detecting-oauth-token-theft
通过分析登录日志中的不可能旅行、新设备模式、来自异常 IP 的令牌重放， 以及通过 Microsoft Graph 和 Okta API 检测异常范围请求，识别 OAuth 访问令牌盗窃和滥用行为。
Best use case
detecting-oauth-token-theft is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
通过分析登录日志中的不可能旅行、新设备模式、来自异常 IP 的令牌重放， 以及通过 Microsoft Graph 和 Okta API 检测异常范围请求，识别 OAuth 访问令牌盗窃和滥用行为。
Teams using detecting-oauth-token-theft should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/detecting-oauth-token-theft/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How detecting-oauth-token-theft Compares
| Feature / Agent | detecting-oauth-token-theft | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
通过分析登录日志中的不可能旅行、新设备模式、来自异常 IP 的令牌重放， 以及通过 Microsoft Graph 和 Okta API 检测异常范围请求，识别 OAuth 访问令牌盗窃和滥用行为。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 检测 OAuth 令牌盗窃 分析 OAuth 登录遥测数据，识别令牌盗窃指标，包括不可能旅行、设备指纹变更和令牌重放攻击。
Related Skills
testing-oauth2-implementation-flaws
测试 OAuth 2.0 和 OpenID Connect 实现中的安全缺陷，包括授权码拦截、重定向 URI 操控、OAuth 流程中的 CSRF、令牌泄露、权限范围（scope）提升以及 PKCE 绕过。测试人员对授权服务器、客户端应用及令牌处理进行评估，发现可导致账户接管或未授权访问的常见错误配置。适用于 OAuth 安全测试、OIDC 漏洞评估、OAuth2 重定向绕过或授权码流程测试相关请求。
testing-jwt-token-security
在安全测试活动中，评估 JSON Web Token（JWT）实现中的密码学弱点、算法混淆攻击和授权绕过漏洞。
testing-for-json-web-token-vulnerabilities
测试 JWT 实现中的关键漏洞，包括算法混淆、none 算法绕过、kid 参数注入和弱密钥利用，以实现认证绕过和权限提升。
performing-oauth-scope-minimization-review
执行 OAuth 2.0 权限范围最小化审查，识别过度授权的第三方应用集成、 过多的 API 范围、未使用的令牌授权以及跨身份提供商和 SaaS 平台的 高风险 OAuth 同意模式。 适用于 OAuth 范围审计、API 权限审查、第三方应用风险评估或同意授权最小化的请求。
implementing-honeytokens-for-breach-detection
部署金丝雀令牌（canary tokens）和蜜标（honeytokens），包括伪造的 AWS 凭据、DNS 金丝雀、 文档信标和数据库记录，当攻击者访问时触发告警。使用 Canarytokens API 和自定义 Webhook 集成 实现入侵检测。适用于构建基于欺骗技术的早期预警入侵检测系统的场景。
implementing-deception-based-detection-with-canarytoken
通过 Thinkst Canary API 部署和监控金丝雀令牌，使用 Web Bug 令牌、DNS 令牌、文档令牌和 AWS 密钥令牌实现基于欺骗的入侵检测。
exploiting-oauth-misconfiguration
在安全评估期间识别并利用 OAuth 2.0 和 OpenID Connect 错误配置，包括重定向 URI 操纵、令牌泄漏和授权码窃取。
detecting-wmi-persistence
通过分析 Sysmon 事件 ID 19、20 和 21 中的恶意 EventFilter、EventConsumer 和 FilterToConsumerBinding 创建，检测 WMI 事件订阅持久化。
detecting-t1548-abuse-elevation-control-mechanism
通过监控注册表修改、进程提升标志和异常的父子进程关系，检测提升控制机制滥用，包括 UAC 绕过、sudo 利用和 setuid/setgid 操纵。
detecting-t1055-process-injection-with-sysmon
通过分析 Sysmon 事件中的跨进程内存操作、远程线程创建和异常 DLL 加载模式，检测进程注入技术（T1055），包括经典 DLL 注入、进程镂空和 APC 注入。
detecting-t1003-credential-dumping-with-edr
利用 EDR 遥测数据、Sysmon 进程访问监控和 Windows 安全事件关联，检测针对 LSASS 内存、SAM 数据库、NTDS.dit 和缓存凭据的 OS 凭据转储技术。
detecting-suspicious-powershell-execution
检测可疑的 PowerShell 执行模式，包括编码命令、下载器（download cradles）、AMSI 绕过尝试以及受限语言模式规避。