Web API 渗透测试指南

已于 2024-08-05 10:00:06 修改
阅读量730 收藏 11
点赞数 18
分类专栏： WEB渗透从入门到精通 文章标签： Web API渗透测试 Web API
于 2024-08-05 09:59:38 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_32261191/article/details/140919097
版权

概述

API（Application Programming Interface，应用程序编程接口）是一个允许不同软件应用程序之间进行通信和数据交换的接口。API定义了一组规则和协议，软件开发者可以使用这些规则和协议来访问操作系统、库、服务或其他应用程序的功能。

API的基本概念

接口（Interface）:

  • API提供了一组公开的方法和端点，供外部系统调用。
  • 这些方法和端点通常通过URL、函数名或服务名称来表示。

请求和响应（Request and Response）:

  • 客户端向API发送请求，请求中包含所需的操作和相关数据。
  • 服务器处理请求并返回响应，响应中包含操作结果和数据。

协议（Protocol）:

  • API使用特定的协议来通信，常见的协议包括HTTP、HTTPS、FTP等。
  • 例如，基于HTTP协议的API通过HTTP请求和响应进行通信。

数据格式（Data Format）:

  • API请求和响应的数据通常以标准格式表示，常见的格式包括JSON、XML、CSV等。
  • JSON是最常用的数据格式，因为它轻量级且易于解析。

API的作用

数据访问:

  • 提供一种访问应用程序或服务中数据的方式。
  • 例如，数据库API允许应用程序访问和操作数据库中的数据。

功能调用:

  • 允许应用程序调用另一程序的功能或服务。
  • 例如，支付API允许应用程序集成支付功能。

系统集成:

  • 实现不同系统或服务之间的集成和互操作。
  • 例如，社交媒体API允许应用程序发布内容到社交媒体平台。

API的类型

Web API:

  • 通过HTTP协议进行通信的API，常用于Web服务和应用程序。
  • 例如，RESTful API、GraphQL API。

库和框架API:

  • 提供特定编程语言或框架功能的API，供开发者在应用程序中使用。
  • 例如，Java API、Python标准库。

操作系统API:

  • 提供操作系统功能访问的API。
  • 例如，Windows API、POSIX API。

远程API:

  • 允许在网络上远程访问服务的API。
  • 例如，SOAP API、XML-RPC API。

常用的Web API有：

API类型描述优点适用场景
RESTful APIREST是一种软件架构风格，用于设计网络应用程序。RESTful是基于HTTP协议的遵循REST的API风格。使用标准HTTP方法操作资源，数据格式常为JSON或XML。扩展性好、可维护性强大多数Web服务和应用程序
GraphQL APIGraphQL是一种用于API的查询语言，由Facebook在2015年开源。GraphQL API是使用GraphQL查询语言和运行时构建的API。允许客户端指定所需数据的精确结构，通过单个端点（URL）处理复杂查询。高灵活性、高效率复杂查询、减少数据过多或不足的问题
gRPC APIgRPC是由Google开发的一个高性能、开源的远程过程调用（RPC）框架，使用HTTP/2进行通信，并通过Protocol Buffers（protobuf）进行数据序列化。gRPC API是使用gRPC框架构建的API。低延迟、高吞吐量需要高性能和高效通信的系统
JSON-RPC API使用JSON格式进行编码的RPC协议，通过HTTP或WebSocket通信，支持双向通信。轻量级、实时应用简单、轻量级API，实时应用
SOAP APISOAP（Simple Object Access Protocol，简单对象访问协议）是一种基于XML的协议，用于在网络上交换结构化信息。SOAP API是基于SOAP协议实现的API。高级安全性、事务支持企业级应用、需要高级功能的系统
OData APIOData（Open Data Protocol）是用于查询和更新数据的协议，基于REST架构，提供标准化的数据访问接口。OData API是使用此协议实现的API。简化CRUD操作企业数据集成和共享
HATEOAS APIHATEOAS（Hypermedia as the Engine of Application State）是一种RESTful API设计原则，HATEOAS的核心思想是通过超媒体（例如链接）将客户端引导到可以进行的下一步操作，而不是依赖于硬编码的URL或其他客户端。增强自描述性和导航性复杂系统的自发现和自适应
WebSub APIWebSub（以前称为 PubSubHubbub）是一种用于Web上实现实时通知和推送更新的协议。它基于发布/订阅（Pub/Sub）模式，使得发布者可以将更新推送到订阅者，而不需要订阅者不断轮询发布者获取更新。低延迟通知RSS/Atom feed的实时更新
Falcor APIFalcor 是一个用于构建高效数据获取和管理的 JavaScript 库，由 Netflix 开发。它提供了一种简化的数据访问模型，使客户端能够通过统一的 API 请求所需的数据，并处理复杂的数据获取逻辑。高效数据传输、灵活查询需要高效数据传输和灵活查询的应用
XML-RPC APIXML-RPC 是一种简单的远程过程调用（RPC）协议，它使用 XML 作为数据编码格式，通过 HTTP 协议进行通信。简单、易于实现需要与老旧系统或不同平台互操作的应用
WSDL APIWSDL（Web Services Description Language）是一种用于描述 Web 服务的标准格式。它基于 XML，定义了 Web 服务的接口，包括可用的方法、参数、返回值及其数据类型。标准化描述和发现Web服务企业级应用、需要标准化描述的系统

Web API 渗透测试

测试工具

  • 拦截数据包：Burp Suite等
  • 构造API请求：Postman、Apifox、Apipost等
  • 扫描工具：Owasp Zap、Awvs、Xray等

信息收集

信息收集是 Web API 渗透测试的重要步骤，无论是黑盒测试还是白盒测试，都需要系统地收集相关信息。在白盒测试中，测试人员可以直接获取API文档和代码等详细信息。在黑盒测试中，测试人员无法直接获取API文档，代码等资源，只能从外部自行收集。以下是API信息收集的方法：

1. 目录扫描

  • 大多数Web API位于网站/api/、/v1/api/、/v2/api/等目录中，通过目录扫描可以发现
  • 使用Burp Suite主动扫描和被动扫描也不错
  • 使用Xray被动扫描也不错

2. 网络流量分析

  • 有些系统的API和Web应用的端口是独立的，但是只要有交互通过分析流量就可以获取API接口，如Burp Proxy组件记录、浏览器开发者工具网络组件
  • 有些API会写在经过混淆后的Javascript文件中，无法直接获取，可以使用此方法

3. 使用互联网资源

  • 通过Github查询开源系统是否存在API及API目录和文档等
  • 通过Google、Shodan、Censys、Fofa等搜索引擎搜索

收集到API接口信息后，可以分析API的目录结构、接口命名规则、参数命名规则、功能和业务逻辑等，根据这些信息可以进行接口枚举和参数枚举。

漏洞检测

其实针对Web API的渗透测试和Web应用的渗透测试差不多，不过通常API的功能可能没有Web应用那么多，涉及的测试项较少：

测试项测试方法
接口枚举根据接口命名规则进行枚举，获取一些隐藏接口，如当前用户无权限或暂时未使用到的接口
参数枚举根据参数命名规则可以枚举接口的隐藏参数或隐藏接口的参数
敏感信息泄露响应中是否返回明文或Base64等可恢复明文的编码技术编码后的密码、密钥等
SQL注入对参数进行SQL注入测试，手工测试或使用sqlmap等工具，通常盲注多一些
XSS构造XSS Payload对参数进行测试，检查响应是否包含未过滤或未转义的XSS数据
命令注入对参数进行命令注入测试，检查是否可以注入成功，通常无回显
SSRF构造SSRF Payload对参数进行测试，检查是否存在SSRF漏洞
任意文件读取/下载对文件内容读取或下载的接口进行测试，检查是否存在漏洞
任意文件上传对文件上传功能进行测试，检查是否可以上传任意文件或绕过限制上传其它文件
路径穿越对文件读取、下载、上传等功能的接口进行路径穿越测试，检查是否未可以造成路径穿越
XXE对传递的数据为XML数据的API接口参数中注入XXE Payload，检查是否存在XXE漏洞
反序列化对于Json类型API接口，构造畸形Json数据，检查响应是否包含fastjson等组件名称和版本信息，进一步检测是否存在反序列化漏洞
CRLF注入查看参数是否被添加到HTTP响应中，构造包含CRLF的数据尝试注入HTTP响应头
错误信息泄露通过在参数中插入特殊字符、访问不存在的API接口或构造畸形数据使服务端返回错误响应，查看报错信息中是否包含服务器代码信息、数据库连接信息、SQL语句、框架和组件信息或者敏感文件的路径等信息。
拒绝服务构造超长字符串对Header或参数进行测试，检测服务器是否拒绝服务
用户名枚举使用用户名密码登录失败是否提示“用户不存在”等信息
暴力破解检查是否有锁定机制，或防重放机制，防止暴力破解
令牌伪造检查令牌随机性，是否容易伪造，是否使用JWT弱密码等
令牌有效期过长检查令牌是否长时间（超过2小时）有效
令牌重用会话注销后，检查令牌是否仍然可以重复使用
MFA绕过删除或修改多因素认证步骤中的部分数据包，检查是否可以绕过多因素认证
任意密码修改/重置检查密码修改/重置机制的安全性，是否可以绕过认证修改/重置任意用户密码
未授权访问删除令牌后，检查是否仍然可以访问需要授权的资源
不安全的直接对象引用 (IDOR)通过直接引用对象 ID 来访问未授权的数据
业务流程跨越绕过正常的业务流程，查看是否存在漏洞
越权修改请求参数的用户ID或角色ID，检查是否可以越权访问其他用户信息或高权限资源

实战案例

用户名枚举

用户名不存在时响应:


用户名存在时响应：

暴力破解

错误信息泄露

错误信息中包含物理路径、后端语言、CMS等信息：

CRLF注入

参数添加到了响应头：


利用CRLF注入进行XSS攻击：

博客原文：https://blog.hackall.cn/pentest/1222.html

江左盟宗主
关注
  • 18
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
API接口渗透测试技巧汇总（API安全）
墨痕诉清风的博客
03-01 2191
远程过程调用（英语：Remote Procedure Call，缩写为 RPC）是一个计算机通信协议。该协议允许运行于一台计算机的程序调用另一台计算机的子程序，而程序员无需额外地为这个交互作用编程。如果涉及的软件采用面向对象编程，那么远程过程调用亦可称作远程调用或远程方法调用，例：Java RMI。RPC 一般直接使用 TCP 协议进行通信，通常不涉及到 HTTP。HTTP 下面有2种技术：Web service 和 RESTful API 都可算作远程过程调用的子集。
API 渗透测试之漏洞发现
CSDN_224022的博客
06-20 540
在 API 渗透测试中，因为 API 的特殊性，如果前期信息收集不全（比如 API 列表不全遗漏了影子 API），自动化扫描过程中会无法检测到相应 API 的漏洞，这时通常需要手工挖掘。漏洞发现是利用收集到的信息，发现应用程序的缺陷或漏洞的过程。在常规的渗透测试中，这种漏洞发现的范围非常广，包含了信息系统的方方面面，比如网络层协议配置错误、主机补丁没有及时升级、应用层权限配置错误等。在实际工作中，往往两种方式混合使用，比如先使用自动化检测工具全量扫描一次，再针对高风险业务场景，进行人工渗透或复核。
【精选推荐】3款强大的API渗透测试工具
小司机的奥拓
01-27 1917
给大家介绍三款优秀的API渗透测试工具，这三款工具都是基于开源项目，拥有强大的功能和丰富的特性，让我们一起来看看吧！
现代API渗透技术，我服了
weixin_64314555的博客
12-03 2625
在由机械工业出版社发行的《API安全技术与实战》一书中如果时间充分的话关于API渗透测试的内容个人觉得还可以更丰满一些。近期，在国外网站看到一篇不错的文章，转译过来供大家学习参考。 在过去的一些年里API 不像现在那么普遍，这是由于单页应用程序 (SPA) 流行的结果。10 年前，Web 应用程序倾向于遵循单一模式，即大多数应用程序在呈现给用户之前在服务器端生成。任何需要的数据都将由系统生成 UI 的同一台服务器直接从数据库中收集。它的形式看起来像这样： 图：10年前的Web应用模型 现代 W
API 安全测试（偏渗透测试）
hide_in_darkness的博客
06-05 1857
​ API，全称为Application Programming Interface（应用程序编程接口），是一套预先定义的函数、协议和工具的集合，用于构建软件应用。API定义了软件组件之间如何相互通信，它允许不同的软件系统之间进行交互，而无需开发者了解这些系统的具体实现细节。随着数字化转型的深入，API产品的价值日益增高，特别是与微服务、DevOps等技术的融合，使得API成为企业战略发展加速的利器。​ 我们以家庭宽带异常作为例子更加形象的向大家介绍一下 API。
API 接口渗透测试
YLF123456789000的博客
03-21 1293
参数可以是用户名、用户 ID，连续的数字，变形的连续数字（各种编码或哈希），通过直接修改参数值完成越权的操作。主要使用 Soap UI Open Source，有安全测试Case，需要配置 SOAP 代理到 Burp，数据流，现在的版本是5.4.0。Web Service 是一种服务导向架构的技术，通过标准的Web协议提供服务，目的是保证不同平台的应用服务可以互操作。此类模式和架构的应用越来越多导致 API 接口的应用也越来越流行。XXE，Restful API 的注入漏洞，XSS，溢出，特殊字符的处理。
2024年API接口渗透测试_api接口,泄漏服务器版本信息吗(2)，2024年最新一位软件测试大牛的BAT面试心得与经验总结
2401_84141337的博客
05-08 946
爬虫。
Web安全攻防渗透测试实战指南笔记 三
Ren59421的博客
04-05 8006
第二章 2.1 在Linux系统中安装LANMP LANMP是Linux下Apache、Nginx、MySQL和PHP的应用环境，本节演示的是WDLinux的一款集成的安装包。 首先，下载需要的安装包，命令如下所示。 wegt http://dl.wdlinux.cn/files/lanmp_v3.tar.gz 下载完成后进行解压，解压文件的命令为tar zxvf lanmp_v3.tar.gz，运行环境如下图所示。 输入sh lanmp.sh命令运行LANMP，这时程...
基于Java的实例源码-zaproxy(Web渗透测试 Zed Attack Proxy).zip
06-28
标题"基于Java的实例源码-zaproxy(Web渗透测试 Zed Attack Proxy).zip"指的是一个使用Java编程语言开发的开源项目Zap（Zed Attack Proxy）的源代码。Zap是一个广泛使用的Web应用安全扫描工具，主要用于进行Web渗透...
安全之路：Web渗透技术及实战案例解析(第2版) 高清带标签
06-28
Web渗透测试是对Web应用程序进行模拟攻击，以检测其是否存在安全漏洞的过程。这些漏洞可能包括SQL注入、跨站脚本（XSS）、文件包含漏洞、命令注入、未授权访问等。了解这些漏洞的原理和利用方法是进行有效渗透测试的...
动态应用安全测试 (DAST) 与渗透测试：应用程序安全测试综合指南
网络研究观
06-30 2150
本综合指南将探讨 DAST 与渗透测试，包括 DAST 扫描与渗透测试以及 SAST、DAST 和渗透测试之间的关系。
网络资产管理和漏洞评估：渗透测试工具全面指南
最新发布
TechEnthusiast的博客
08-16 42
网络资产管理和漏洞评估是网络安全的基础。本文介绍的工具涵盖了从资产发现到漏洞评估的各个方面，为安全专业人员提供了全面的工具集。有效的使用需要深入的知识、经验和持续的学习。在当今复杂的网络环境中，有效的网络资产管理和漏洞评估对于维护组织的网络安全至关重要。本文将全面介绍用于网络资产管理和漏洞评估的各种渗透测试工具，帮助安全专业人员更好地保护其网络基础设施。Nmap（Network Mapper）是最流行的开源网络扫描和发现工具之一。一个跨平台的网络扫描器，适用于快速、基本的网络资产发现。
Web API
weixin_33728268的博客
01-08 259
一、Wep API  定义 官方定义如下，强调两个关键点，即可以对接各种客户端（浏览器，移动设备），构建http服务的框架。新生成的WebAPI项目和典型的MVC项目一样，包含主要的Models、Views、Controllers等文件夹和Global.asax文件。 ASP.NET Web API ASP.NET Web API is a framework that makes it e...
渗透测试-API接口测试
热门推荐
道阻且长，行则将至。
05-14 1万+
接口测试 本文记录的是Postman（API 接口测试工具）学习，以及一些接口测试概念。帮助大家建立接口测试的整体概念，以及学会Postman工具的使用。 接口测试的作用： 接口测试的内容： 接口测试工具Postman的特点： 使用简单，上手快，很适合调试； 但保存请求，批量运行时，执行速度慢，建议使用Jmeter工具。 Postman Postman直接官网下载：https://www.postman.com/downloads/，双击自动安装，打开注册后即可运行。 Postman的界面如下： Ge
API 渗透测试学习资源
lurenjia404的博客
04-22 866
API，即应用程序编程接口，是一组规则和协议，允许不同的软件应用程序相互通信。它定义应用程序可用于请求和交换信息的方法和数据格式。Web API：这些是可使用 HTTP 等标准 Web 协议通过 Internet 访问的 API。库 API：库 API 提供了一组函数和类，开发人员可以使用这些函数和类在其应用程序中执行特定任务。操作系统 API：这些 API 提供一组用于与操作系统交互的函数和过程。一篇详细介绍API渗透测试的文章，在黑盒、灰盒和白盒等三个方面分别讲述了测试原则、目标以及具体使用案例。
API 渗透测试从入门到精通系列文章（下）
2301_77157449的博客
05-04 1063
虽然本系列文章的内容不够全面，但是希望这篇文章能够提供足够充分的介绍，让我们开始使用这些插件，这些插件在大多数 API 测试中都很有用，至少在现代 API 中是如此。自动化对于测试 API 和 SOAP 服务也是非常好用的，而 JSON Web Token Attacker 则非常特定于某种已经变得相当流行的并且是常见的身份验证方式，特别是它在 OAuth2 实现中的使用。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值