Web API Pentesting
Trickest का उपयोग करें और आसानी से वर्ल्ड के सबसे उन्नत समुदाय उपकरणों द्वारा संचालित कार्यप्रणालियों को निर्मित करें और स्वचालित करें। आज ही पहुंचें:
एपीआई पेंटेस्टिंग मेथडोलॉजी सारांश
एपीआई पेंटेस्टिंग में एक संरचित दृष्टिकोण का उपयोग गड़बड़ियों का पता लगाने के लिए होता है। यह गाइड एक व्यापक मेथडोलॉजी को संवेदनशील तकनीकों और उपकरणों पर जोर देता है।
एपीआई प्रकार को समझना
SOAP/XML वेब सेवाएं: दस्तावेज़ीकरण के लिए WSDL प्रारूप का उपयोग करें, जो सामान्यत:
?wsdlपथों पर पाया जाता है। SOAPUI और WSDLer (Burp Suite Extension) जैसे उपकरण अनुरोधों को पार्स करने और उत्पन्न करने के लिए महत्वपूर्ण हैं। उदाहरण दस्तावेज़ीकरण DNE Online पर उपलब्ध है।REST एपीआई (JSON): दस्तावेज़ीकरण अक्सर WADL फ़ाइलों में आता है, लेकिन Swagger UI जैसे उपकरण एक अधिक उपयोगकर्ता-मित्र संवाद का प्रदान करते हैं। Postman एक मूल्यवान उपकरण है उदाहरण अनुरोधों को बनाने और प्रबंधित करने के लिए।
GraphQL: एपीआई के लिए डेटा का पूरा और समझने योग्य विवरण प्रदान करने वाली एक क्वेरी भाषा।
अभ्यास प्रयोगशालाएं
VAmPI: OWASP टॉप 10 एपीआई गड़बड़ियों को कवर करने के लिए हाथों पर अभ्यास के लिए एक जानबूझकर वंश्य API।
एपीआई पेंटेस्टिंग के लिए प्रभावी ट्रिक्स
SOAP/XML गड़बड़ियाँ: XXE गड़बड़ियों की खोज करें, हालांकि DTD घोषणाएँ अक्सर प्रतिबंधित होती हैं। यदि XML मान्य रहता है तो CDATA टैग पेलोड डालने की अनुमति दे सकते हैं।
विशेषाधिकार उन्नयन: अनधिकृत पहुंच संभावनाओं की पहचान के लिए विभिन्न विशेषाधिकार स्तरों के साथ अंत्योदयों का परीक्षण करें।
CORS गलतियाँ: प्रमाणीकृत सत्रों से CSRF हमलों के माध्यम से उत्पादनीयता के लिए CORS सेटिंग्स की जांच करें।
अंत्योदय खोज: छिपे हुए अंत्योदयों की खोज के लिए एपीआई पैटर्न का उपयोग करें। फजर्स जैसे उपकरण इस प्रक्रिया को स्वचालित कर सकते हैं।
पैरामीटर टैम्परिंग: अनधिकृत डेटा या कार्यक्षमताओं तक पहुंच के लिए अनुरोधों में पैरामीटर जोड़ने या पुनर्स्थापन के साथ प्रयोग करें।
HTTP विधि परीक्षण: अप्रत्याशित व्यवहार या सूचना फासलों का पता लगाने के लिए विभिन्न अनुरोध विधियों (GET, POST, PUT, DELETE, PATCH) को विभिन्न करें।
सामग्री प्रकार में परिवर्तन: पार्सिंग समस्याओं या गड़बड़ियों के लिए विभिन्न सामग्री प्रकारों (x-www-form-urlencoded, application/xml, application/json) के बीच स्विच करें।
उन्नत पैरामीटर तकनीकें: JSON पेलोड में अप्रत्याशित डेटा प्रकारों के साथ परीक्षण करें या XXE इंजेक्शन के लिए XML डेटा के साथ खेलें। इसके अलावा, व्यापक परीक्षण के लिए पैरामीटर प्रदूषण और वाइल्डकार्ड वर्णों का प्रयास करें।
संस्करण परीक्षण: पुराने एपीआई संस्करण हमलों के लिए अधिक संवेदनशील हो सकते हैं। हमेशा एपीआई संस्करणों की जांच करें और उनके खिलाफ परीक्षण करें।
एपीआई पेंटेस्टिंग के लिए उपकरण और संसाधन
kiterunner: एपीआई अंत्योदयों की खोज के लिए उत्कृष्ट है। इसका उपयोग करें लक्ष्य API के खिलाफ पथों और पैरामीटरों की ब्रूट फोर्सिंग के लिए।
अतिरिक्त उपकरण जैसे automatic-api-attack-tool, Astra, और restler-fuzzer API सुरक्षा परीक्षण के लिए विशेष गुणधर्म प्रदान करते हैं, हमला अनुकरण से लेकर fuzzing और कमजोरी स्कैनिंग तक।
Cherrybomb: यह एक API सुरक्षा उपकरण है जो आपकी API की मान्यता का मुआयना करता है जो OAS फ़ाइल पर आधारित है (यह उपकरण rust में लिखा गया है)।
सीखने और अभ्यास संसाधन
OWASP API Security Top 10: सामान्य API कमजोरियों को समझने के लिए आवश्यक पठनीय (OWASP Top 10)।
API Security Checklist: API को सुरक्षित बनाने के लिए एक व्यापक चेकलिस्ट (GitHub link)।
Logger++ Filters: API की कमजोरियों को खोजने के लिए, Logger++ उपयोगी फ़िल्टर प्रदान करता है (GitHub link)।
API Endpoints List: परीक्षण के उद्देश्यों के लिए संभावित API एंडपॉइंट्स की एक चयनित सूची (GitHub gist)।
संदर्भ
Trickest का उपयोग करें और विश्व के सबसे उन्नत समुदाय उपकरणों द्वारा संचालित कार्यप्रवाहों को आसानी से निर्माण और स्वचालित करें। आज ही पहुंच प्राप्त करें:
Last updated
