百家讲坛 | 肖文棣：API安全与实践（下）

上期已经就OWASP API Top 10 2023版本的前五大风险进行了分析（详情请点击：百家讲坛 | 肖文棣：API安全与实践（上）），本文将继续后面的五大风险进行分析。

利用SSRF漏洞，攻击者需要找到一个接收URI作为参数的API端点，然后访问提供的URI。大多数常见编程语言的内置函数和库都存在URL解析不一致的问题。

只要API在未验证用户提供的URL的情况下获取远程资源，就会出现服务器端请求伪造（SSRF）的漏洞。SSRF允许攻击者强制应用程序将恶意请求发送到意想不到的目的地，越过防火墙或VPN的保护。

现代的应用程序开发使SSRF更加普遍和危险。

开发人员根据用户输入访问外部资源，如Webhook、从URL获取文件、自定义SSO和URL预览等。

云提供商、Kubernetes和Docker等现代技术在众所周知的路径上通过HTTP公开管理和控制通道。这些通道很容易成为SSRF攻击的目标。

社交网络允许用户上传个人照片。用户可以选择从他们的机器上传图像文件，或者提供图像的URL。选择第二个，将触发以下API调用：

攻击者可以使用API端点发送恶意URL并在内部网络中启动端口扫描。

攻击者可以根据响应时间，判断端口是否打开。

Blacklist3r是一种用于检测潜在的SSRF漏洞的工具，它可以扫描Web应用程序和API以查找潜在的SSRF攻击点。

Barideki是一种基于Python的SSRF漏洞扫描器，它可以扫描Web应用程序和API以查找潜在的SSRF漏洞。

攻击者通常会尝试寻找未修补的漏洞、常见端点或未受保护的文件和目录，以获得未经授权的访问。

在以下情况下，API可能容易受到攻击：

API后端服务器维护由流行的第三方开源日志实用程序编写的访问日志，支持占位符扩展和JNDI（Java命名和目录接口）查找，默认情况下均启用。对于每个请求，都会使用以下模式将一个新条目写入日志文件：<method> <api_version>/<path> - <status_code>.

攻击者发出以下API请求，该请求被写入访问日志文件：

由于日志实用程序的不安全默认配置和宽松的网络出站策略，为了将相应的条目写入访问日志，同时扩展请求标头中的值，日志实用程序将从攻击者的对象“X-Api-Version”获取数据并执行Malicious.class对象远程控制服务器。

Configuration Audit，对应用程序的配置文件进行审核，以检查其中的潜在安全漏洞，并建议如何纠正它们。其中包括可以使用的命令行工具和脚本，如OWASP Dependency-Check和PMD等。

安全配置管理平台，使用此平台可以管理应用程序的配置信息，并确保其安全。例如，使用HashiCorp的 Vault来管理安全凭证或使用Ansible Tower管理应用程序的配置文件。

攻击者利用了解到的API的业务模型，来查找敏感业务流以及自动访问这些业务流，从而损害业务。

自动化威胁变得更有利可图、更智能且更难防范，API通常是攻击者的目标。

随着时间的推移，传统的保护措施（例如速率限制和验证码）变得不那么有效。例如，操作僵尸网络的攻击者可以绕过速率限制，因为攻击者可以在几秒钟内从全球数千个位置或者IP地址轻松访问API。

易受攻击的API本身不一定有实现错误，只是简单地公开一个业务流程，例如买票或发表评论，而没有考虑如果以自动化方式过度使用这些功能会对业务造成怎样的损害。

拼车应用程序提供推荐计划，用户可以邀请他们的朋友，并为每个加入该应用程序的朋友获得积分。这笔信用额度以后可以用作现金来预订服务。

攻击者通过编写脚本来自动执行注册过程来利用此流程，每个新用户都会向攻击者的钱包中添加信用。

攻击者以后可以享受免费乘车或出售信用过多的帐户以换取现金。

这就是所谓薅羊毛。

缓解计划应分两层进行：

ModSecurity是一个开源的Web应用程序防火墙（WAF），可用于保护API免受自动化威胁的攻击。它可以检测并防止暴力破解、DDoS、机器人扫描和爬虫攻击等常见威胁。ModSecurity具有灵活的规则集，可以根据API的需求进行定制。

Fail2ban是一个开源的入侵防范系统（IPS），可用于保护API免受暴力破解和DDoS攻击等自动化威胁。它可以监视API的日志，并根据配置的规则集自动封锁攻击者的IP地址。

攻击者通常通过API的旧版本或未打补丁且使用较弱安全要求的端点进行未经授权的访问。攻击者可能会通过管理不善的第三方接口访问敏感数据。

API经常没有清晰的文档，包括：

2. 没有文档或现有文档没有更新。

3. 每个API版本都没有下线计划。

4. 主机的资产丢失或过时。

社交网络允许独立应用程序的开发人员与其集成。作为此过程的一部分，需要最终用户同意，因此社交网络可以与独立应用程序共享用户的个人信息。

社交网络和独立应用程序之间的数据流没有足够的限制或监控，允许独立应用程序不仅可以访问用户信息，还可以访问所有朋友的私人信息。

一家咨询公司构建了一个恶意应用程序并设法获得 270,000名用户的同意。由于该漏洞，该咨询公司设法访问了50,000,000名用户的私人信息。后来，咨询公司出于恶意目的出售这些信息。

SwaggerHub是一个API设计和开发平台，可以帮助开发人员更好地管理他们的API资产。SwaggerHub包括一个集成的版本控制系统，允许用户跟踪API版本，并对其进行更改。

Kong是一个基于OpenResty的云原生API网关和服务网格。Kong提供了丰富的功能，如路由，负载平衡，插件等，以帮助开发人员更好地管理API资产。

开发人员倾向于信任但不验证与外部或第三方API交互的端点。攻击者成功利用这些API中的安全漏洞可能会访问他们不应该访问的数据。

在以下情况下，API可能容易受到攻击：

API与第三方服务提供商集成，以安全地存储敏感的用户医疗信息。使用如下所示的HTTP请求通过安全连接发送数据：

攻击者找到了一种破坏第三方API的方法，攻击者开始以308永久重定向响应前一个请求。

由于API盲目重定向，API会重复包含用户敏感数据的完全相同的请求，但这次返回的对象是攻击者的服务器，从而导致敏感数据泄漏。

OpenAPI Security是一个基于OpenAPI规范的API安全框架，可以帮助用户进行API设计和开发，以减少API的安全风险。OpenAPI Security提供了许多安全检查和控制，如身份认证、授权、输入验证和输出验证等。

API Fortress是一个基于云的解决方案，提供API测试和监控功能。API Fortress可以帮助用户进行身份验证和授权，同时对API请求进行输入验证和输出验证，防止恶意攻击。

OWASP API Security Top 10 2023版本是最全面和最新的API最关键安全风险列表。该列表反映了不断变化的威胁形势，包括近年来出现的新风险。大家可以结合该列表去检查一下自己的API，看看是否有影响。

另外本文两篇都提供了开源解决方案，所以API安全首先是意识上的，然后才是对应的解决方案。希望大家共同努力，把API安全做好。