API接口漏洞案例—接口文档泄露

最新推荐文章于 2024-07-04 14:46:58 发布
最新推荐文章于 2024-07-04 14:46:58 发布
阅读量1.3k 收藏 1
点赞数
文章标签： 网络安全 系统安全 安全 数据分析 安全威胁分析
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77360081/article/details/134188549
版权

640?wx_fmt=gif&wxfrom=13

概述

本案例是一次在某建材公司的项目实战测试中发现的一个swagger-ui接口文档泄露的漏洞，该漏洞归属于API OWASP TOP 10漏洞类别中的资产管理不当，最后能够通过该接口文档实现漏洞利用的危害最大化，在这里将其作为一个漏洞案例分享出来给大家。

弱密码可以在CMD5解密网站上可以进行解密：

 

接口文档泄漏

目标系统是一个人力资源管理网站，ping其域名对应的直接是真实IP，没有使用CDN。Nmap对其IP进行端口扫描后发现其中一个端口对应的直接是swagger-ui接口文档，粗略的看了一下，发现其中有不下100个接口功能端点：

0124fc5a9461425aae6dee99344359b6.png

 

获得大量账号密码

在接口文档中发现了一个可以查询所有用户的信息的端点，泄露了每个用户的账号和密码，其中密码为MD5加密方式：

943e27067c0a4e38ab9acf80c57b2464.png 

 弱密码可以在CMD5解密网站上可以

最低0.47元/天 解锁文章
喜数API SEC安全软件
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
通过Swagger暴露接口文档
shenzhen_zsw的专栏
04-28 5792
通过Swagger暴露接口文档 什么是Swagger 　　Swagger 是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使客户端和文件系统作为服务器以同样的速度来更新。文件的方法，参数和模型紧密集成到服务器端的代码，允许API来始终保持同步。 作用： 　　1.接口的文档在线自动生成。 　　2....
rest api 接口测试工具
03-01
4. 安全性检查：测试API的安全漏洞，如未经授权的访问、敏感信息泄露等。 二、Advanced REST Client (ARC) 简介 Advanced REST Client是Google Chrome浏览器的一个扩展，它是一个强大的REST API测试工具。版本v...
实战 | API接口泄露=＞未授权访问=＞垂直越权=＞信息泄露
薛定谔嘚喵博客
12-19 1811
API接口文档泄露是指网站或应用程序的API（Application Programming Interface，应用程序编程接口）文档意外暴露给公众或未经授权的用户
swagger路径怎么设置为不曝露
最新发布
keyboard专栏
07-04 538
通过这些方法，你可以有效地限制 Swagger UI 的访问，确保只有授权用户或特定环境下才能访问。如果使用的是 Spring Boot，可以使用 Spring Security 来保护 Swagger UI 页面。在使用 Nginx 或 Apache 作为反向代理时，限制 Swagger UI 的访问。配置 Swagger UI 使用 API Key 或 Token 进行访问。为 Swagger UI 页面设置访问控制，确保只有授权用户才能访问。在生产环境中完全禁用 Swagger UI 以确保安全。
API文档暴露敏感信息：API文档中包含敏感信息，如内部IP地址或配置细节
图幻未来的博客
02-15 638
API 文档是软件开发过程中重要的参考和资源之一，但是如果不加以管理和保护也会导致敏感数据的泄露和安全问题。为此，我们需要从多个方面入手提高 API 文档的安全性:1. 避免披露敏感信息和具有辨识度的数据;2. 对 API 文档进行审查和质量控制以保证其安全性;3. 提供足够的访问控制和身份验证机制以防止未经授权的访问行为的发生。通过以上措施的实现，我们就可以有效地降低 API 文档中的敏感性信息被滥用所造成的安全风险和危害程度。
Swagger2的/v2/api-docs接口是如何对第三方项目暴露的【实现原理】
reggergdsg的博客
12-02 1万+
Swagger2的/v2/api-docs接口是如何对第三方项目暴露的呢？也就是说jar包中如何暴露接口给第三方应用？ 答案是：HandlerMapping swagger2实现了自己的HandlerMapping，在实现类PropertySourcedRequestMappingHandlerMapping中，把/v2/api-docs接口保存到了handlerMethods 集合。然后提供了访问/v2/api-docs接口的方法lookupHandlerMethod(String urlPath,
（35.2）【接口漏洞专题】接口遍历、接口调用重放、接口参数篡改、接口未授权访问
04-15 3245
【专题】接口漏洞利用
实战纪实 | 某医院系统swagger接口未授权 + Springboot信息泄露
2301_80127209的博客
01-17 2252
申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等。通过指纹识别出该站是springboot开发，扫描目录查看是否存在泄露。很多接口，不可能一个一个手动测试吧，上工具：swagger-hack。工具扫描完会生成文档，查看文档，是否有返回敏感内容。开局还是先测一下登录框，弱密码走一波，无果。帮助你在面试中脱颖而出。
代码审计文档（包括修复方案）
05-27
### 代码审计文档知识点概述 #### 1. Android查询字符串注入 **1.1.1 详情** 在Android开发中，使用SQLite轻量级数据库存储数据时，SQL注入攻击主要发生在用户输入环节。例如，当应用程序请求用户输入姓名时，如果...
安卓应用漏洞挖掘.pdf
07-21
#### 七、其他漏洞案例 - **Unzip漏洞**: 如果应用程序没有正确验证解压文件的内容，就可能导致任意文件写入。 - **域名权限绕过**: H5页面通常会限制仅允许指定域名下的资源请求，但若实现不当，可能被绕过。 - **...
OWASP API安全项目
01-27
6. **文档门户**：提供易于理解和使用的API安全文档，包括教程、参考指南和最佳实践文档。 7. **工具集**：可能包含一些用于API安全测试和监控的开源工具。 **API安全控制** 常见的API安全控制包括： - **认证与...
百度OCR文字识别案例_android防止ak&sk;泄漏版本
01-14
在这个"百度OCR文字识别案例_android防止ak&sk泄漏版本"中，我们主要关注的是如何在Android平台上使用百度的OCR服务，并且重点是如何安全地处理API密钥（ak&sk）以防止泄露。 首先，百度OCR服务提供了多种识别功能...
swagger暴露程序接口文档
weixin_30767921的博客
05-17 840
Swagger2是一个帮助用户、团队、企业快速、高效、准确地生产API服务的工具组件，同时还提供了部分测试功能，它的官方网站是https://swagger.io/。 1.引入Maven <dependency> <groupId>io.springfox</groupId> &l...
Swagger API 信息泄露漏洞解决方案
热门推荐
J_com的博客
02-24 2万+
Swagger API 信息泄露漏洞解决方案
常见的API接口漏洞总结
summer_fish的专栏
05-01 3791
熟悉这些漏洞非常重要，这样您就可以轻松识别它们，在参与渗透测试期间利用它们，并将其报告给组织，以防止犯罪分子将您的客户拖入头条新闻。现在您已经熟悉了 Web 应用程序、API 及其弱点。
信息泄露漏洞
broing55的博客
03-04 3709
信息泄露-漏洞介绍 配置存放不当，导致web系统备份，数据库备份，用户数据文件，暴露在web系统上，引发信息泄漏 目录遍历漏洞原理： index文件是web应用程序的默认入口文件被称为索引文件。访问web应用程序时如果没有指定某个文件，web应用程序就会调用索引文件。根据web开发脚本语言的不同，索引文件往往也不同，常见的有 index.html、index....
Web 攻防之业务安全：接口未授权访问/调用测试（敏感信息泄露）
网络安全领域___专研者.
04-11 3668
业务安全是指保护业务系统免受安全威胁的措施或手段。广义的业务安全应包括业务运行的软硬件平台（操作系统、数据库，中间件等）、业务系统自身（软件或设备）、业务所提供的服务安全；狭义的业务安全指业务系统自有的软件与服务的安全。
接口常见安全漏洞说明
明光札记
12-31 7481
缺少对象级访问控制（数据越权） 漏洞评级： 可利用性：★★★ 普遍性：★★★ 危害性：★★★ 漏洞描述： 攻击者可以通过操作请求中发送的对象的ID，导致未经授权访问敏感数据暴露。这个问题在基于API的应用程序中非常常见，因为服务器组件通常不完全跟踪客户机的状态，而是更多地依赖于从客户机发送的参数(如对象id)来决定访问哪些对象 具体表现： 没有检查已登录的用户是否有权对请求的对象执行请求的操作 漏...
接口功能泄露防御
qq_42565292的博客
08-03 818
出现的根因：在我们后台开发时，经常使用接口功能管理的依赖包，以便我们日常开发的维护，以及和前端同事进行对接，一目了然的看懂接口文档。但是我们发布的时候忘了关闭接口管理文档。 造成危害： 敏感数据包括但不限于：口令、密钥、证书、会话标识、License、隐私数据 （如短消息的内容）、授权凭据、个人数据（如姓名、住址、电话等）等，在程序 文件、配置文件、日志文件、备份文件及数据库中都有可能包含敏感数据。攻击者可通过上述方式获取网站敏感文件，收集网站敏感信息，从而有针对性 的进行利用。 ** 防御方法： ** 在
WebAPI接口文档漏洞
08-18
对于WebAPI接口文档，漏洞是指其中可能存在的安全问题或信息泄露的风险。常见的WebAPI接口文档漏洞包括但不限于以下几种： 1. 敏感信息泄露：接口文档中可能包含一些敏感信息，如数据库凭据、访问令牌、加密算法等。如果这些信息被未授权的人员获取，可能导致系统安全受到威胁。 2. 跨站脚本攻击（XSS）：接口文档中可能存在未经过滤的用户输入，如果攻击者能够注入恶意脚本代码，就可以在用户浏览器上执行任意代码，导致信息泄露或页面篡改等问题。 3. 跨站请求伪造（CSRF）：接口文档中可能存在未进行CSRF防护的接口，攻击者可以利用该漏洞发送伪造的请求，以受害用户的名义执行某些操作，如更改密码、删除账户等。 4. 接口授权与认证问题：接口文档可能未明确规定每个接口的访问权限和认证方式，导致未经授权的用户可以访问敏感接口，或者绕过认证机制直接获取资源。 5. 预先定义的安全策略缺失：接口文档未明确规定API的安全策略，如HTTPS强制使用、请求频率限制、访问令牌有效期等，可能导致恶意用户滥用接口资源。 为了避免这些漏洞，开发者在编写接口文档时应该遵循以下安全原则： 1. 敏感信息保护：避免在接口文档中明文泄露敏感信息，如数据库凭据、密钥等，可以使用占位符或模拟数据代替。 2. 输入验证与过滤：对于用户输入的数据，要进行合法性验证和安全过滤，防止XSS攻击和其他注入漏洞。 3. CSRF防护：对于需要保护的接口，要使用CSRF令牌或其他防护机制，确保请求的合法性。 4. 接口权限与认证：明确规定每个接口的访问权限和认证方式，确保只有经过授权的用户才能访问敏感接口。 5. 安全策略设置：在接口文档中明确规定API的安全策略，如使用HTTPS、请求频率限制、访问令牌有效期等。 通过遵循这些安全原则，可以有效减少WebAPI接口文档的漏洞风险，提升系统的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

喜数API SEC安全软件

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值