API接口测试/Swgger-ui未授权访问

最新推荐文章于 2024-09-05 08:48:51 发布
最新推荐文章于 2024-09-05 08:48:51 发布
阅读量2.2k 收藏 19
点赞数 35
分类专栏： 安全 信息泄露 未授权访问 文章标签： ui 安全 web安全 api 接口测试 swgger 未授权访问
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_68163788/article/details/140080832
版权

目录

API接口

接口文档

接口测试的方法

单流程

多流程

Swgger-ui未授权访问

在之间的一次面试中面试官问到了API接口测试，我回答的不好，因为自己确实不太会，后面才下去学习了，这里复习和练习一下

API接口

API（Application Programming Interface）是应用程序开发接口的缩写，意思是一些预设好的函数或方法，这些预设好的函数或方法允许第三方程序通过网络来调用数据或提供基于数据的服务。

Web API是网络应用程序接口。包含了广泛的功能，网络应用通过API接口，可以实现存储服务、消息服务、计算服务等能力，利用这些能力可以进行开发出强大功能的web应用。

API接口的类型

RESTful API：REST，Representational State Transfer的缩写，是一种使Web基础架构具有分布式特征的架构风格。RESTful API是基于REST架构风格的API，通常使用HTTP/js/ajax进行数据传输。它是使用最广泛的API类型之一。
SOAP API：全称是Simple Object Access Protocol，是UDDI、XML和SOAP的组合，它要求在高度可靠和安全的系统之间进行通信。SOAP API 使用 XML 格式请求和响应数据，并支持多种协议，包括 HTTP、HTTPS 等。对于企业级应用程序来说，SOAP API更适合处理大规模数据交换和复杂的业务流程。
GraphQL API：GraphQL是一种用于API的查询语言。与REST和SOAP不同，GraphQL不像API那样让开发者获取整个集合数据，而是根据开发者的需要返回客户端需要的数据。GraphQL API具有强大的类型系统和查询语言，使得客户端能够更精确地请求数据，而不是不必要地获取整个集合数据。

例如12306购票网站，所有的数据都在12306上，12306提供一整套接口，调用接口我们就可以获取到里面的数据。

接口文档

在项目开发中，web项目的前后端分离开发，APP开发，需要由前后端工程师共同定义接口，编写接口文档，之后大家都根据这个接口文档进行开发，到项目结束前都要一直维护。

接口文档的规范

每一个接口的文档分为四部分：请求方法、URI、请求参数、返回参数

  • 请求方法：获取(GET)、新增(POST)、修改(PUT)、删除(DELETE) 等

  • URI：调用这个接口需要访问的URI

  • 请求参数：字段、描述、类型、是否必填、备注

  • 返回参数：是否调用成功，返回的数据有哪些

接口测试的方法

和web测试一样，模拟客户端向服务器发送报文请求,服务器接收请求报文后对相应的报文做处理并向客户端返回应答,客户端接收应答的一个过程。

唯一的区别是接口测试需要自己构造参数，而web测试时网页会自动辅助构造参数。

单流程

业务场景无上下游依赖，这个接口可以代表整个功能，如查询个人信息

  • 构造参数 --> 发送请求 --> 校验结果

  • 常规漏洞

  • ...

多流程

接口之间有数据流转，共同形成一个完成的业务流程，如注册功能

  • 构造参数 --> 发送请求 --> 校验结果

  • 常规漏洞

  • 流程是否可以绕过，直接到达最后一步

  • ...

下面我就用Swgger-ui未授权访问漏洞来练习一下接口测试

Swgger-ui未授权访问

Swagger是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。

  • Swagger-IU的原本用意：Swagger-UI会根据开发人员在代码中的设置来自动生成API说明文档

  • 但是如果存在相关的配置缺陷就有可能攻击者可以未授权翻查Swagger接口文档，得到系统功能API接口的详细参数，再构造参数发包，通过回显获取系统大量的敏感信息。

Swgger-ui可以尝试未授权访问的目录：
 

/api
/api-docs
/api-docs/swagger.json
/api.html
/api/api-docs
/api/apidocs
/api/doc
/api/swagger
/api/swagger-ui
/api/swagger-ui.html
/api/swagger-ui.html/
/api/swagger-ui.json
/api/swagger.json
/api/swagger/
/api/swagger/ui
/api/swagger/ui/
/api/swaggerui
/api/swaggerui/
/api/v1/
/api/v1/api-docs
/api/v1/apidocs
/api/v1/swagger
/api/v1/swagger-ui
/api/v1/swagger-ui.html
/api/v1/swagger-ui.json
/api/v1/swagger.json
/api/v1/swagger/
/api/v2
/api/v2/api-docs
/api/v2/apidocs
/api/v2/swagger
/api/v2/swagger-ui
/api/v2/swagger-ui.html
/api/v2/swagger-ui.json
/api/v2/swagger.json
/api/v2/swagger/
/api/v3
/apidocs
/apidocs/swagger.json
/doc.html
/docs/
/druid/index.html
/graphql
/libs/swaggerui
/libs/swaggerui/
/spring-security-oauth-resource/swagger-ui.html
/spring-security-rest/api/swagger-ui.html
/sw/swagger-ui.html
/swagger
/swagger-resources
/swagger-resources/configuration/security
/swagger-resources/configuration/security/
/swagger-resources/configuration/ui
/swagger-resources/configuration/ui/
/swagger-ui
/swagger-ui.html
/swagger-ui.html#/api-memory-controller
/swagger-ui.html/
/swagger-ui.json
/swagger-ui/swagger.json
/swagger.json
/swagger.yml
/swagger/
/swagger/index.html
/swagger/static/index.html
/swagger/swagger-ui.html
/swagger/ui/
/Swagger/ui/index
/swagger/ui/index
/swagger/v1/swagger.json
/swagger/v2/swagger.json
/template/swagger-ui.html
/user/swagger-ui.html
/user/swagger-ui.html/
/v1.x/swagger-ui.html
/v1/api-docs
/v1/swagger.json
/v2/api-docs
/v3/api-docs

使用dirsearch扫描发现了一个页面：

访问可以看到是Swgger-ui的页面：

下面我们就可以根据页面提供的api接口文档进行api接口测试了

例如下面这样的一个页面：

这里的接口写的是所有煤矿信息，那么我们就可以尝试点击Try it Out尝试访问一下：

可以看到访问到了所有的煤矿的信息，那么设想一下，如果有一个查看用户账号信息的接口我们可以未授权访问是不是就可以获取到所有用户的敏感信息了

账号密码都有了，那么下一步就是快乐的登录系统了

参考文章：

什么是API接口？API接口的类型，如何调用API接口？-CSDN博客

Swagger未授权访问漏洞-腾讯云开发者社区-腾讯云

未知百分百
关注
专栏目录
最佳实践：解决 Swagger API 中的未授权访问漏洞
2301_79125642的博客
10-27 1282
投的前端开发，base杭州，10.27上午人工第一面，被疯狂抠细节拷打，答的不太好晚上看了一下状态，从AI面试变成了二轮面试进行中所以，这是人工第一面过了，还是。12人一组，一清一北？坏消息，是顺丰的低价，设计岗在深圳那么点钱估计活不下去，xdm我要接吗还是等其他的，本人广东人， 目前满帮三面、615hr面，其他大大小小银行和联通等还在流程中。市场上有很多大厂，虽然打着同一杆大旗，但里面的业务五花八门，人员的福利体系也千差万别，拿到同一个大厂的offer，签约公司却很可能不一样，比如，腾讯、华为、阿里。
SpringCloud Zuul网关整合Swagger在网关swagger-ui.html查看各个服务的接口文档
M义薄云天的博客
01-11 6394
一.背景 微服务服务众多，在测试接口时每个服务整合Swagger要单独去访问每一个服务获取接口文档有点繁琐，现在利用网关的也整合Swagger访问网关就可以获取到所有服务的接口文档就大大的便利了我们的开发 二.使用 1.对于Zuul 网关配置 添加pom依赖: <!--swagger--> <dependency> <groupId>io.s...
swaggerui未授权访问漏洞笔记
enthan809882的博客
06-13 1万+
swaggerui未授权访问漏洞笔记
SwaggerAPI未授权访问漏洞
最新发布
欢迎来到我的博客
09-05 492
SwaggerAPI未授权访问漏洞
记一次渗透测试信息收集之swagger-ui未授权
爱玩游戏的黑客的博客
12-20 3168
信息收集之swagger-ui未授权
一文解决：Swagger API 未授权访问漏洞问题
LiamHong_的博客
10-27 3万+
是一个用于设计、构建、文档化和使用风格的 Web 服务的开源软件框架。它通过提供一个交互式文档页面，让开发者可以更方便地查看和测试 API 接口。然而，在一些情况下，未经授权的访问可能会导致安全漏洞。本文将介绍如何解决问题。
针对Swagger接口泄露未授权访问的各种姿势
2401_83799022的博客
08-05 7862
然后先从Swagger漏洞的相关简介，再到相关使用的插件包括工具等的使用，然后再从实战中的案例进行解析和讲解。关键字，这个你可以点击下，这个标识就是表示这个泄露的 接口需要我们输入加密的信息，要是按照正常的直接访问这个泄露的api接口，然后看敏感信息就不可行了，下面我来带大家使用一个Swagger脚本工具来给师傅们演示下。上面给师傅们分享的都是这几天的收获，然后前面的简介包括对于Swagger接口泄露和未授权也是解释方面也是蛮细的，也蛮适合新手宝宝看的文章，也是希望这篇文章对看的师傅们有些帮助哈！
swagger 未授权访问漏洞修复,这可能是你看到的最好的解决方案！
热门推荐
记录点滴
09-26 3万+
大多数人都是直接禁用swagger，这样一来就给开发人员带来了负担，因为需要解决接口文档的问题，相信大家用惯了swagger文档，都不愿意自己再去手动写接口文档了。swagger未授权访问主要的路径如下，根据版本不同或者自定义的路径，可能会有一定的差异，自定义路径的只需要把自己的路径添加进来即可。通过以上方式，即解决了swagger未授权访问的问题，又解决了通过token授权访问的问题！怎样才能方便的修复未授权访问的漏洞，同时又能通过验证正常访问swagger文档呢？的方式对请求进行验证，
Spring Boot集成Swagger UI
weixin_50139963的博客
04-20 730
一：首先了解一下什么是Swagger UI？   Swagger UI 允许任何人（无论是开发团队还是最终消费者）可视化 API 的资源并与之交互，而无需任何实现逻辑。它是根据您的 OpenAPI（以前称为 Swagger）规范自动生成的，具有可视化文档，便于后端实现和客户端使用。主要作用是：接口的文档在线自动生成和在线预览，可以进行业务功能的测试。目标是使客户端和文件系统作为服务器以同样的速度来更新。文件的方法、参数和模型紧密集成到服务器端的代码，允许 API 来始终保持同步。Swagger 让部署管理和
swagger配置在正式环境中不可访问swagger-ui.html
万汉龙的博客
09-19 1万+
@Profile("test")//配置只允许在测试的时候暴露所有的接 @Configuration @EnableSwagger2 @ConditionalOnProperty(prefix = "swagger",value = {"enabled"},havingValue = "true") @Profile("test")//配置只允许在测试的时候暴露所有的接口 public cla...
接口文档——Swagger
qq_53226437的博客
03-07 8123
Swagger 接口文档对于前后端开发人员都十分重要。尤其近几年流行前后 端分离后接口文档又变成重中之重。接口文档固然重要，但是由于项 目周期等原因后端人员经常出现无法及时更新，导致前端人员抱怨接 口文档和实际情况不一致 很多人员会抱怨别人写的接口文档不规范，不及时更新。当时当 自己写的时候确实最烦去写接口文档。这种痛苦只有亲身经历才会牢记于心 如果接口文档可以实时动态生成就不会出现上面问题 Swagger 可以完美的解决上面的问题 Open API Open API 规范(OpenAPI Specific
swagger-exp:Swagger API漏洞利用
03-25
Swagger API漏洞利用 这是一个Swagger REST API信息可用的工具。主要功能有： 遍历所有API接口，自动填充参数 尝试GET / POST所有接口，返回响应代码/ Content-Type / Content-Length，用于分析接口是否可以未授权访问利用 分析接口是否存在敏感参数，例如url参数，容易约会外网的SSRF细分 检测API认证绕过防御 在本地监听一个Web服务器，打开Swagger UI接口，供分析接口使用 使用Chrome打开本地Web服务器，并添加CORS，解决部分API接口无法跨域请求的问题 当工具检测到HTTP认证绕过突破时，本地服务器拦截API文档，修改路径，踩直接在Swagger UI中进行测试 扫描器改进建议 分析json文档，将发现的URL，自动添加到爬虫中 用法 需要介入分析api_summary.txt文件中的内容 扫描所有API集
Swagger API漏洞利用-JavaScript开发
05-26
Swagger API Exploit 这是一个 Swagger REST API 信息泄露利用工具。 主要功能有： 遍历所有API接口，自动填充参数 尝试 GET / POST 所有接口，返回 Response Code / Content-Type / Content-Length ，用于分析接 Swagger API Exploit 这是一个 Swagger REST API 信息泄露利用工具。 主要功能有： 遍历所有API接口，自动填充参数 尝试 GET / POST 所有接口，返回 Response Code / Content-Type / Content-Length ，用于分析接口是否可以未授权访问利用 分析接口是否存在敏感参数，例如url参数，容易引入外网的SSRF漏洞 检测 API认证绕过漏洞 在本地监听一个Web Server，打开Swagger UI界面，供分析接口使用 使用Chrome打开本地Web服务器，并禁用CORS，解决部分API接口无法跨域请求的问题 当工具检测到HTTP认证绕过漏洞时，本地服务器拦截API文档，修改path，以便直接在Swagger
如何在 swgger 中设置连接前后端的 API 接口
m0_72134256的博客
08-26 1507
swagger 可以根据后台接口自动生成可视化的 restful 风格的 API 文档，并可以进行 API 测试（发送各种请求，测试接口）1、前端人员不用再去理解后端代码，后端人员也不用专门编写接口文档。2、swagger 直接自动生成可供测试、可视化的 API 文档，前端人员在不知道后端代码的情况下，也能根据 swagger 提供的 API 文档理解每个接口的作用，并可以测试接口是否能够正常使用。......
在SpringBoot中通过配置Swagger权限解决Swagger未授权访问漏洞
沉淀、分享、成长，让自己和他人都能有所收获！
02-26 8788
在本文中，我们详细讨论了在SpringBoot项目中解决Swagger权限漏洞的方法。通过配置和代码示例，我们可以有效地保护我们的系统免受潜在的安全威胁。希望这些技巧对你有所帮助！
网站存在未授权访问漏洞--Swagger
Gemini1995的博客
07-12 1063
swagger 相关禁用
针对Swagger接口泄露未授权的初探
2301_80127209的博客
08-16 1751
这篇文章呢主要是给师傅们分享下最近在学习的Swagger相关的漏洞，针对于Swagger接口未授权访问已经常见的敏感信息文件泄露的漏洞来给大家分享下。其中在挖企业src的是时候，其实在利用灯塔ARL在对其域名或者站点扫描时候，Swagger接口泄露的漏洞也是蛮常见的。
Swagger接口未授权访问漏洞
lanren312的博客
06-16 7157
处理办法，加上enable(false)或者将SwaggerConfig给注释掉，弊端就是你自己也访问不了接口文档。通过下面链接可以获取到接口信息。
spring boot未授权访问及Swagger漏洞处理
yudaxiaye的博客
06-20 1万+
无需修改源码，处理spring boot未授权访问及Swagger漏洞处理
knife4j4.1.0 /v3/api-docs/swagger-config 404
05-09
knife4j是一款Java语言编写的在线API文档管理工具，它的主要功能是生成Swagger接口文档的展示和编辑。knife4j4.1.0是它的一个版本，/v3/api-docs/swagger-config则是它的一个接口地址，用来获取Swagger配置信息并生成文档。 而在出现404错误时，常见的原因包括以下几点： 1. 接口地址错误：根据HTTP协议的规定，接口地址必须是一个合法的URL，否则会出现404错误。因此，如果我们在访问/v3/api-docs/swagger-config接口时出现了404错误，首先需要检查URL地址是否正确。 2. Swagger版本不兼容：knife4j依赖于Swagger生成文档，因此Swagger版本的兼容也会对生成文档产生影响。如果Swagger版本与knife4j版本不兼容，也会导致404错误的出现。 3. 权限不足：如果我们在访问/v3/api-docs/swagger-config接口时没有足够的权限，也会出现404错误。这时可以检查接口权限设置是否正确，或者联系管理员获取权限。 4. 程序错误：最后，如果以上几点都确认没有问题，那么可能是程序出现了错误。这时可以检查程序的日志或者调试程序，找出问题所在并进行修正。 总的来说，出现knife4j4.1.0 /v3/api-docs/swagger-config 404错误可能是多方面原因造成的，需要从不同角度进行排查，才能找出问题所在并进行解决。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

未知百分百

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值