Web API Pentesting
学习和实践 AWS 黑客技术:HackTricks 培训 AWS 红队专家 (ARTE)
学习和实践 GCP 黑客技术:
HackTricks 培训 GCP 红队专家 (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d226970&sv=1)
使用 Trickest 轻松构建和 自动化工作流,由世界上 最先进 的社区工具提供支持。 今天就获取访问权限:
API 渗透测试方法概述
渗透测试 API 涉及一种结构化的方法来发现漏洞。本指南概括了一种全面的方法论,强调实用的技术和工具。
理解 API 类型
SOAP/XML Web 服务:使用 WSDL 格式进行文档记录,通常位于
?wsdl
路径。像 SOAPUI 和 WSDLer(Burp Suite 扩展)这样的工具对于解析和生成请求至关重要。示例文档可在 DNE Online 获取。REST APIs (JSON):文档通常以 WADL 文件形式提供,但像 Swagger UI 这样的工具提供了更友好的交互界面。Postman 是创建和管理示例请求的有价值工具。
GraphQL:一种用于 API 的查询语言,提供对 API 中数据的完整和可理解的描述。
实践实验室
VAmPI:一个故意存在漏洞的 API,供实践使用,涵盖 OWASP 前 10 大 API 漏洞。
API 渗透测试的有效技巧
SOAP/XML 漏洞:探索 XXE 漏洞,尽管 DTD 声明通常受到限制。如果 XML 保持有效,CDATA 标签可能允许有效负载插入。
权限提升:测试具有不同权限级别的端点,以识别未授权访问的可能性。
CORS 配置错误:检查 CORS 设置,以寻找通过已认证会话的 CSRF 攻击的潜在利用点。
端点发现:利用 API 模式发现隐藏的端点。像模糊测试工具可以自动化此过程。
参数篡改:尝试在请求中添加或替换参数,以访问未授权的数据或功能。
HTTP 方法测试:更改请求方法(GET、POST、PUT、DELETE、PATCH),以发现意外行为或信息泄露。
内容类型操控:在不同内容类型(x-www-form-urlencoded、application/xml、application/json)之间切换,以测试解析问题或漏洞。
高级参数技术:在 JSON 有效负载中测试意外数据类型,或玩弄 XML 数据以进行 XXE 注入。同时,尝试参数污染和通配符字符以进行更广泛的测试。
版本测试:较旧的 API 版本可能更容易受到攻击。始终检查并测试多个 API 版本。
API 渗透测试的工具和资源
kiterunner:非常适合发现 API 端点。使用它扫描和暴力破解路径和参数,以针对目标 API。
其他工具如 automatic-api-attack-tool、Astra 和 restler-fuzzer 提供针对 API 安全测试的定制功能,从攻击模拟到模糊测试和漏洞扫描。
Cherrybomb:这是一个基于 OAS 文件审计您的 API 的 API 安全工具(该工具用 Rust 编写)。
学习和实践资源
OWASP API 安全前 10:了解常见 API 漏洞的必读材料 (OWASP Top 10)。
API 安全检查清单:一个全面的 API 安全检查清单 (GitHub link)。
Logger++ 过滤器:用于寻找 API 漏洞,Logger++ 提供有用的过滤器 (GitHub link)。
API 端点列表:一个为测试目的整理的潜在 API 端点列表 (GitHub gist)。
参考资料
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d226970&sv=1)
使用 Trickest 轻松构建和 自动化工作流,由世界上 最先进 的社区工具提供支持。 今天就获取访问权限:
学习和实践 AWS 黑客技术:HackTricks 培训 AWS 红队专家 (ARTE)
学习和实践 GCP 黑客技术:
HackTricks 培训 GCP 红队专家 (GRTE)
Last updated