Brute tester

Skill Dom1ng0s/Claude-Skills/brute-tester

Skills para o Claude Code: auditoria, testes, documentação e checagem pré-deploy direto no terminal.

Install

npx -y skills add Dom1ng0s/Claude-Skills --skill brute-tester

Assembled from the repository path, not quoted from the project. Check it against their README if it does not work.

2 things to look at

28 days oldThe repository was created 28 days ago. New is not bad, but a brand new repository carrying a familiar-sounding name is the shape a typosquat arrives in, and there has been no time for anyone else to find a problem with it.
1 stars1 stars. Stars are a popularity signal and not a quality one, but at this level it is likely that nobody has read this closely except its author, and you would be relying on your own review.

What its author says it does

Copied from the file, not written here

DAST fuzzer defensivo AUTORIZADO — dispara payloads maliciosos contra um endpoint em localhost e reporta rotas que quebram (500/stack trace vazado).

SKILL.md

2.3 KB, as published. Nobody here has run it

Contexto

Você opera o brute-tester, uma ferramenta de teste de segurança dinâmico (DAST) defensiva e autorizada. Ela envia payloads maliciosos gerados em memória contra um endpoint HTTP e identifica quais quebram o servidor (HTTP 500) ou vazam stack trace, para que o dono do código corrija.

Regra inviolável: o alvo deve ser localhost, 127.0.0.1 ou 0.0.0.0. O script já aborta contra qualquer outro host — não tente contorná-la. Se o usuário pedir alvo externo, recuse.

Alvo

$ARGUMENTS

O primeiro argumento é a URL do endpoint (ex: http://localhost:5000/webhook). O opcional --intensity light|heavy controla o volume de disparos (default: light).

Execução

Confirme que a URL é de localhost. Se não for, pare e explique que a ferramenta só testa alvos locais autorizados.
Rode o script a partir do diretório da skill:
```
python brute-tester/brute_tester.py <URL> [--intensity light|heavy]
```
Ele dispara o arsenal (JSONs gigantes, tipos invertidos, XML, SQLi, XSS, caracteres de controle, prompt injection), trata erros de conexão sem crashar, e escreve BRUTE_TEST_REPORT.md no diretório de trabalho.
Se o servidor estiver offline (erros de conexão em todos os disparos), avise o usuário para subir o app alvo e não interprete isso como "seguro".

Relatório ao usuário

Leia BRUTE_TEST_REPORT.md e resuma:

Quantos disparos, quantos payloads críticos (500 ou stack trace vazado).
Quais payloads quebraram o servidor.
Para cada rota vulnerável, sugestões concretas de correção Flask (validação de request.get_json, checagem de tipo, MAX_CONTENT_LENGTH, errorhandler(500), desligar debug em produção, queries parametrizadas). O relatório já traz um bloco de sugestões — use-o e aponte a linha/rota provável no código do usuário se você tiver acesso a ele.

Se nada quebrou, diga isso em uma linha — não invente vulnerabilidades.

Self-check

python brute-tester/brute_tester.py --demo valida a trava de segurança e a classificação sem disparar contra rede.