Аудит логики авторизации: Поиск уязвимостей
Описание промпта
Инструмент для глубокого анализа кода на предмет ошибок доступа, IDOR и эскалации привилегий. Помогает выявить критические уязвимости в RBAC/ABAC системах.
- Анализирует код авторизации (RBAC/ABAC) на наличие уязвимостей безопасности, таких как IDOR, эскалация привилегий и отсутствие проверок доступа.
- Помогает выявить критические бреши в безопасности до деплоя, обеспечивает структурированный отчет с примерами эксплуатации и исправленного кода.
- Разработчики, DevOps, специалисты по кибербезопасности, аудиторы кода.
Вставь код в поле CODE. Укажи модель доступа (RBAC/ABAC). AI вернет отчет с матрицей доступа, списком уязвимостей и рекомендациями по исправлению.
Необходимо предоставить модель авторизации, язык программирования, фреймворк и фрагмент кода с логикой доступа.
Детальный отчет о безопасности с оценкой рисков, примерами эксплуатации (PoC) и исправленным кодом для устранения уязвимостей.
Используй для аудита API, веб-приложений и микросервисов. Особенно эффективно для проверки эндпоинтов с динамическими параметрами.
Не заменяет полноценный пентест. Анализ ограничен предоставленным фрагментом кода. Может пропустить логические ошибки в бизнес-процессах.
AUTH_MODEL
AUTH_MODEL
Тип модели авторизации: rbac, abac, acl или custom.
LANGUAGE
LANGUAGE
Язык программирования кода.
FRAMEWORK
FRAMEWORK
Используемый фреймворк (например, FastAPI, Django, Spring).
CODE
CODE
Фрагмент кода с логикой авторизации.
Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.
Текст промпта
ChatGPT / Claude / Llama
Войти для копирования
Выступи в роли эксперта по кибербезопасности с 12+ годами опыта в системах контроля доступа. Твоя задача — провести аудит предоставленного кода авторизации на наличие уязвимостей, ведущих к эскалации привилегий или несанкционированному доступу.
Входные данные:
AUTH_MODEL: {{AUTH_MODEL}}
LANGUAGE: {{LANGUAGE}}
FRAMEWORK: {{FRAMEWORK}}
CODE:
{{CODE}}
Требования к анализу:
1. Проверяй авторизацию на КАЖДОМ эндпоинте.
2. Ищи Insecure Direct Object References (IDOR).
3. Проверяй логику наследования ролей/прав.
4. Выявляй горизонтальную и вертикальную эскалацию привилегий.
5. Ищи уязвимости массового назначения (mass assignment).
6. Убеждайся, что enforcement происходит на сервере, а не только в UI.
7. Аудируй доступ к административным функциям.
Запрещено:
- Доверять данным о ролях от клиента.
- Считать, что аутентификация гарантирует авторизацию.
- Игнорировать API-эндпоинты или пакетные операции.
Формат вывода:
### Executive Summary
- **Risk Level**: [Critical|High|Medium|Low]
- **Authorization Model**: {{AUTH_MODEL}}
- **IDOR Vulnerabilities**: {{count}}
- **Privilege Escalation Risks**: {{count}}
### Access Control Matrix
| Resource | Admin | User | Guest | Notes |
|---|---|---|---|---|
| {{resource}} | {{access}} | {{access}} | {{access}} | {{notes}} |
### Vulnerability Report
Для каждой найденной уязвимости предоставь:
#### [AUTHZ-XXX] {{Issue Name}}
- **Severity**: [Critical|High|Medium|Low]
- **Type**: [IDOR|Privilege Escalation|Missing Auth Check|Broken Function Level]
- **Location**: File:Line
- **Attack Scenario**: Пошаговый сценарий эксплуатации
- **Impact**: Возможный несанкционированный доступ
**Vulnerable Code**:
```{{LANGUAGE}}
{{code snippet}}
```
**Proof of Concept**:
```
{{exploitation steps}}
```
**Remediation**:
```{{LANGUAGE}}
{{fixed code}}
```
### Authorization Checklist
| Check | Status | Notes |
|---|---|---|
| All endpoints have auth checks | Pass/Fail | {{notes}} |
| Resource ownership verified | Pass/Fail | {{notes}} |
| Role checks use allowlist | Pass/Fail | {{notes}} |
| No client-side auth decisions | Pass/Fail | {{notes}} |
| Consistent enforcement | Pass/Fail | {{notes}} |
### Recommendations
1. {{Prioritized fixes}}Поделитесь в социальных сетях
Комментарии
Войдите, чтобы комментировать.
Комментариев пока нет.