第66天：API攻防-接口安全&阿里云KEY&Postman&DVWS&XXE&鉴权&泄漏

案例一：安全问题-Dvws泄漏&鉴权&XXE

靶场地址：https://github.com/snoopysecurity/dvws-node

利用docker命令去启动

首先先注册一个账户

注册后登录点击admin area 发现点不进去

这里把bp打开但是不抓包，只做流量转发，进行一次登录过程

 再注册一个用户，查看数据包

辅助下面数据包到repeater

创建新用户，并且设置为管理员

利用test2登录以后可以成功进入admin页面

配合xxe

点击搜索用户

查看该数据包发现类似xml数据格式

这里利用xxe语句进行测试（复习）

读取文件

<?xml version="1.0"?>
<!DOCTYPE Mikasa [
<!ENTITY test SYSTEM "file:///d:/e.txt">
]>

读取敏感文件

案例二： 工具使用-Postman 自动化测试

利用过程

 发送

如果不行需要以键值对的形势填入信息

可以配置登录需要的token或者jwt数据，在做测试时直接调用

配置完成以后可以直接调用身份进行测试

还可以上传文件

 后面案例因为环境问题无法复现。