AB IDOR Vulnerability Testing
Этот навык следует использовать, когда пользователь просит "проверить небезопасные прямые ссылки на объекты", "найти уязвимости IDOR", "обойти сломанный контроль доступа", "перечислить идентификаторы пользователей или ссылки на объекты" или "обойти авторизацию для доступа к данным других пользователей". Он предоставляет исчерпывающие рекомендации по обнаружению, эксплуатации и устранению уязвимостей IDOR в веб-приложениях.
машинный переводПоказать оригиналСкрыть оригинал«This skill should be used when the user asks to "test for insecure dir…»
This skill should be used when the user asks to "test for insecure direct object references," "find IDOR vulnerabilities," "exploit broken access control," "enumerate user IDs or object references," or "bypass authorization to access other users' data." It provides comprehensive guidance for detecting, exploiting, and remediating IDOR vulnerabilities in web applications.
Этот навык следует использовать, когда пользователь просит "проверить небезопасные прямые ссылки на объекты", "найти уязвимости IDOR", "обойти сломанный…
Как процесс B 73/100 · Почти готов — слабые места: согласованность, повторный запуск, отчётность по ходу
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 2
✓ Критических и высоких находок нет
Средние и низкие: 2
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:234Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- Horizontal privilege escalation (user-to-user) vs vertical (user-to-admin)
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:337Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)# If accessible: Vertical privilege escalation achieved
Просканировано файлов: 1. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
name-formatname должен быть в kebab-case (строчные буквы, цифры, дефисы)
Процессный рейтинг: все десять параметров 73/100
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 40Согласованность. Имя во frontmatter (IDOR Vulnerability Testing) не совпадает с папкой (idor-testing)
- 50Ошибки и развилки. Развилок: 0, есть раздел про ошибки
- 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
- 70Когда включается. Сказано, когда применять, но не сказано, когда не стоит
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 28
- 100Стоимость исполнения. Тело инструкции 3027 токенов
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +1Лицензия не указана
- +2Инструкции на одном языке
- +5В description 5 примера фраз-триггеров в кавычках
- +3Длина description 373 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 48 заголовков
- +3Пошаговые инструкции: 28 пунктов
- +3Формат ответа описан явно
- +4Есть примеры (26 блоков кода)
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 87.