API成批分配漏洞介绍与解决方案_api 成批分配

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

权限相关属性：user.is_admin、user.is_vip 只能由管理员设置。
与流程相关的属性：user.cash 只能在付款验证后在内部设置。
内部属性：article.created_time 只能由应用程序内部设置。

攻击场景示例

场景#1

乘车共享应用程序为用户提供了编辑其个人资料的基本信息的选项。 在此过程中，API 调用将使用以下合法 JSON 对象发送到 PUT /api/v1/users/me：

{“user_name” : “inons”，“age” : 24}

请求 GET /api/v1/users/me 包含一个额外的credit_balance 属性：

{“user_name” : “inons”,  “age”:24,  “credit_balance” : 10}

攻击者使用以下有效负载重放第一个请求：

{“user_name” : “攻击者”，“age” : 60，“credit_balance” : 99999}

由于端点容易受到大规模分配的影响，攻击者无需付费即可获得积分。

场景#2

视频共享门户允许用户上传和下载不同格式的内容。 探索 API 的攻击者发现端点 GET /api/v1/videos/{video_id}/meta_data 返回带有视频属性的 JSON 对象。 其中一个属性是“mp4_conversion_params”:“-v codec h264”，这表示应用程序使用 shell 命令来转换视频。

攻击者还发现端点 POST /api/v1/videos/new 容易受到批量分配的影响，并允许客户端设置视频对象的任何属性。 攻击者设置恶意值如下：“mp4_conversion_params”：“-v codec h264 && format C:/”。 一旦攻击者将视频下载为 MP4，该值将导致 shell 命令注入。

攻击者利用批量分配漏洞

当来自客户端的手动修改不可变内部对象属性的请求不受 API 端点限制时，就会出现 API 批量分配漏洞。

攻击者可以利用此漏洞，通过构建 HTTP 请求来升级用户权限、绕过安全机制或使用任何其他方法使 API 端点以非设计的方式工作。

注意：批量分配和过多数据暴露在 OWASP API Sec 2019 中是一个单独的风险类别，现在已合并到名为“损坏对象属性级别授权”的新风险类别中。

如何预防

如果可能，请避免使用自动将客户端输入绑定到代码变量或内部对象的函数。

仅将应由客户端更新的属性列入白名单。

使用内置功能将客户端不应访问的属性列入黑名单。

如果适用，请显式定义并强制执行输入数据有效负载的架构。

增加反序列化配置。

三、成批分配漏洞解决方案

方案1：增加反序列化配置方案

1、反序列化所使用的框架的配置

jackson

如果SpringBoot使用的默认jackson做的序列化，可以考虑对jackson配置来解决传冗余参的问题。

可以直接在配置文件中增加配置

spring:
  jackson:
    serialization:
      # 某些类对象无法序列化的时候，是否报错
      fail_on_empty_beans: true
    deserialization:
       # json对象中有不存在的属性时候，是否报错
      fail_on_unknown_properties: true

或自建配置类

@Configuration
public class JacksonConverters {

     @Bean
     public HttpMessageConverters JacksonHttpMessageConverters() {
         MappingJackson2HttpMessageConverter mappingJackson2HttpMessageConverter = new MappingJackson2HttpMessageConverter();
         ObjectMapper objectMapper = new ObjectMapper();
         //省略其他配置开始
         //反序列化的时候如果多了其他属性,抛出异常
         objectMapper.configure(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES, true);
         //省略其他配置结束
      }

}

fastjson

如果SpringBoot使用的是fastjson做的序列化，在2.0.42版本中增加了解决方案，可以考虑对fastjson配置来解决传冗余参的问题。

/**
 * @author admin
 */
@Configuration
public class Fastjson2Config {

    /**
     * 使用fastJson解析
     */
    @Bean
    public HttpMessageConverters fastJsonHttpMessageConverters() {
        FastJsonHttpMessageConverter converter = new FastJsonHttpMessageConverter();
        FastJsonConfig config = new FastJsonConfig();

