К основному содержанию
affpapa.org
RU EN
скилл CX Codex

api-sec — скилл для Claude Code: что делает и как установить

Маршрутизирует аудит безопасности REST, GraphQL и мобильных API. Помогает агенту выбрать правильное направление до запуска глубоких проверок.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓ 
npx skills add yaklang/hack-skills --skill api-sec -a claude-code
Открыть на GitHub

Что делает api-sec

Скилл служит точкой входа для тестирования безопасности API. Когда агент сталкивается с документацией Swagger, токенами в заголовках или эндпоинтами GraphQL, api-sec сопоставляет признаки с ветками аудита. Это задаёт чёткую последовательность проверок. Хаотичные запросы к бэкенду исключаются.

Внутри заложена таблица первичного триажа и рекомендуемый порядок действий. Сначала идёт поиск документации и дрейфа версий через api-recon-and-docs. Затем проверяются BOLA и права доступа к методам в api-authorization-and-bola, следом — токены JWT и лимиты в api-auth-and-jwt-abuse. Для схем GraphQL и скрытых параметров подключается отдельный трек.

Сам по себе api-sec не выполняет сканирование или эксплуатацию. Это строго маршрутизатор категорий: без связанных профильных скиллов репозитория агент остановится на классификации и не сможет углубиться в проверки.

Какие задачи решает

  • выстроить очерёдность проверок безопасности эндпоинтов REST и GraphQL
  • классифицировать уязвимости токенов JWT и заголовков авторизации
  • направить аудит на поиск BOLA при наличии идентификаторов в запросах
  • выбрать сценарий тестирования для скрытых параметров и интроспекции

Примеры запросов агенту

  • У нас есть Swagger и несколько эндпоинтов REST. С чего начать проверку по api-sec?
  • В трафике мобильного бэкенда видны токены JWT и GraphQL. Разбери план аудита по api-sec.
  • Регистрация принимает лишние JSON-поля. Куда направить проверку дальше?

Как установить api-sec

1Через Skills CLI (Vercel)

npx skills add yaklang/hack-skills --skill api-sec -a claude-code

2Вручную: положить файлы

~/.claude/skills/api-sec/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/api-sec/

По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов

Из того же набора93

code-obfuscation-deobfuscation Скилл помогает анализировать и снимать защиту в нативных бинарниках: от мусорного кода и непрозрачных предикатов до виртуализации и сплющивания графа потока управления. CX Codex +1 4 000установок sqli-sql-injection Плейбук по SQL-инъекциям: подсказывает, с каких пейлоадов начать, как определить СУБД и как вытащить данные вслепую. CX Codex +1 4 000установок android-pentesting-tricks Плейбук по тестированию Android-приложений: обход SSL pinning, работа с экспортированными компонентами, WebView и intent redirection. Для авторизованных проверок. CX Codex +1 4 100установок business-logic-vulnerabilities Плейбук по бизнес-логике: гонки, подмена цены, обход шагов, злоупотребление купонами. Пригодится, когда сканер молчит, а дыра есть. CX Codex +1 3 900установок xss-cross-site-scripting Скилл для ИИ-агента, который подсказывает неочевидные XSS-векторы: выбор пейлоада под контекст, обход WAF и CSP. CX Codex +1 3 900установок waf-bypass-techniques Скилл с приёмами обхода веб-фаерволов (WAF) при тестировании инъекций. Помогает модифицировать пейлоады с помощью кодировок, протокольных трюков и особенностей парсеров. CX Codex +1 3 800установок api-auth-and-jwt-abuse Плейбук для проверки bearer-токенов, API-ключей и доверия к claim'ам. Пригодится на пентесте API, где аутентификация держится на JWT или заголовках запроса. CX Codex +1 3 800установок 401-403-bypass-techniques Плейбук по обходу отказов доступа: что пробовать, когда админка или API отвечает 401 и 403. CX Codex +1 3 800установок

