使用方式：命令基于 curl 调用 https://<tenant>.okta.com/api/v1/authn 等接口，配合 dnsx 批量子域解析。已知可验证的 Okta 专用离线工具为 OktaTerrify（github.com/silverhack/OktaTerrify），其余攻击命令行工具无公开可验证来源，建议自行编写脚本。
限制：Okta 自 2024 年起已强化 /api/v1/authn 的用户存在性枚举，错误信息统一为 Authentication failed，枚举不可靠；需对已知存在与不存在用户逐字节与时序对比确认向量有效性。推送疲劳（MFA 轰炸）属社会工程，多数授权范围外，仅在明确签核后执行。oktapreview.com 为非生产环境，发现严重性不同。Okta SOC 检测敏感，测试期间预期出现缓解措施。
公开参考事件：2022 年 LAPSUS$ 通过 Sitel 供应链入侵；2023 年 Okta 支持系统 HAR 文件泄露导致 134 家客户暴露；2022-2024 年 Scattered Spider 社会工程与跨租户模拟；2024 年跨源认证撞库。