搜索

[21936] 2021-05-05_API安全测试方法论

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-05_API安全测试方法论 A P I 安 全 测 试 方 法 论 L e m o n S e c   2 0 2 1 - 0 5 - 0 5 A P I 安 全 概 述 安 全 概 述             A p p l i c a t i o n   P r o g r a m m a   I n t e r f a c e   ( A P I ) 由 一 组 定 义 和 协 议 组 合 而 成 ， 可 用 于 构 建 和 企 业 集 成 应 用 软 件 。 随 着 数 字 化 转 型 的 深 入 ， A P I 产 品 的 价 值 日 益 增 高 ， 特 别 是 与 微 服 务 、 D e v O p s 等 技 术 的 融 合 ， 使 得 A P I 成 为 企 业 战 略 发 展 加 速 的 利 器 ， 但 随 之 而 来 的 安 全 问 题 也 不 容 忽 视 。 常 见 的 A P I 安 全 漏 洞 有 以 下 五 种 ：     1 .   首 先 是 A P I 应 该 与 应 用 系 统 一 样 在 设 计 之 初 就 考 虑 安 全 的 因 素 ， 比 如 防 篡 改 （ 签 名 ） 、 防 重 放 （ 时 间 戳 ） 、 防 止 敏 感 信 息 泄 露 （ 传 输 加 密 与 数 据 最 小 化 ） 等 。   2 .   A P I 规 范 性 带 来 的 一 个 问 题 就 是 A P I 很 容 易 被 发 现 ， 比 如 在 U R L 中 出 现 的 v 1 / l o g i n ， 参 数 中 出 现 的 " f u n c t i o n " :   " l o g i n " 等 。     3 .     安 全 配 置 错 误 常 常 包 括 ： 未 使 用 加 密 传 输 协 议 、 C S R F 、 C O R S 等 。     4 .     参 数 过 多 就 会 导 致 信 息 泄 露 以 及 便 于 攻 击 者 执 行 频 率 分 析 攻 击 ， 比 如 " r o l e " :   " u s e r " 容 易 让 攻 击 者 联 想 到 " r o l e " :   " a d m i n " 等 。     5 .   数 据 过 多 ： 传 输 过 多 的 数 据 、 返 回 过 多 的 数 据 、 参 数 值 暴 露 敏 感 信 息 等 都 是 数 据 过 多 导 致 的 安 全 问 题 。         同 时 O W A S P 在 2 0 1 9 年 也 列 举 了 A P I 最 受 关 注 的 十 大 安 全 问 题 ：    
        从 上 述 的 两 张 图 中 我 们 就 可 以 大 体 了 解 A P I 常 面 临 的 风 险 是 什 么 ， 那 么 如 何 来 解 决 这 些 安 全 问 题 ？ A P I 安 全 测 试 方 法 安 全 测 试 方 法           要 想 全 面 解 决 A P I 的 安 全 问 题 ， 就 要 在 每 次 A P I 研 发 完 成 之 后 进 行 全 面 的 安 全 测 试 ， 为 了 防 止 测 试 过 程 中 出 现 的 遗 漏 ， 我 们 可 以 准 备 一 个 检 查 列 表 v 1 . 0 （ 本 列 表 主 要 来 自 ： h t t p s : / / g i t h u b . c o m / s h i e l d f y / A P I - S e c u r i t y - C h e c k l i s t / b l o b / m a s t e r / R E A D M E - z h . m d ， 添 加 了 一 些 自 己 的 分 类 依 据 、 测 试 方 法 、 修 复 方 案 等 ） ：
A P I 安 全 测 试 工 具 安 全 测 试 工 具       很 多 时 候 重 复 的 劳 动 力 是 不 必 要 的 ， 所 以 利 用 好 工 具 事 半 功 倍 （ 工 欲 善 其 事 必 先 利 其 器 ） 。 A s t r a h t t p s : / / g i t h u b . c o m / f l i p k a r t - i n c u b a t o r / A s t r a 安 装 A s t r a 非 常 简 单 ， 我 们 直 接 使 用 D o c k e r 部 署 即 可 （ 官 网 已 经 有 了 详 细 说 明 ， 值 得 注 意 的 是 编 译 A s t r a 时 网 络 是 个 大 问 题 ， 自 行 扶 墙 ） B u r p   S u i t e B u r p 的 强 大 之 处 不 用 多 说 ， 但 是 针 对 A P I 的 测 试 ， 我 更 喜 欢 把 B u r p S u i t e 与 P o s t m a n 结 合 起 来 使 用 。 f u z z a p i h t t p s : / / g i t h u b . c o m / F u z z a p i / f u z z a p i 安 装 过 程 不 赘 述 。 P o s t m a n 结 合 B u r p 来 使 用 ， 后 期 有 空 专 门 写 B u r p S u i t e   +   P o s t m a n 。 其 实 写 本 文 主 要 是 为 了 帮 自 己 梳 理 一 下 A P I 的 安 全 漏 洞 和 检 查 要 点 ， 上 面 的 图 只 是 一 个 1 . 0 版 本 ， 并 且 本 表 的 很 多 列 我 也 暂 时 没 有 共 享 出 来 ， 后 期 2 . 0 会 更 新 。 r e f e r e n c e         A P I   S e c u r i t y   C h e c k l i s t ：         A P I 的 五 个 常 见 漏 洞 ：         A P I 接 口 渗 透 测 试 ：         应 用 程 序 接 口 （ A P I ） 安 全 ： — — — — — — — — — — — — — — — — 转 自 C S D N 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / b l o o d z e r o _ n e w / a r t i c l e / d e t a i l s / 1 1 2 4 7 9 3 2 8 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c h t t p s : / / g i t h u b . c o m / s h i e l d f y / A P I - S e c u r i t y - C h e c k l i s t h t t p s : / / m i n . n e w s / z h - c n / t e c h / 2 4 c c e b 1 c 0 d 9 1 6 9 a 7 d c 6 8 e 5 8 e 0 e 6 6 9 8 6 4 . h t m l h t t p s : / / x z . a l i y u n . c o m / t / 2 4 1 2 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 2 4 8 2 5 1 . h t m l
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理