搜索

[18364] 2021-06-16_干货31类API安全测试的小技巧总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-06-16_干货31类API安全测试的小技巧总结 干 货 | 3 1 类 A P I 安 全 测 试 的 小 技 巧 总 结 w e b 安 全 工 具 库   H A C K 之 道   2 0 2 1 - 0 6 - 1 6 收 录 于 话 题   # A P I 安 全 测 试   , 1 个                 随 着 R E S T f u l   A P I 、 G r a p h Q L   A P I 等 A P I 技 术 的 发 展 ， 掌 握 A P I 安 全 技 术 是 渗 透 测 试 工 程 师 的 一 项 基 本 技 能 ， 在 渗 透 测 试 过 程 中 会 用 到 各 种 A P I 安 全 工 具 和 技 巧 ， 其 中 A P I 安 全 小 贴 士 是 入 门 学 习 的 首 选 推 荐 ， 这 里 将 它 安 全 小 贴 士 是 入 门 学 习 的 首 选 推 荐 ， 这 里 将 它 的 中 文 版 转 发 过 来 。 的 中 文 版 转 发 过 来 。 / / / / / / / / / / 1 .   A P I 版 本 漏 洞 ， 比 如 存 在 a p i / v 3 / l o g i n 则 检 测 a p i / v 1 / l o g i n ， 低 版 本 A P I 可 能 存 在 更 多 漏 洞 。 2 .   A P I 多 端 / 多 接 入 点 漏 洞 ， 比 如 认 证 接 口 ， 可 能 存 在 移 动 端 、 P C 端 、 w e b 端 不 同 的 认 证 接 口 或 者 不 同 的 认 证 入 口 ， / a p i / m o b i l e / l o g i n   、   / a p i / v 3 / l o g i n   、   / a p i / m a g i c _ l i n k 等 。 3 .   B O L A （ 失 效 的 对 象 级 授 权 和 访 问 控 制 ） ， B O L A 像 十 年 前 的 S Q L 注 入 一 样 ， 在 A P I 安 全 中 广 泛 存 在 ， 作 者 通 过 一 个 附 件 材 料 ， 详 细 地 介 绍 了 B O L A 问 题 的 根 源 、 如 何 发 现 和 检 测 、 如 何 防 范 和 规 避 ， 并 针 对 不 同 的 角 色 （ 技 术 经 理 、 开 发 人 员 、 渗 透 人 员 ） 给 出 了 建 议 。 4 .   命 令 行 注 入 ， 以 h t t p s : / / a p i d o c k . c o m / r u b y / K e r n e l / o p e n 为 例 ， 开 发 人 员 使 用 了 这 个 接 口 可 能 会 导 致 命 令 行 注 入 漏 洞 的 存 在 。 5 .   A P I 接 口 也 会 存 在 S S R F ， 可 以 利 用 此 漏 洞 可 以 探 测 内 网 I P 地 址 、 端 口 、 下 载 大 文 件 导 致 D o s 、 显 示 内 网 控 制 台 等 。 6 .   批 量 分 配 问 题 ， 现 代 开 发 框 架 鼓 励 开 发 人 员 在 不 理 解 安 全 含 义 的 情 况 下 使 用 批 量 分 配 方 式 的 数 据 结 构 ， 往 往 仅 仅 通 过 修 复 h t t p 请 求 方 法 即 可 获 取 额 外 的 信 息 ， 比 如 同 一 个 接 口 由 P U T 请 求 调 用 修 改 为 G E T 请 求 。   7 .   同 一 功 能 多 个 接 口 问 题 ， 当 一 家 公 司 对 外 提 供 A P I 接 口 给 开 发 者 时 ， 同 样 的 功 能 下 ， A P I 接 口 与 移 动 端 、 P C 端 接 口 实 现 方 式 一 定 要 单 独 测 试 验 证 ， 不 要 假 定 跟 移 动 端 、 P C 端 具 备 同 样 的 安 全 机 制 。 8 .   多 协 议 问 题 ， 当 渗 透 测 试 时 ， 如 果 是 R E S T   A P I ， 试 着 仅 仅 将 c o n t e n t - t y p e 修 改 为   " a p p l i c a t i o n / x m l " ， 添 加 一 段 x m l 后 发 出 请 求 ， 验 证 其 是 否 支 持 S O A P 协 议 ， 从 而 发 现 是 否 存 在 安 全 漏 洞 。 9 .   H T T P   h e a d e r 标 志 符 安 全 问 题 ， 当 渗 透 测 试 R E S T   A P I ， H T T P   h e a d e r 中 的 标 志 符 往 往 比 u r l 中 的 标 志 符 更 容 易 发 现 安 全 问 题 。
