Pentest API Attacker
Stage
Objective
Enumerate and test API endpoints and business logic attack vectors.
Required Workflow
- 1. Validate scope before any active action and reject out-of-scope targets.
- Run only authorized checks aligned to PTES, OWASP WSTG, NIST SP 800-115, and MITRE ATT&CK.
- Write findings in canonical finding_schema format with reproducible PoC notes.
- Honor dry-run mode and require explicit --i-have-authorization for live execution.
- Export deterministic artifacts for downstream skill consumption.
Execution
CODEBLOCK0
Outputs
- - INLINECODE0
- INLINECODE1
- INLINECODE2
References
- - INLINECODE3
- INLINECODE4
- INLINECODE5
Legal and Ethical Notice
CODEBLOCK1
Pentest API 攻击器
阶段
目标
枚举并测试API端点及业务逻辑攻击向量。
必要工作流程
- 1. 在执行任何主动操作前验证范围，并拒绝超出范围的目标。
- 仅运行符合PTES、OWASP WSTG、NIST SP 800-115和MITRE ATT&CK的授权检查。
- 以规范的finding_schema格式编写发现结果，并附带可复现的PoC说明。
- 遵守试运行模式，实时执行需明确使用--i-have-authorization参数。
- 导出确定性产物以供下游技能使用。
执行
bash
python skills/pentest-api-attacker/scripts/api_attacker.py --scope scope.json --target --input --output --format json --dry-run
输出
- - api-endpoints.json
- api-findings.json
- api-attack-report.json
参考资料
- - references/tools.md
- skills/autonomous-pentester/shared/scopeschema.json
- skills/autonomous-pentester/shared/findingschema.json
法律与道德声明
text
警告：仅限授权使用
本技能会对实时目标执行真实的安全测试工具。
仅在获得书面授权的情况下使用。
