搜索

[27963] 2019-12-17_API接口渗透测试

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-12-17_API接口渗透测试 A P I   接 口 渗 透 测 试 O t s 安 全   2 0 1 9 - 1 2 - 1 7 1   A P I   接 口 介 绍 1 . 1   R P C （ 远 程 过 程 调 用 ） 远 程 过 程 调 用 （ 英 语 ： R e m o t e   P r o c e d u r e   C a l l ， 缩 写 为   R P C ） 是 一 个 计 算 机 通 信 协 议 。 该 协 议 允 许 运 行 于 一 台 计 算 机 的 程 序 调 用 另 一 台 计 算 机 的 子 程 序 ， 而 程 序 员 无 需 额 外 地 为 这 个 交 互 作 用 编 程 。 如 果 涉 及 的 软 件 采 用 面 向 对 象 编 程 ， 那 么 远 程 过 程 调 用 亦 可 称 作 远 程 调 用 或 远 程 方 法 调 用 ， 例 ： J a v a   R M I 。 R P C   一 般 直 接 使 用   T C P   协 议 进 行 通 信 ， 通 常 不 涉 及 到   H T T P 。 H T T P   下 面 有 2 种 技 术 ： X M L - R P C （ h t t p s : / / z h . w i k i p e d i a . o r g / w i k i / X M L - R P C ） J S O N - R P C （ h t t p s : / / z h . w i k i p e d i a . o r g / w i k i / J S O N - R P C ） W e b   s e r v i c e   和   R E S T f u l   A P I   都 可 算 作 远 程 过 程 调 用 的 子 集 。 1 . 2   W e b   S e r v i c e W e b   S e r v i c e   是 一 种 服 务 导 向 架 构 的 技 术 ， 通 过 标 准 的 W e b 协 议 提 供 服 务 ， 目 的 是 保 证 不 同 平 台 的 应 用 服 务 可 以 互 操 作 。 根 据   W 3 C   的 定 义 ， W e b   服 务 （ W e b   s e r v i c e ） 应 当 是 一 个 软 件 系 统 ， 用 以 支 持 网 络 间 不 同 机 器 的 互 动 操 作 。 网 络 服 务 通 常 是 许 多 应 用 程 序 接 口 （ A P I ） 所 组 成 的 ， 它 们 透 过 网 络 ， 例 如 国 际 互 联 网 （ I n t e r n e t ） 的 远 程 服 务 器 端 ， 执 行 客 户 所 提 交 服 务 的 请 求 。 尽 管 W 3 C 的 定 义 涵 盖 诸 多 相 异 且 无 法 介 分 的 系 统 ， 不 过 通 常 我 们 指 有 关 于 主 从 式 架 构 （ C l i e n t - s e r v e r ） 之 间 根 据   S O A P   协 议 进 行 传 递   X M L   格 式 消 息 。 无 论 定 义 还 是 实 现 ， W e b   服 务 过 程 中 会 由 服 务 器 提 供 一 个 机 器 可 读 的 描 述 （ 通 常 基 于 W S D L ） 以 辨 识 服 务 器 所 提 供 的   W e b   服 务 。 另 外 ， 虽 然   W S D L   不 是   S O A P   服 务 端 点 的 必 要 条 件 ， 但 目 前 基 于 J a v a   的 主 流   W e b   服 务 开 发 框 架 往 往 需 要 W S D L   实 现 客 户 端 的 源 代 码 生 成 。 一 些 工 业 标 准 化 组 织 ， 比 如   W S - I ， 就 在   W e b   服 务 定 义 中 强 制 包 含   S O A P   和   W S D L 。 W e b   S e r v i c e   是 一 种 比 较 “ 重 ” 和 “ 老 ” 的   W e b   接 口 技 术 ， 目 前 大 部 分 应 用 于 金 融 机 构 的 历 史 应 用 和 比 较 老 的 应 用 中 。 1 . 3   R E S T f u l   A P I R E S T ， 全 称 是   R e s o u r c e   R e p r e s e n t a t i o n a l   S t a t e   T r a n s f e r ， 通 俗 来 讲 就 是 ， 资 源 在 网 络 中 以 某 种 表 现 形 式 进 行 状 态 转 移 。 分 解 开 来 ： R e s o u r c e ： 资 源 ， 即 数 据 （ 前 面 说 过 网 络 的 核 心 ） 。 比 如   n e w s f e e d ， f r i e n d s 等 ； R e p r e s e n t a t i o n a l ： 某 种 表 现 形 式 ， 比 如 用 J S O N ， X M L ， J P E G 等 ； S t a t e   T r a n s f e r ： 状 态 变 化 。 通 过 H T T P 动 词 实 现 。 R E S T f u l   A P I   就 是 符 合   R E S T   风 格 的   A P I ， 传 递 数 据 也 是 2 种 形 式 ： X M L ， 少 见
j s o n ， 常 见 ， 现 在   W e b   应 用 基 本 使 用 这 种 形 式 的   A P I 。 1 . 4   M V C 、 M V P 、 M V V M W e b   应 用 程 序 和   A P P   应 用 程 序 的   A P I   跟 目 前 的 流 行 框 架 和 模 式 相 关 ， 主 要 有 3 种 模 式 ： M V C 、 M V P 、 M V V M 。 M V C   将 整 个 应 用 分 成   M o d e l 、 V i e w   和   C o n t r o l l e r   三 个 部 分 ， 而 这 些 组 成 部 分 其 实 也 有 着 几 乎 相 同 的 职 责 。 