1 0 .   破 坏 功 能 级 的 授 权 和 访 问 控 制 ， 来 发 现 管 理 类 A P I 接 入 点 ， 比 如 正 常 的 请 求 是 G E T   / a p i / v 1 / u s e r s / < i d >   将 其 修 改 为   D E L E T E   / P O S T   去 尝 试 删 除 或 创 建 用 户 。 1 1 .   使 用 h e a d e r 认 证 ， 如 果 验 证 机 制 不 支 持 c o o k i e 方 式 ， 则 需 要 通 过 防 护 设 计 来 保 护 A P I 免 受 C S R F 攻 击 。   1 2 .   测 试 数 值 枚 举 ， 即 使 I D 值 为 G U I D 生 成 的 ， 也 可 以 使 用 数 值 类 型 的 来 测 试 ， 比 如 使 用   / ? u s e r _ i d = 1 1 1 来 代 替 u s e r _ i d = i n o n @ t r a c e a b l e . a i 的 值 ， 有 时 候 授 权 机 制 同 时 支 持 数 值 型 和 字 符 串 型 两 种 方 式 。 1 3 .   批 量 分 配 问 题 导 致 授 权 绕 过 ， 比 如 P O S T   / a p i / r e s e t _ p a s s   接 口 调 用 时 需 要 验 证 旧 密 码 ， 而 P U T   / a p i / u p d a t e _ u s e r   接 口 调 用 可 能 就 不 需 要 旧 密 码 。 1 4 .   尝 试 扩 展 攻 击 面 ， 比 如 通 过 h t t p : / / V i r u s t o t a l . c o m 或   h t t p : / / C e n s y s . i o 可 能 发 现 同 一 A P I 的 不 同 的 配 置 或 不 同 的 版 本 ， 以 帮 助 你 发 现 问 题 。 1 5 .   静 态 资 源 授 权 问 题 ， 很 多 时 候 ， 应 用 程 序 本 身 授 权 访 问 控 制 在 开 发 方 面 可 能 做 得 很 好 ， 但 对 静 态 资 源 的 保 护 ， 比 如 说 视 频 、 图 片 、 文 件 ， 在 访 问 控 制 做 得 不 够 ， 存 在 未 授 权 访 问 问 题 。 1 6 .   渗 透 测 试 工 具 选 择 B u r p   S u i t e ， 即 使 免 费 版 也 提 供 树 状 视 图 ， 帮 助 你 管 理 和 发 现 所 有 你 可 以 访 问 的 A P I 接 口 。   1 7 .   M o b i l e   C e r t i f i c a t e   P i n n i n g ， 当 你 测 试 A n d r o i d 或 i O S   A P P 时 ， 在 逆 向 工 程 或 打 补 丁 之 前 ， 看 看 老 的 版 本 是 否 存 在 M o b i l e C e r t i f i c a t e   P i n n i n g 不 可 用 的 问 题 。 1 8 .   多 关 注 很 少 人 使 用 的 功 能 ， 企 业 和 开 发 者 更 多 的 关 注 那 些 使 用 量 高 的 A P I ， 对 于 使 用 频 率 低 的 A P I ， 往 往 存 在 有 趣 的 漏 洞 。 1 9 .   以 下 这 些 功 能 可 能 存 在 更 多 的 漏 洞 ， 比 如 组 织 机 构 内 的 用 户 管 理 、   C S V / H T M L / P D F 文 件 导 出 、 客 户 视 图 、 子 账 号 的 管 理 创 建 、 对 象 共 享 （ 比 如 图 片 、 文 档 等 ） 。   2 0 .   限 流 测 试 ， 尤 其 是 在 测 试 环 境 中 ， 开 发 人 员 往 往 丢 失 限 流 机 制 ， 导 致 被 暴 力 破 解 。 2 1 .   使 用   h t t p : / / a r c h i v e . c o m 扩 展 攻 击 面 ， 在 h t t p : / / a r c h i v e . c o m 上 寻 找 老 版 本 的 应 用 ， 扫 描 j s 文 件 来 发 现 u r l 地 址 ， 扩 大 攻 击 点 。 2 2 .   个 人 信 息 泄 露 ， 一 般 来 说 ， 安 全 设 计 默 认 是 保 护 个 人 信 息 隐 私 的 ， 但 通 常 后 端 工 程 师 将 j s o n 数 据 全 部 返 回 给 前 端 工 程 师 ， 由 前 端 工 程 师 做 好 数 据 过 滤 后 展 现 。 渗 透 时 可 以 找 到 A P I 调 用 入 口 ， 获 取 所 有 的 信 息 ， 比 如 / d o w n l o a d _ r e c e i p t , / e x p o r t _ r e c e i p t 等 。