        /*
         * API成批分配利用问题（反序列化的时候如果多了其他属性）修复方法：
         * 第一：json反序列化组件设置，如：fastjson与jackson
         * 第二：签名验证
         *
         * fastjson 2.0.42增加了ErrorOnUnknownProperties修复API成批分配利用问题，反序列化的时候如果多了其他属性,抛出异常
         * https://github.com/alibaba/fastjson2/issues/1944
         *
         * JSONObject jsonObject = JSONObject.of("id", 123, "name", "xxx");
         * String str = jsonObject.toJSONString();
         * assertEquals(jsonObject.getIntValue("id"), JSON.parseObject(str, Bean.class).id);
         * assertThrows(JSONException.class, () -> JSON.parseObject(str, Bean.class, JSONReader.Feature.ErrorOnUnknownProperties));
         * assertEquals(jsonObject.getIntValue("id"), jsonObject.toJavaObject(Bean.class).id);
         * assertThrows(JSONException.class, () -> jsonObject.toJavaObject(Bean.class, JSONReader.Feature.ErrorOnUnknownProperties));
         *
         * jackson中可以加入
         * spring:
         *   jackson:
         *     deserialization:
         *       fail-on-unknown-properties: true
         * 或
         * //反序列化的时候如果多了其他属性,抛出异常
         * objectMapper.configure(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES, true);
         *
         * 统一异常捕获或者返回处增加非200状态码
         *
         */
        config.setDateFormat("yyyy-MM-dd HH:mm:ss");
        config.setReaderFeatures(JSONReader.Feature.ErrorOnUnknownProperties);
        config.setWriterFeatures(JSONWriter.Feature.WriteMapNullValue, JSONWriter.Feature.PrettyFormat);

        converter.setDefaultCharset(StandardCharsets.UTF_8);
        List<MediaType> supportedMediaTypes = new ArrayList<>();
        supportedMediaTypes.add(MediaType.APPLICATION_JSON);

        converter.setFastJsonConfig(config);
        converter.setSupportedMediaTypes(supportedMediaTypes);
        return new HttpMessageConverters(converter);
    }

}

2、统一异常捕获或者返回处增加非200状态码

 /**
  * 捕获反序列化异常HttpMessageNotReadableException，增加500状态码返回
  * @param request   请求
  * @param exception 异常对象
  * @return 响应
  */
@ExceptionHandler(value = HttpMessageNotReadableException.class)
public ResponseEntity<Map<String, Object>> methodHttpMessageNotReadableExceptionHandler(HttpServletRequest request, HttpMessageNotReadableException exception) {
    //按需重新封装需要返回的错误信息
    WebRequest webRequest = new ServletWebRequest(request);
    Map<String, Object> body = errorAttributes.getErrorAttributes(webRequest, ErrorAttributeOptions.defaults());
    body.put(DATA, "convert exception message to JSON");
    body.put(STATUS, HttpStatus.INTERNAL_SERVER_ERROR.value());
    body.put(MESSAGE, HttpStatus.INTERNAL_SERVER_ERROR.getReasonPhrase());
    body.put(SUCCESS,false);
    return new ResponseEntity<>(body, HttpStatus.INTERNAL_SERVER_ERROR);
}

或者在其他异常拦截方法上增加状态码注解

 @ResponseStatus()

方案二：接口使用参数签名机制

如HMac, HMac Springboot, 微信支付参数签名

#前端请求

请求 URL: http://localhost/cars/query

请求方法: POST

HTTP状态码：200

playload:{“color”:“red”,“company”:“ltl”,“seats”:“2-2”} #正常请求

Header：sign：ErOVBda4VMFdX9aixigRslAjY0rhT7lLxy

#后端controller

@PostMapping(value = "/query")
public BaseResponse query(@RequestBody Car car) {
     String signFront = request.header("sign");
     String signBackend = SignUtils.handler(car);

     if(!signBackend.equals(signFront)) {
         throws new ServiceErrorException("签名异常");       
     }

}

Jackson类库解决方案

Solution - Jackson @JsonView
We can create JSON view like below:

public class View {
    
    public static class Editable {}

    public static class Viewable extends Editable {}

    public static class Internal extends Viewable {}

}

Then annotate our mode class:

@JsonIgnoreProperties(ignoreUnknown = true)
public class Model implements Serializable {

 @JsonView(View.Editable.class)
 protected String editableField;

 @JsonView(View.Viewable.class)
 protected String viewableField; 

 @JsonView(View.Internal.class)
 protected String internalField;

}

At last, we annotate out jax-rs resource with @JsonView annotation.

@GET
@Produces(MediaType.APPLICATION_JSON )
@JsonView(View.Viewable.class)
public Iterable<Model> search() {}

@GET
@Path("{id}")
@Produces(MediaType.APPLICATION_JSON )
@JsonView(View.Viewable.class)
public Model getModel(@PathParam("id") final String id) {}

@POST
@Consumes({MediaType.APPLICATION_JSON})
public Response add(@JsonView(View.Editable.class) final Model model) {}

Spring MVC provides data binder that we can specify what fields are not allowed.

禁用字段：

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

需要体系化学习资料的朋友，可以加我V获取：vip204888 （备注网络安全）

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！