opencode-api-security-testing 2.1.0 → 2.1.1

package/references/intake.md

@@ -0,0 +1,84 @@
+# Intake Checklist
+
+确认输入和评估模式。
+
+## 确认提供的内容
+
+### 必须确认
+
+- [ ] 目标 URL 或 base URL
+- [ ] API 类型 (REST/GraphQL/混合)
+- [ ] 认证方式 (Bearer Token/JWT/Session/API Key/OAuth)
+- [ ] 测试账户 (如有)
+- [ ] 授权范围
+
+### 需要明确的
+
+- [ ] 是否允许主动测试
+- [ ] 是否有速率限制
+- [ ] 测试环境还是生产环境
+- [ ] 是否有 IP 白名单
+
+## 评估模式
+
+### 1. 文档驱动审查 (Document-Driven Review)
+
+**条件**: 只有规范、schema、collection 可用
+
+**方法**:
+- 分析 OpenAPI/Swagger
+- 分析 Postman collection
+- 分析 API 文档
+- 分析 GraphQL schema
+
+**限制**:
+- 无法验证运行时行为
+- 无法确认绕过
+- 标记为 hypothesis
+
+### 2. 被动目标审查 (Passive Target Review)
+
+**条件**: 存在活动目标，但凭证或主动测试受限
+
+**方法**:
+- 观察公开端点行为
+- 分析响应结构
+- 识别认证边界
+- 检查信息泄露
+
+**限制**:
+- 无法测试所有边界
+- 无法验证授权问题
+
+### 3. 授权主动评估 (Authorized Active Assessment)
+
+**条件**: 用户提供足够授权和上下文
+
+**方法**:
+- 测试认证机制
+- 验证授权边界
+- 测试输入处理
+- 验证业务逻辑
+
+**要求**:
+- 明确的书面授权
+- 测试账户
+- 速率限制说明
+
+## 假设声明
+
+如有任何不明确，声明假设：
+
+```
+Assumptions:
+- [假设 1]
+- [假设 2]
+```
+
+## 范围限制
+
+```
+Scope Limitations:
+- [限制 1]
+- [限制 2]
+```

package/references/report-template.md

@@ -1,63 +1,156 @@
-# 安全测试报告模板
+# Report Template
 
-## 执行摘要
+标准化 API 安全报告模板。
 
-- **测试目标**: [URL]
-- **测试时间**: [日期时间]
-- **测试工具**: Deep API Tester
+---
 
-## 发现统计
+## Scope
 
-| 类型 | 数量 |
-|------|------|
-| JS文件 | [N] |
-| API端点 | [N] |
-| 漏洞数量 | [N] |
+- **Target**: [目标 URL 或 base URL]
+- **Assessment Mode**: [文档驱动/被动/主动]
+- **Timeframe**: [评估日期范围]
+- **Authorization**: [授权范围说明]
 
-## API端点清单
+---
+
+## Authorization Assumptions
+
+- [假设已明确授权测试的目标]
+- [假设测试环境的限制]
+- [其他假设条件]
+
+---
+
+## Asset Summary
+
+### Base URLs
 
 ```
-[按类型分类列出所有发现的API端点]
+- [URL 1]
+- [URL 2]
 ```
 
-## 漏洞详情
+### API Type
 
-### [漏洞名称]
+```
+[REST / GraphQL / 混合]
+```
+
+### Auth Schemes
+
+```
+[认证方式：Bearer Token / JWT / Session / API Key / OAuth]
+```
 
-- **严重程度**: [HIGH/MEDIUM/LOW]
-- **端点**: [URL]
-- **验证过程**: [描述如何发现和验证漏洞]
-- **响应证据**: [关键响应内容]
-- **影响分析**: [漏洞影响]
-- **修复建议**: [具体修复方案]
+### Discovered Endpoints
 
-## 利用链分析
+| Endpoint | Methods | Auth Required | Risk Level |
+|----------|---------|--------------|------------|
+| /api/users | GET, POST | Yes | High |
+| /api/admin/* | All | Admin | Critical |
+
+### Sensitive Objects
 
 ```
-[描述多个漏洞如何串联形成攻击链]
+- [敏感对象列表]
 ```
 
-## 安全优点
+### Trust Boundaries
 
 ```
-[记录目标系统的安全防护措施和优点]
+- [信任边界描述]
 ```
 
-## 修复建议
+---
+
+## Test Matrix
+
+| Category | Test Item | Priority | Status |
+|----------|----------|----------|--------|
+| Authentication | 暴力攻击防护 | Critical | Pass |
+| Authorization | IDOR | Critical | FAIL |
+| Input Handling | SQL Injection | High | - |
+| ... | ... | ... | ... |
+
+---
+
+## Findings
 
-| 优先级 | 漏洞 | 修复方案 |
-|--------|------|----------|
-| 高 | [漏洞名] | [方案] |
-| 中 | [漏洞名] | [方案] |
-| 低 | [漏洞名] | [方案] |
+### Finding 1: [标题]
 
-## 报告输出检查清单
+**Severity**: [Critical / High / Medium / Low / Informational]
 
+**Confidence**: [Confirmed / High / Medium / Low / Hypothesis]
+
+**Affected Asset**: 
 ```
-□ 目标信息完整（URL、技术栈、API地址、认证方式）
-□ API端点清单齐全（按类型分类）
-□ 漏洞详情完整（验证过程、响应、影响、修复建议）
-□ 利用链分析（多漏洞关联）
-□ 安全优点总结
-□ 修复建议按优先级排序
+[具体 endpoint 或操作]
 ```
+
+**Description**:
+[问题描述]
+
+**Evidence**:
+```http
+[请求/响应样本]
+```
+
+**Reproduction**:
+1. [步骤 1]
+2. [步骤 2]
+3. [步骤 3]
+
+**Impact**:
+[现实影响评估]
+
+**Remediation**:
+[具体可操作的修复建议]
+
+**Retest Notes**:
+[复测需要验证的内容]
+
+---
+
+### Finding 2: ...
+
+---
+
+## Coverage Gaps
+
+| Gap | Impact | Recommendation |
+|-----|--------|-----------------|
+| [未覆盖的测试区域] | [影响] | [建议] |
+| [凭证不足，无法验证...] | [影响] | [建议] |
+
+---
+
+## Overall Risk Summary
+
+| Risk Level | Count | Findings |
+|------------|-------|----------|
+| Critical | 1 | IDOR in /api/users/{id} |
+| High | 2 | ... |
+| Medium | 3 | ... |
+| Low | 1 | ... |
+
+### Key Risks
+
+- [最重要的 3-5 个风险摘要]
+
+### Recommended Priority
+
+1. [最优先修复项]
+2. [次优先]
+3. [第三优先]
+
+---
+
+## Appendix
+
+### Tools Used
+
+- [使用的工具列表]
+
+### References
+
+- [参考链接]