视 图 ： 管 理 作 为 位 图 展 示 到 屏 幕 上 的 图 形 和 文 字 输 出 ； 控 制 器 ： 翻 译 用 户 的 输 入 并 依 照 用 户 的 输 入 操 作 模 型 和 视 图 ； 模 型 ： 管 理 应 用 的 行 为 和 数 据 ， 响 应 数 据 请 求 （ 经 常 来 自 视 图 ） 和 更 新 状 态 的 指 令 （ 经 常 来 自 控 制 器 ） ； 此 类 模 式 和 架 构 的 应 用 越 来 越 多 导 致   A P I   接 口 的 应 用 也 越 来 越 流 行 。 想 了 解 更 多 可 以 在 网 上 查 找 相 关 资 料 。 2   A P I   测 试 环 境 和 测 试 工 具 2 . 1   W e b   S e r v i c e   测 试 2 . 1 . 1   找   W e b s e r v i c e   接 口 G o o g l e   h a c k i n g i n u r l : j w s ? w s d l i n u r l : a s m x ? w s d l i n u r l : a s p x ? w s d l i n u r l : a s c x ? w s d l i n u r l : a s h x ? w s d l i n u r l : d l l ? w s d l i n u r l : e x e ? w s d l i n u r l : p h p ? w s d l i n u r l : p l ? w s d l
i n u r l : ? w s d l f i l e t y p e : j w s f i l e t y p e : a s m x f i l e t y p e : a s c x f i l e t y p e : a s p x f i l e t y p e : a s h x f i l e t y p e : d l l f i l e t y p e : e x e f i l e t y p e : p h p f i l e t y p e : p l f i l e t y p e : w s d l   w s d l f u z z i n g 爬 虫 2 . 1 . 2   测 试 工 具 涉 及 主 要 工 具 ： S o a p   U I   P R O ， 渗 透 测 试 流 程 的 发 起 ， 通 信 报 文 的 解 析 、 集 合 p a y l o a d 之 后 通 信 报 文 的 重 新 组 装 等 ， 1 4 天 试 用 ， 可 以 做 自 动 化 测 试 。 S o a p U I   F r e e ， 手 工 测 试 S O A P S o n a r ， S O A P   U I   的 替 代 。 B u r p   S u i t e ， 代 理 拦 截 ， 跟 踪 通 信 过 程 和 结 果 ， 对 通 信 进 行 重 放 和 二 次 处 理 等 。 W S S A T W S - A t t a c k e r # # #   2 . 1 . 3   测 试 项 目 F u z z i n g X S S   / S Q L i /   M a l f o r m e d   X M L F i l e   U p l o a d X p a t h   I n j e c t i o n X M L   B o m b   ( D o S ) A u t h e n t i c a t i o n   b a s e d   a t t a c k s R e p l a y   a t t a c k s S e s s i o n   f i x a t i o n X M L   S i g n a t u r e   w r a p p i n g S e s s i o n   t i m e o u t H o s t   C i p h e r   S u p p o r t /   V a l i d   C e r t i f i c a t e /   P r o t o c o l   S u p p o r t H a s h i n g   A l g o r i t h m   S u p p o r t 2 . 1 . 4   手 工 测 试 方 法 主 要 使 用   S o a p   U I   O p e n   S o u r c e ， 有 安 全 测 试 C a s e ， 需 要 配 置   S O A P   代 理 到   B u r p ， 数 据 流 ， 现 在 的 版 本 是 5 . 4 . 0 。
代 理 配 置 可 以 用   B u r p   重 放   S O A P   的 探 测   P a y l o a d 。 使 用   S o a p   U I   O p e n   S o u r c e ， 测 试 步 骤 ： 1 .   创 建 工 作 空 间 2 .   新 建   S O A P   项 目 3 .   增 加   W S D L ， 配 置 名 称 和   W S D L   链 接 4 .   选 择 要 测 试 的   ， 增 加 一 个 安 全 测 试 T e s t S u i t e
5 . 选 择 测 试 的 类 型 ， 运 行 测 试
2 . 1 . 5   自 动 化 测 试 S O A P   配 置 ， 2 步 ， “ F i l e ” - “ P r e f e r e n c e ” - “ P r o x y ” ， 设 置   B u r p   代 理 直 接 在   S o u p   U I   主 菜 单 上 选 择 运 行 一 个 测 试 。
在 弹 出 窗 口 中 输 入   W S D L   地 址 。 S U A P   U I   会 自 动 探 测 接 口 。 然 后 在 项 目 - 测 试 C a s e 的 右 键 菜 单 中 选 择 安 全 测 试 运 行 安 全 测 试 。
B u r p   代 理 会 捕 获 所 有 的 测 试 请 求 其 他 工 具 介 绍 W S S A T ， 选 择 加 载 存 在   W S D L   列 表 的 文 件 ， 运 行 。
W S - A t t a c k e r
A W V S   的 扫 描 也 能 直 接 测 试   W e b   S e r v i c e 2 . 2   R E S T f u l   A P I   测 试 2 . 2 . 1   测 试 工 具 常 见 的 浏 览 器 插 件 C h r o m e   R e s t l e t   C l i e n t -   F i r e f o x   R E S T C l i e n t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理