获授权安全审查代码/认证/API时：用红队攻击面分析只交付可…

在你有权限且获授权测试的代码、认证、授权、API、数据处理或基础设施上做对抗性安全审查时使用。

适用场景

解决思路

1. 确认授权与目标：明确目标、允许范围、范围外资产、成功条件（如未授权数据读取、权限提升）和停止规则；授权不清晰时拒绝或缩小范围。
2. 构建威胁模型：列出攻击者画像（匿名外部、已认证用户、有特权内部人员）及其在现实访问条件下的目标；没有攻击者和目标的攻击视为噪音。
3. 映射攻击面：枚举入口点和信任边界，包括公开端点、认证流程、API、上传、管理界面、任务、webhook、密钥和数据存储；标注暴露程度与所需权限。
4. 追踪利用路径：针对每个高价值攻击面尝试具体滥用，包括输入操纵、授权缺失、令牌/会话误用、注入、SSRF、IDOR、批量赋值、速率限制绕过、密钥泄露；记录确切步骤和观察到的行为。
5. 应用反捏造门禁：只有能完整给出入口点 → 有序步骤 → 对该代码/配置的实际影响，才保留发现；不完整路径应丢弃，不要列为“信息性”。
6. 评分严重性并尝试防御绕过：评估影响和可利用性；对每个相关控制（速率限制、校验、会话检查）尝试现实绕过，并记录控制保持有效还是被攻破。
7. 给出并验证缓解措施：对每个保留的发现，给出最小具体修复，并说明如何重新测试该路径已关闭；优先选择消除利用前提条件的修复。覆盖范围内攻击面或授权/预算结束时停止；零发现是有效结果。
8. 按指定输出模板报告：Target/scope: <in | out | goal | authorization>；Threat model: <actors, access, goals>；Attack surface: <entry points + trust boundaries>；Findings（仅完整路径）: Title | Severity, Entry: <endpoint/param/file>, Steps: <1..n>, Impact: <realized effect>, Bypass attempts: <control → result>, Mitigation: <minimal fix>, Re-test: <how to confirm closed>；Summary: <保留数量；丢弃的推测性数量>。
9. 证伪任何缺少入口、步骤或实际影响的发现；把“可能易受攻击”视为非发现。
10. 当范围内攻击面在授权下已穷尽，或重新测试显示缓解措施已关闭路径时停止。
11. 过度应用防护：不要用最佳实践清单填充报告；不要将本技能用于非安全计划评审；不要在未授权时攻击。
12. 拒绝无授权测试：没有权限或没有书面许可时，停止，不要探测你不拥有或未获授权测试的系统。
13. 丢弃无利用路径的推测性最佳实践记录；它们不是发现。
14. 仅凭扫描器输出不能作为报告：模式只是线索，红队需要利用路径。
15. 非安全用途改用其他方法：计划/策略/决策压力测试用 pre-mortem 或 steel-manning；无安全目标的架构韧性用 systems 或 pre-mortem；非安全根因或假设定位用 scientific-method 或 five-whys-plus。

适用边界 · 注意事项

• 未获授权或没有书面许可时不要探测/攻击目标。
• 没有可复现利用路径的推测性最佳实践、仅扫描器输出，不应作为红队发现或报告。
• 这不是计划/策略/决策压力测试、非安全架构韧性评审、非安全根因/假设定位，应改用 pre-mortem、steel-manning、systems、scientific-method 或 five-whys-plus。