Web API Pentesting

Μάθετε το χάκινγκ του AWS από το μηδέν μέχρι τον ήρωα με το htARTE (Ειδικός Ερυθρού Συνεργείου HackTricks AWS)!

Άλλοι τρόποι υποστήριξης των HackTricks:

• Αν θέλετε να δείτε την εταιρεία σας διαφημισμένη στα HackTricks ή να κατεβάσετε τα HackTricks σε PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!

• Αποκτήστε το επίσημο PEASS & HackTricks swag

• Ανακαλύψτε Την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα τηλεγράφου ή ακολουθήστε μας στο Twitter 🐦 @carlospolopm.

• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα HackTricks και HackTricks Cloud αποθετήρια του github.

Χρησιμοποιήστε το Trickest για να δημιουργήσετε εύκολα και να αυτοματοποιήσετε ροές εργασίας με τα πιο προηγμένα εργαλεία της κοινότητας. Αποκτήστε πρόσβαση σήμερα:

Automate OffSec, EASM, and Custom Security Processes | Trickest

Σύνοψη Μεθοδολογίας Πεντεστινγκ API

Ο έλεγχος πεντεστινγκ των API περιλαμβάνει μια δομημένη προσέγγιση για την ανακάλυψη ευπαθειών. Αυτός ο οδηγός περιλαμβάνει μια περιεκτική μεθοδολογία, εστιάζοντας σε πρακτικές τεχνικές και εργαλεία.

Κατανόηση Τύπων API

• Υπηρεσίες Ιστού SOAP/XML: Χρησιμοποιήστε τη μορφή WSDL για την τεκμηρίωση, συνήθως βρίσκεται στα μονοπάτια ?wsdl. Εργαλεία όπως το SOAPUI και το WSDLer (Επέκταση Burp Suite) είναι χρήσιμα για την ανάλυση και τη δημιουργία αιτημάτων. Η τεκμηρίωση παραδείγματος είναι προσβάσιμη στο DNE Online.

• REST APIs (JSON): Η τεκμηρίωση συχνά παρέχεται σε αρχεία WADL, αλλά εργαλεία όπως το Swagger UI παρέχουν μια πιο φιλική προς τον χρήστη διεπαφή για αλληλεπίδραση. Το Postman είναι ένα πολύτιμο εργαλείο για τη δημιουργία και διαχείριση παραδειγματικών αιτημάτων.

• GraphQL: Γλώσσα ερωτήσεων για τα API που προσφέρει μια πλήρη και κατανοητή περιγραφή των δεδομένων στο API σας.

Εργαστήρια Πρακτικής

• VAmPI: Ένα εσκεμμένα ευάλωτο API για πρακτική, καλύπτοντας τις κορυφαίες 10 ευπαθείες του OWASP στα API.

Αποτελεσματικά Κόλπα για τον Ελεγχο Πεντεστινγκ των API

• Ευπαθείες SOAP/XML: Εξερευνήστε ευπαθείες XXE, αν και οι δηλώσεις DTD είναι συχνά περιορισμένες. Οι ετικέτες CDATA μπορεί να επιτρέψουν την εισαγωγή φορτίου αν το XML παραμένει έγκυρο.

• Ανόδου Προνομίων: Δοκιμάστε τα σημεία άκρων με διαφορετικά επίπεδα προνομίων για την εντοπισμό πιθανοτήτων μη εξουσιοδοτημένης πρόσβασης.

• Εσφαλμένες Ρυθμίσεις CORS: Ερευνήστε τις ρυθμίσεις CORS για πιθανή εκμετάλλευση μέσω επιθέσεων CSRF από πιστοποιημένες συνεδρίες.

• Ανακάλυψη Σημείων Άκρων: Χρησιμοποιήστε πρότυπα API για την ανακάλυψη κρυμμένων σημείων άκρων. Εργαλεία όπως οι fuzzers μπορούν να αυτοματοποιήσουν αυτήν τη διαδικασία.