2 3 .   下 载 应 用 A P P 或 者 应 用 源 码 ， 通 过 逆 向 工 程 （ 比 如 D L L 文 件 :   使 用 I L - s p y ;   J a v a 反 编 译 使 用 L u y t e n ） 来 发 现 更 多 的 问 题 。 2 4 .   渗 透 测 试 环 境 下 认 证 ,   授 权 ,   限 流 、 输 入 验 证 的 安 全 机 制 ， 在 测 试 环 境 中 ， 研 发 人 员 往 往 禁 用 这 些 安 全 机 制 ， 渗 透 人 员 可 以 利 用 此 来 扩 大 攻 击 面 。 2 5 .   攻 击 导 出 P D F 功 能 ， 导 出 功 能 往 往 使 用 扩 展 类 库 来 处 理 导 出 功 能 ， 比 如 转 换 h t m l 为 P D F ， 可 以 试 试 h t m l 注 入 。 2 6 .   常 用 授 权 绕 过 技 巧 ， 在 某 些 场 景 下 ， 授 权 机 制 依 赖 于 某 个 I D 值 ， 如 果 将 I D 值 篡 改 为 对 象 ， 比 如 数 组 对 象 、 J S O N 对 象 ， 则 发 生 授 权 绕 过 。 类 似 的 攻 击 手 法 有 ： 数 组 绕 过 ： { “ i d ” : 1 1 1 }   - - >   { “ i d ” : [ 1 1 1 ] } J S O N   对 象 绕 过 ： { “ i d ” : 1 1 1 }   - - >   { “ i d ” : { “ i d ” : 1 1 1 } } 两 次 传 值 绕 过 ： / a p i ? i d = 非 法 参 数 值 & i d = 恶 意 参 数 值 正 则 匹 配 绕 过 ： { " u s e r _ i d " : " * " } 2 7 .   当 后 端 服 务 存 在 X S S 保 护 时 ， 以 J S O N 代 替 试 试 。 某 些 场 景 下 ， 后 端 服 务 对 h t m l 中 存 在 x s s 具 备 保 护 机 制 ， 一 旦 触 发 则 无 应 答 或 异 常 响 应 ， 试 试 以 J S O N 格 式 的 响 应 。 2 8 .   . N E T 应 用 测 试 技 巧 ： 有 时 候 ， 开 发 者 使 用 p a t h _ 1 , p a t h _ 2 两 个 参 数 来 构 造 绝 对 路 径 ， 可 能 存 在 如 果 p a t h _ 2 为 绝 对 路 径 时 ， 则 p a t h _ 1 则 被 忽 略 。 2 9 .     善 于 利 用 A P I 公 开 资 料 ， 大 多 数 A P I 接 口 都 会 有 接 口 说 明 文 档 ， 并 配 备 使 用 的 源 码 样 例 程 序 ， 渗 透 测 试 人 员 要 善 于 利 用 这 些 资 料 ， 分 析 用 户 、 角 色 、 资 源 之 间 的 关 系 ， 从 而 发 现 更 多 的 漏 洞 。 3 0 .     渗 透 测 试 进 入 僵 持 阶 段 怎 么 办 ？ 扩 大 攻 击 面 。 如 果 有 移 动 端 应 用 ， 可 以 从 应 用 市 场 下 载 历 史 版 本 ， 寻 找 安 全 机 制 缺 失 的 A P I 调 用 接 口 ， 比 如 授 权 、 参 数 过 滤 、 速 率 限 制 、 影 子 A P I 等 。 3 1 .   关 注 速 率 限 制 类 型 的 安 全 漏 洞 ， 尤 其 是 带 有 l i m i t   /   p a g e 之 类 的 参 数 ， 比 如 / a p i / n e w s ? l i m i t = 1 0 0 ， / a p i / n e w s / p a g e N o / 1 0 / p a g e S i z e / 5 0 之 类 的 接 口 ， 通 过 修 改 参 数 值 测 试 是 否 存 在 H t t p   D o s 漏 洞 。 - E n d -
作 者 简 介 作 者 简 介 作 作   者 ： 者 ： 钱 君 生 科 大 讯 飞 集 团 安 全 技 术 专 家 ， 1 0 余 年 行 业 工 作 经 验 ， 主 要 负 责 安 全 平 台 研 发 、 D e v S e c O p s 、 安 全 防 护 体 系 、 团 队 建 设 等 工 作 ， 具 备 丰 富 的 互 联 网 安 全 一 线 实 战 经 验 ， 曾 编 写 开 源 网 络 安 全 图 书 《 B u r p   S u i t e 实 战 指 南 》 。 推 荐 图 书 ： 推 荐 图 书 ： 融 合 信 息 安 全 行 业 资 深 技 术 专 家 1 0 多 年 一 线 实 战 经 验 ， 为 I T 技 术 人 员 提 供 A P I 安 全 知 识 和 技 术 实 战 方 面 的 案 例 讲 解 。 更 多 更 多 A P I 安 全 相 关 的 知 识 ， 感 兴 趣 的 童 鞋 可 点 击 上 方 图 片 ， 详 细 了 解 《 安 全 相 关 的 知 识 ， 感 兴 趣 的 童 鞋 可 点 击 上 方 图 片 ， 详 细 了 解 《 A P I 安 全 技 术 与 实 战 》 安 全 技 术 与 实 战 》 一 书 。 一 书 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理