jakkxbt/cobraauditScripts de auditoría de bug bounty - validación de claves API, comprobaciones de configuraciones incorrectas de OAuth, auditoría de restablecimiento de contraseñas.
Marco de auditoría para bug bounty — tres módulos enfocados en clases de vulnerabilidades comunes.
╔═╗╔═╗╔╗ ╦═╗╔═╗ ╔═╗╦ ╦╔╦╗╦╔╦╗
║ ║ ║╠╩╗╠╦╝╠═╣ ╠═╣║ ║ ║║║ ║
╚═╝╚═╝╚═╝╩╚═╩ ╩ ╩ ╩╚═╝═╩╝╩ ╩
| Módulo | Qué prueba |
|---|---|
apikeys | Stripe, SendGrid, GitHub (clásico y de grano fino), GitLab, OpenAI, Anthropic, Slack, Mailgun, Firebase, NPM, AWS, Shopify, Twilio |
oauth | Flujo implícito, aplicación de PKCE, parámetro state, bypass de URI de redirección |
pwreset | Inyección de cabecera Host, enumeración de nombres de usuario, limitación de tasa |
pip install -e .
Después de la instalación, cobraaudit está disponible globalmente.
# Test a single API key
cobraaudit apikeys --key sk_live_xxxx
# Scan a file for API keys (e.g. NextRecon JS output)
cobraaudit apikeys --file output.js
# Scan a live URL for embedded keys
cobraaudit apikeys --target https://target.com/app.js
# OAuth audit
cobraaudit oauth --target https://target.com
cobraaudit oauth --target https://target.com --client-id myapp
# Password reset audit
cobraaudit pwreset --target https://target.com --email [email protected]
cobraaudit pwreset --target https://target.com --email [email protected] --reset-endpoint /forgot-password
# Run all modules
cobraaudit all --target https://target.com --email [email protected]
pwreset requiere Burp Collaborator o interactsh para confirmar la devolución de llamada en el correo de restablecimiento.--client-id conocido; sin él, los resultados pueden no ser concluyentes.