• Παραβίαση Παραμέτρων: Εξετάστε την προσθήκη ή την αντικατάσταση παραμέτρων σε αιτήματα για πρόσβαση σε μη εξουσιοδοτημένα δεδομένα ή λειτουργίες.

• Δοκιμή Μεθόδων HTTP: Ποικίλετε τις μεθόδους αιτήσεων (GET, POST, PUT, DELETE, PATCH) για την ανακάλυψη απροσδόκητων συμπεριφορών ή αποκαλύψεων πληροφοριών.

• Αλλαγή Τύπου Περιεχομένου: Μεταβείτε μεταξύ διαφορετικών τύπων περιεχομένου (x-www-form-urlencoded, application/xml, application/json) για να δοκιμάσετε προβλήματα ανάλυσης ή ευπαθείες.

• Προηγμένες Τεχνικές Παραμέτρων: Δοκιμάστε με απροσδόκητους τύπους δεδομένων σε φορτία JSON ή παίξτε με δεδομένα XML για ενσωματώσεις XXE. Δοκιμάστε επίσης τη ρύπανση παραμέτρων και χαρακτήρες μπαλαντέρ για ευρύτερη δοκιμή.

• Δοκιμή Εκδόσεων: Οι παλαιότερες εκδόσεις API ενδέχεται να είναι πιο ευάλωτες σε επιθέσεις. Ελέγξτε πάντα και δοκιμάστε εναντίον πολλαπλών εκδόσεων API.

Εργαλεία και Πόροι για τον Ελεγχο Πεντεστινγκ των API

• kiterunner: Εξαιρετικό για την ανακάλυψη σημείων άκρων API. Χρησιμοποιήστε το για σάρωση και επίθεση βίας σε μονοπάτια και παραμέτρους εναντίον στόχων API.

kr scan https://domain.com/api/ -w routes-large.kite -x 20
kr scan https://domain.com/api/ -A=apiroutes-220828 -x 20
kr brute https://domain.com/api/ -A=raft-large-words -x 20 -d=0
kr brute https://domain.com/api/ -w /tmp/lang-english.txt -x 20 -d=0

• Επιπλέον εργαλεία όπως το automatic-api-attack-tool, Astra, και restler-fuzzer προσφέρουν εξατομικευμένες λειτουργίες για τον έλεγχο ασφάλειας των API, καλύπτοντας από προσομοίωση επιθέσεων έως fuzzing και ανίχνευση ευπαθειών.

• Cherrybomb: Είναι ένα εργαλείο ασφάλειας API που ελέγχει το API σας βασιζόμενο σε ένα αρχείο OAS (το εργαλείο είναι γραμμένο σε rust).

Πηγές Μάθησης και Πρακτικής

• OWASP API Security Top 10: Απαραίτητη ανάγνωση για την κατανόηση των κοινών ευπαθειών των API (OWASP Top 10).

• API Security Checklist: Ένας περιεκτικός κατάλογος ελέγχου για την ασφάλεια των API (σύνδεσμος GitHub).

• Φίλτρα Logger++: Για τον εντοπισμό ευπαθειών των API, το Logger++ προσφέρει χρήσιμα φίλτρα (σύνδεσμος GitHub).

• Λίστα Τερματικών Σημείων API: Μια επιμελώς επιλεγμένη λίστα πιθανών τερματικών σημείων API για δοκιμαστικούς σκοπούς (gist GitHub).

Αναφορές

• https://github.com/Cyber-Guy1/API-SecurityEmpire

Χρησιμοποιήστε το Trickest για να δημιουργήσετε εύκολα και να αυτοματοποιήσετε ροές εργασίας με τα πιο προηγμένα εργαλεία της κοινότητας. Αποκτήστε Πρόσβαση Σήμερα:

Automate OffSec, EASM, and Custom Security Processes | Trickest

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

Άλλοι τρόποι υποστήριξης του HackTricks:

• Αν θέλετε να δείτε την εταιρεία σας διαφημισμένη στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!

• Αποκτήστε το επίσημο PEASS & HackTricks swag

• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @carlospolopm.

• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα αποθετήρια του HackTricks και του HackTricks Cloud.