依据 OWASP API 安全 Top 10 对 API 进行测试，覆盖发现、认证滥用及协议特定检查。
Pentest API 攻击器.Stage.PTES: 5.
功能概述
Pentest API 攻击器.Stage.PTES: 5. 是一项面向实际任务的技能，主要用于 MITRE: T1190。目标是假设并测试 API 端点及商业逻辑攻击向量。执行任何主动操作前，需通过 Workflow 验证范围（Validate scope），并拒绝越界行为（reject out-of-scope）。该技能将相关步骤、工具调用方式及结果组织形式统一整合至标准流程中，帮助使用者更高效地达成目标，并显著减少重复性操作。
核心要点
- 使用时应根据输入条件选择合适的执行方式，核对必要参数、依赖环境与预期输出内容，并按原始规范处理异常情况。
- 从功能定位来看，该技能强调将分散的操作要求归纳为清晰、可复用的标准化处理流程，使用户能够围绕既定目标快速准备输入、选定执行方式，并获取结构化结果。
- 实际使用前，须先确认任务范围、数据来源、运行环境、必要权限及关键参数，再依据本技能说明逐步执行；
使用与执行
若输入条件不完整，应优先补齐缺失信息，或采用保守配置策略，避免因错误假设导致结果偏离实际需求。执行过程中需重点关注：工具调用是否成功、接口或依赖服务是否可用、输出格式是否符合预期，并对异常提示、缺失字段及边界条件进行妥善处理；
结果检查与注意事项
涉及批量任务时，还应保存执行进度，防止中断后重复操作。该技能适用于一次性安全评估任务，也可集成至自动化工作流中，与其他技能或上层代理协同完成更完整的业务链路；在组合使用时，应明确定义每一步骤的输入与输出关系，并规避不同步骤间可能出现的参数冲突。
Pentest API Attacker
阶段
- PTES：5
- MITRE：T1190
目标
枚举并测试 API 端点及业务逻辑层面的攻击向量。
必需工作流
- 在执行任何主动操作前，必须验证目标范围；拒绝所有超出范围的目标。
- 仅运行经授权的检测项，且须严格遵循 PTES、OWASP WSTG、NIST SP 800-115 及 MITRE ATT&CK 框架要求。
- 以标准的 finding_schema 格式记录发现项，并附带可复现的 PoC 说明。
- 支持 dry-run 模式；如需执行真实调用，必须显式指定
--i-have-authorization参数。 - 输出确定性的产物文件，供下游技能消费使用。
执行方式
python skills/pentest-api-attacker/scripts/api_attacker.py --scope scope.json --target--input --output --format json --dry-run
输出文件
api-endpoints.jsonapi-findings.jsonapi-attack-report.json
参考文档
references/tools.mdskills/autonomous-pentester/shared/scope_schema.jsonskills/autonomous-pentester/shared/finding_schema.json
法律与道德声明
警告：仅限授权使用 本技能将对真实目标运行实际的安全测试工具。 仅可在获得书面授权后使用。
相关专题
本专题从实际API接口调试场景出发，讲解Postman身份认证的完整配置流程，包括常见认证协议介绍、授权参数设置、访问令牌填写、OAuth 2.0授权及认证失败排查，帮助用户正确完成接口授权与访问验证。
2026.11.06
0
12
围绕Postman HTTP请求头配置展开，讲解Headers选项的具体使用方式，包括Key和Value参数填写、请求头信息添加、常见Header字段设置及请求头修改方法，帮助用户解决接口调试过程中遇到的请求头配置问题。
2026.11.06
0
13
详细介绍Postman接口请求的创建与发送方法，涵盖GET和POST请求、URL配置、请求参数、Headers请求头、Body请求体设置以及响应结果查看，帮助用户掌握Postman接口请求的完整操作流程。
2026.11.06
0
10
DBeaver数据导入专题，整理Excel、CSV、SQL、TXT等常见文件的数据导入方法，涵盖目标数据库选择、数据表创建、字段映射、数据类型设置及导入参数配置等操作，帮助用户将本地文件中的数据写入数据库，并了解批量导入、重复数据处理和导入失败等常见问题的解决方法。
2026.11.05
0
12
DBeaver安全防护专题，围绕数据库连接安全、账号密码保护和访问权限管理展开，整理SSL/TLS加密连接、SSH隧道、数据库凭据保存及证书验证等配置方法，同时介绍敏感信息保护、远程连接风险和高权限账号使用等注意事项，帮助用户提高数据库日常管理的安全性。
2026.11.05
0
12
本专题聚焦DBeaver数据库连接配置与管理，覆盖从新建连接、选择数据库类型到填写连接参数和验证连接的完整流程。针对MySQL、PostgreSQL、SQL Server等常见数据库，整理相应的连接设置方法，并提供驱动缺失、认证失败和连接异常等问题的排查方向。
2026.11.04
0
16
本专题围绕XORM框架的结构体映射展开，说明表名与字段的命名策略、xorm标签常用属性、主键自增与时间字段自动填充，并演示Sync2自动建表、增量字段升级、索引声明与反向生成结构体的完整流程。
2026.11.04
0
15
本专题聚焦XORM框架的配置与连接环节，拆解MySQL、PostgreSQL、SQLite、SQL Server的DSN写法与驱动选择，讲清连接池参数、多数据源拆分、读写分离与超时重连的处理方式，并补充容器与兼容数据库的适配经验。
2026.11.04
0
15
本专题聚焦XORM框架的配置与连接环节，拆解MySQL、PostgreSQL、SQLite、SQL Server的DSN写法与驱动选择，讲清连接池参数、多数据源拆分、读写分离与超时重连的处理方式，并补充容器与兼容数据库的适配经验。
2026.11.04
0
16
热门下载
相关下载
精品课程
共6课时 | 54.7万人学习
共89课时 | 134.1万人学习
共49课时 | 82.6万人学习
最新文章