auth-sec — скилл для Claude Code: что делает и как установить
Маршрутизатор проверок аутентификации и авторизации. Помогает агенту выбрать нужную ветку аудита до перехода к конкретным атакам.
npx skills add yaklang/hack-skills --skill auth-sec -a claude-codeЧто делает auth-sec
Скилл работает как точка входа первого приоритета (P1) для проверки механизмов входа, сессий и прав доступа. Он помогает решить, с чего начинать аудит приложения: с логики аутентификации или с ограничений на уровне объектов. Это избавляет от хаотичных тестов.
Внутри заложена последовательность из четырёх шагов. Сначала агент проверяет модель аутентификации и границы сессий. Затем переходит к правам на уровне объектов и функций (IDOR, BOLA, BFLA). После этого тестируются токены, CORS и CSRF, а при наличии корпоративной федерации подключаются проверки OAuth, OIDC или SAML.
Сам скилл не проводит эксплуатацию уязвимостей. Он лишь распределяет задачи между узкими навыками репозитория. Если тестировать всё подряд без маршрутизации, агент легко запутается между протоколами и базовой авторизацией.
Какие задачи решает
- определить порядок тестирования механизмов аутентификации и прав доступа
- выбрать нужный сценарий проверки для JWT, OAuth или SAML
- разграничить аудит сессий и поиск уязвимостей вроде IDOR или CSRF
Примеры запросов агенту
- Проверь механизмы входа и сессии в проекте, с чего лучше начать проверку?
- У нас используются OAuth и JWT, запусти auth-sec для выбора шагов аудита
- Помоги составить план тестирования авторизации объектов и разграничения прав
Как установить auth-sec
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill auth-sec -a claude-code2Вручную: положить файлы
~/.claude/skills/auth-sec/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/auth-sec/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill auth-sec -a codex2Вручную: положить файлы
.agents/skills/auth-sec/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill auth-sec -a cursor2Вручную: положить файлы
.cursor/skills/auth-sec/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install yaklang/hack-skills auth-sec2Вручную: положить файлы
.github/skills/auth-sec/SKILL.md1Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill auth-sec -a gemini-cli2Командой платформы
gemini skills install https://github.com/yaklang/hack-skills --path skills/auth-secВручную: положить файлы
.devin/skills/auth-sec/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add yaklang/hack-skills --skill auth-sec -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Из того же набора93
Похожие
Вопросы о auth-sec
Как установить auth-sec в Claude Code?
Выполните в терминале команду npx skills add yaklang/hack-skills --skill auth-sec -a claude-code. Файл навыка сохранится по пути ~/.claude/skills/auth-sec/SKILL.md.
Что делает скилл auth-sec?
Он выступает маршрутизатором категории P1 для аудита аутентификации и авторизации. Навык определяет, какую часть системы анализировать первой: логику входа, границы сессий или протоколы обмена токенами.
В каком порядке скилл рекомендует проводить проверки?
Сначала проверяется модель аутентификации и сессии, затем авторизация объектов и функций. После этого тестируются токены и браузерные ограничения, а при наличии SSO подключаются темы OAuth, OIDC или SAML.
Исходный текст
SKILL.md · MIT
--- name: auth-sec description: >- Entry P1 category router for authentication and authorization. Use when testing login flows, sessions, object authorization, JWT, OAuth, CORS, CSRF, and enterprise SSO weaknesses before any deeper auth topic skill. --- # Authentication and Authorization Router This is the routing entry point for authentication, sessions, and authorization boundaries. Use it to decide whether the issue is mainly login mechanics, object-level authorization, browser trust boundaries, or identity protocols such as OAuth/JWT/SAML before going deeper. ## When to Use - The target includes login, registration, password reset, 2FA, sessions, JWT, OAuth, or SSO - You suspect object authorization flaws, cross-tenant access, cross-origin reads, CSRF, or protocol misconfiguration - You need to decide whether to test authentication or authorization first ## Skill Map - [Authentication Bypass](../authbypass-authentication-flaws/SKILL.md): login bypass, password reset, 2FA, enumeration, brute-force protections - [IDOR Broken Object Authorization](../idor-broken-object-authorization/SKILL.md): IDOR, BOLA, BFLA, missing object permissions - [JWT OAuth Token Attacks](../jwt-oauth-token-attacks/SKILL.md): algorithm confusion, key trust issues, claim abuse, token forgery - [OAuth OIDC Misconfiguration](../oauth-oidc-misconfiguration/SKILL.md): redirect URI, state, nonce, PKCE, account binding - [CSRF Cross Site Request Forgery](../csrf-cross-site-request-forgery/SKILL.md): CSRF tokens, SameSite, JSON CSRF, login CSRF - [CORS Cross Origin Misconfiguration](../cors-cross-origin-misconfiguration/SKILL.md): reflected Origin, credentialed cross-origin reads, allowlist bypass - [SAML SSO Assertion Attacks](../saml-sso-assertion-attacks/SKILL.md): assertion wrapping, signature validation, audience, ACS boundaries ## Recommended Flow 1. First confirm the authentication model and session boundaries 2. Then confirm object-level and function-level authorization 3. Then move to token, cross-origin, and protocol details 4. If enterprise federation exists, continue with OAuth, OIDC, or SAML topics ## Related Categories - [api-sec](../api-sec/SKILL.md) - Default credentials, username variants, wordlist sizing, and port focus are consolidated in [authbypass-authentication-flaws](../authbypass-authentication-flaws/SKILL.md)
© yaklang · MIT · yaklang/hack-skills
