api漏洞系列-api漏洞综述

api漏洞系列-api漏洞综述

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

前言

这篇文章本该为在api漏洞系列的第一篇,但是当时感觉还不到时候,最近看了一些相关姿势(文末有福利),感觉可以写了,于是便有了这篇文章(主要是笔记),先声明一下,这篇文章没有涉及到具体的相关技术细节，主要是一篇综述性的文章,方便日后查阅与学习.

正文

• 信息搜集(侦查)

• 被动侦察
  1.攻击面发现
  2.检查有无暴露的敏感信息
  
• 主动侦察
  1.探测有无端口和服务开放
  2.使用DevTools调试web应用程序
  3.发现API接口
  ...

• 进行Fuzzing

• 接口分析
  

• 查找并审核API文档
  
• 分析并查找是否有信息泄露和业务逻辑漏洞
  ...

• Authentication测试
  

• 进行基本的身份验证测试
  
• 利用API令牌测出
  ...

• Authorization测试
  

• 发现资源识别方法
  
• 对BOLA进行测试
  
• 对BFLA进行测试
  

• Mass Assignment测试
  

• 发现请求中使用的标准参数
  
• 对Mass Assignment进行测试
  

• 注入测试  
  

• 发现接受用户输入的请求  
  
• 测试XSS  
  
• 测试SQL注入
  
• 命令注入测试  
  ...

• 速率限制测试
  

• 测试是否存在速率限制
  
• 测试避免速率限制的方法
  
• 测试绕过速率限制的方法
  ...

结尾

最后送福利: