API安全测试方法论

  • A+
所属分类:安全文章

API安全概述

      Application Programma Interface (API)由一组定义和协议组合而成,可用于构建和企业集成应用软件。随着数字化转型的深入,API产品的价值日益增高,特别是与微服务、DevOps等技术的融合,使得API成为企业战略发展加速的利器,但随之而来的安全问题也不容忽视。常见的API安全漏洞有以下五种:

API安全测试方法论

  1. 首先是API应该与应用系统一样在设计之初就考虑安全的因素,比如防篡改(签名)、防重放(时间戳)、防止敏感信息泄露(传输加密与数据最小化)等。
 2. API规范性带来的一个问题就是API很容易被发现,比如在URL中出现的v1/login,参数中出现的"function": "login"等。
  3.  安全配置错误常常包括:未使用加密传输协议、CSRF、CORS等。
  4.  参数过多就会导致信息泄露以及便于攻击者执行频率分析攻击,

比如"role": "user"容易让攻击者联想到"role": "admin"等。
  5. 数据过多:传输过多的数据、返回过多的数据、参数值暴露敏感信息等都是数据过多导致的安全问题。
    同时OWASP在2019年也列举了API最受关注的十大安全问题:
  

API安全测试方法论

    从上述的两张图中我们就可以大体了解API常面临的风险是什么,那么如何来解决这些安全问题?


API安全测试方法

     要想全面解决API的安全问题,就要在每次API研发完成之后进行全面的安全测试,为了防止测试过程中出现的遗漏,我们可以准备一个检查列表v1.0(本列表主要来自:https://github.com/shieldfy/API-Security-Checklist/blob/master/README-zh.md,添加了一些自己的分类依据、测试方法、修复方案等):

API安全测试方法论


API安全测试工具

   很多时候重复的劳动力是不必要的,所以利用好工具事半功倍(工欲善其事必先利其器)。


Astra
https://github.com/flipkart-incubator/Astra
安装Astra非常简单,我们直接使用Docker部署即可(官网已经有了详细说明,值得注意的是编译Astra时网络是个大问题,自行扶墙)


Burp Suite
Burp的强大之处不用多说,但是针对API的测试,我更喜欢把BurpSuite与Postman结合起来使用。


fuzzapi
https://github.com/Fuzzapi/fuzzapi
安装过程不赘述。


Postman
结合Burp来使用,后期有空专门写BurpSuite + Postman。
其实写本文主要是为了帮自己梳理一下API的安全漏洞和检查要点,上面的图只是一个1.0版本,并且本表的很多列我也暂时没有共享出来,后期2.0会更新。


reference
    API Security Checklist:


https://github.com/shieldfy/API-Security-Checklist

    API的五个常见漏洞:

https://min.news/zh-cn/tech/24cceb1c0d9169a7dc68e58e0e669864.html

    API接口渗透测试:


https://xz.aliyun.com/t/2412

    应用程序接口(API)安全:

https://www.freebuf.com/articles/web/248251.html

————————————————
转自CSDN原文链接:

https://blog.csdn.net/bloodzero_new/article/details/112479328


API安全测试方法论


一如既往的学习,一如既往的整理,一如即往的分享。感谢支持API安全测试方法论

“如侵权请私聊公众号删文”



扫描关注LemonSec

API安全测试方法论

觉得不错点个“赞”、“在看”哦API安全测试方法论


本文始发于微信公众号(LemonSec):API安全测试方法论

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: