5种典型 API 攻击及预防建议

API 帮助跨多个设备互连多个应用程序或软件系统，定义它们可以发出的调用或请求的种类、调用的方式、应使用的数据格式以及应遵守的约定。 API
已经发展成为重要的互连，支持不同应用程序架构之间的通信，促进新服务的更快集成和部署 。软件开发程序也依赖 API
来提供服务、平台管理和持续部署。涉及移动设备、云数据系统和微服务设计模式的现代应用程序架构需要使用多个 API 作为网关，以促进不同 Web
应用程序之间的互操作性。

在 API 安全领域，“攻击”和“漏洞”这两个词经常互换使用，许多人并不了解 API 攻击/漏洞的真正含义。API
攻击/漏洞是一种威胁类别，在很大程度上未被行业现有的 API 安全框架和指南解决。为了保持基于 API
的安全和可信度，必须改进应对的思维和工具，以应对公司现在面临的各种 API 威胁——以及 API 威胁形势的快速发展。

什么是 API 滥用？

任何设计和代码都难以避免错误，安全技术也是如此。有时软件的结构，哪怕是根据相应规范设计的，都可能有被滥用技术利用的风险。

OWASP 这样定义软件 “滥用（abuse）”：

创建误用和滥用案例以滥用或利用软件功能中控件的弱点来攻击应用程序。使用应用程序的滥用案例模型，作为识别直接或间接利用滥用场景的具体安全测试的媒介。

简而言之，滥用案例模型在某种程度上是威胁建模。API 对于构建坚固且持续的通信桥梁至关重要，该桥梁使设备能够无缝传递所需信息。然而黑客采用多种方式来利用
API 并破坏目标设备，这种 API 开发是对 API 安全的潜在威胁。如果在 API
设计的威胁建模阶段没有考虑到执行锁定端口，并且没有添加补偿控制，那么这些 API 就有可能被“滥用”。API 滥用是指错误处理
API、获得未经批准的访问和修改关键功能的行为，以便 API
可用于攻击服务器或使服务器超载等敌对过程。它是在机器人、网络钓鱼攻击或手动插入恶意代码的帮助下执行的。

API 滥用很常见，但原因不总是因为 API 本身设计不佳。有时 API 具有可预测的设计结构，这也让攻击者有机会滥用 API。API 滥用包括：

• 出于恶意原因以未经批准的方式使用 API 。在这些情况下，API 在技术上按设计使用，但被错误的人或出于错误的原因使用。比如数据抓取。
• 利用