jakkxbt/cobraauditバグ報奨金監査スクリプト — APIキー検証、OAuth設定ミスチェック、パスワードリセット監査。
バグ報奨金監査フレームワーク — 一般的な脆弱性クラス向けの3つのフォーカスモジュールです。
╔═╗╔═╗╔╗ ╦═╗╔═╗ ╔═╗╦ ╦╔╦╗╦╔╦╗
║ ║ ║╠╩╗╠╦╝╠═╣ ╠═╣║ ║ ║║║ ║
╚═╝╚═╝╚═╝╩╚═╩ ╩ ╩ ╩╚═╝═╩╝╩ ╩
| モジュール | テスト内容 |
|---|---|
apikeys | Stripe, SendGrid, GitHub (classic & fine-grained), GitLab, OpenAI, Anthropic, Slack, Mailgun, Firebase, NPM, AWS, Shopify, Twilio |
oauth | Implicit flow, PKCE enforcement, state parameter, redirect URI bypass |
pwreset | Host header injection, username enumeration, rate limiting |
pip install -e .
インストール後、cobraaudit がグローバルに利用可能になります。
# Test a single API key
cobraaudit apikeys --key sk_live_xxxx
# Scan a file for API keys (e.g. NextRecon JS output)
cobraaudit apikeys --file output.js
# Scan a live URL for embedded keys
cobraaudit apikeys --target https://target.com/app.js
# OAuth audit
cobraaudit oauth --target https://target.com
cobraaudit oauth --target https://target.com --client-id myapp
# Password reset audit
cobraaudit pwreset --target https://target.com --email [email protected]
cobraaudit pwreset --target https://target.com --email [email protected] --reset-endpoint /forgot-password
# Run all modules
cobraaudit all --target https://target.com --email [email protected]
pwreset における Host ヘッダインジェクションは、Burp Collaborator または interactsh を使用してリセットメール内のコールバックを確認する必要があります。--client-id があると最も効果的です。なければ結果が不確定になる可能性があります。