jakkxbt/cobraauditنصوص تدقيق برامج مكافأة الأخطاء — التحقق من صحة مفاتيح API، فحص سوء تكوين OAuth، تدقيق إعادة تعيين كلمة المرور.
إطار عمل تدقيق مكافآت الثغرات — ثلاث وحدات مركزة لفئات الثغرات الشائعة.
╔═╗╔═╗╔╗ ╦═╗╔═╗ ╔═╗╦ ╦╔╦╗╦╔╦╗
║ ║ ║╠╩╗╠╦╝╠═╣ ╠═╣║ ║ ║║║ ║
╚═╝╚═╝╚═╝╩╚═╩ ╩ ╩ ╩╚═╝═╩╝╩ ╩
| الوحدة | ما تختبره |
|---|---|
apikeys | Stripe, SendGrid, GitHub (classic & fine-grained), GitLab, OpenAI, Anthropic, Slack, Mailgun, Firebase, NPM, AWS, Shopify, Twilio |
oauth | Implicit flow, PKCE enforcement, state parameter, redirect URI bypass |
pwreset | Host header injection, username enumeration, rate limiting |
pip install -e .
بعد التثبيت، يصبح cobraaudit متاحًا عالميًا.
# اختبر مفتاح API واحد
cobraaudit apikeys --key sk_live_xxxx
# امسح ملفًا بحثًا عن مفاتيح API (مثل مخرجات NextRecon JS)
cobraaudit apikeys --file output.js
# امسح URL مباشر بحثًا عن مفاتيح مضمنة
cobraaudit apikeys --target https://target.com/app.js
# تدقيق OAuth
cobraaudit oauth --target https://target.com
cobraaudit oauth --target https://target.com --client-id myapp
# تدقيق إعادة تعيين كلمة المرور
cobraaudit pwreset --target https://target.com --email [email protected]
cobraaudit pwreset --target https://target.com --email [email protected] --reset-endpoint /forgot-password
# تشغيل جميع الوحدات
cobraaudit all --target https://target.com --email [email protected]
pwreset يتطلب Burp Collaborator أو interactsh لتأكيد رد الاتصال في بريد إعادة التعيين.--client-id معروف — بدونه، قد تكون النتائج غير حاسمة.