Похожие

conducting-api-security-testing mahipal Скилл проверяет REST, GraphQL и gRPC API на ошибки доступа, аутентификации, валидации и бизнес-логики. Нужен для авторизованных проверок API. CX Codex +1 643установок testing-api-for-broken-object-level-authorization mahipal Проверяет REST и GraphQL API на уязвимости BOLA и IDOR через подмену идентификаторов объектов. Помогает найти ошибки разграничения доступа между пользователями. CX Codex +1 541установок api-audit briiirussell Проверяет REST, GraphQL и RPC эндпоинты на дыры из OWASP API Security Top 10 (2023). Нужен, когда перед релизом надо пройтись по контракту API, а не по всему коду. CX Codex +1 482установок nestjs giuseppe-trisciuoglio Подсказывает агенту паттерны NestJS: CRUD-модули, JWT-гарды, схемы Drizzle и миграции. Пригодится, когда собираешь API на NestJS. CX Codex +1 4 200установок api-and-interface-design addyosmani Помогает проектировать API и границы модулей так, чтобы их было проще использовать и менять. Подходит для REST, GraphQL и публичных интерфейсов. CX Codex +1 62 600установок flask-api-development aj-geddes Скилл помогает проектировать REST API на Flask с разделением на блюпринты, базой данных через SQLAlchemy и JWT-авторизацией. Пригодится для сборки микросервисов и валидации входящих запросов. CX Codex +1 1 400установок

Рядом в теме «Безопасность»

Всё по теме «Безопасность» →

Вопросы о api-sec

Как установить api-sec в Claude Code?

Выполните команду npx skills add yaklang/hack-skills --skill api-sec -a claude-code в терминале. Файл скилла запишется по пути ~/.claude/skills/api-sec/SKILL.md.

Что делает скилл api-sec?

Он работает как входной диспетчер для тестирования API. Скилл анализирует наблюдаемые признаки и перенаправляет агента в специализированные сценарии проверки.

Проводит ли api-sec тесты безопасности самостоятельно?

Нет, скилл только распределяет задачи по направлениям. Для детальных тестов BOLA, токенов или интроспекции требуются отдельные скиллы из набора yaklang/hack-skills.

Исходный текст

SKILL.md · MIT 
---
name: api-sec
description: >-
  Entry P1 category router for API security. Use when choosing between API
  recon, authorization, token abuse, and hidden-parameter workflows before any
  deeper API topic skill.
---

# API Security Router

This is the routing entry point for API security testing.

Use this skill first to decide whether the API issue is mostly recon/docs, object authorization, token trust, or GraphQL/hidden parameters, then route to a deeper topic skill.

## When to Use

- The target exposes REST APIs, mobile backends, or GraphQL endpoints
- You need to define API testing order before going into specific topics
- You want to handle object authorization, JWT, GraphQL, and hidden fields as separate tracks

## Skill Map

- [API Recon and Docs](../api-recon-and-docs/SKILL.md): OpenAPI, Swagger, version drift, hidden documentation
- [API Authorization and BOLA](../api-authorization-and-bola/SKILL.md): BOLA, BFLA, method abuse, hidden writable fields
- [API Auth and JWT Abuse](../api-auth-and-jwt-abuse/SKILL.md): bearer token, header trust, claim abuse, rate-limit bypass
- [GraphQL and Hidden Parameters](../graphql-and-hidden-parameters/SKILL.md): introspection, batching, undocumented fields, hidden parameters

## Quick Triage

| Observation | Route |
|---|---|
| Swagger or OpenAPI is present | [api-recon-and-docs](../api-recon-and-docs/SKILL.md) |
| IDs appear in URL, JSON, headers, or GraphQL args | [api-authorization-and-bola](../api-authorization-and-bola/SKILL.md) |
| JWT token visible in traffic | [api-auth-and-jwt-abuse](../api-auth-and-jwt-abuse/SKILL.md) |
| `/graphql` or batched JSON arrays are present | [graphql-and-hidden-parameters](../graphql-and-hidden-parameters/SKILL.md) |
| Registration, login, or profile updates accept extra fields | [api-authorization-and-bola](../api-authorization-and-bola/SKILL.md) then [api-auth-and-jwt-abuse](../api-auth-and-jwt-abuse/SKILL.md) |

## Recommended Flow

1. Start with exposed endpoints and documentation assets
2. Then evaluate object-level and function-level authorization
3. Then evaluate token, header, signature, and rate-limit boundaries
4. If GraphQL or complex JSON is present, continue with hidden fields and schema abuse

## Related Categories

- [auth-sec](../auth-sec/SKILL.md)
- [business-logic-vuln](../business-logic-vuln/SKILL.md)
- [recon-for-sec](../recon-for-sec/SKILL.md)

© yaklang · MIT · yaklang/hack-skills

Смотрите также

Спонсоры проекта

Компании, которые помогают держать аналитику открытой
Золотой спонсор AI-аналитика спроса на iGaming — индекс, тренды, конкуренты
Nutra.Club Закрытое сообщество Nutra-вертикали от команды M1

Показы, клики и копирования кода — открытая статистика. Мы держим цифры публичными по той же логике, что и сам NeBlask. Стать спонсором