【技术干货】Attacking SOAP API

SOAP（Simple Object Access Protocol）简单对象访问协议是交换数据的一种协议规范，是一种轻量的、简单的、基于XML（标准通用标记语言下的一个子集）的协议，它被设计成在WEB上交换结构化的和固化的信息。

• SOAP API 仅允许在应用程序之间进行 XML 消息收发

• SOAP 消息更大、更复杂，这使得其传输和处理速度变慢

• SOAP 协议要求应用程序存储请求之间的状态，提高了带宽和内存要求，更难以扩展。
• SOAP 内置了错误处理逻辑，因此相比于REST API更加可靠。

SOAP的组成：

在SOAP API的消息中存在了四个不同的元素：

• Envelope: 是将文档标识为 SOAP 消息而不是任何其他类型的 XML 文档的基本元素。消息以信封的标签开始和结束。（必须元素）

• Header: 是一个可选元素，可以使用 SOAP 模块添加新特性和功能。一个Envelope中可以包含多个标题。（可选元素）

• body: 正文包含实际消息：请求或响应。（必须元素）

• Fault: 如果在处理过程中出现问题，则用于错误消息和状态信息。（可选元素）

在SOAP API中，同样由于相关业务设计的疏忽，可能也会存在一些业务性漏洞，比如：用户名枚举、验证码爆破等等。

漏洞案例：

在SOAP API请求中对username参数进行枚举。

当存在用户时返回：User Exists

当不存在用户时返回：User Not Found

SOAP API的命令执行漏洞其实也输入SOAP注入的一种，通过对相关参数部分植入命令执行payload，由于相关验证机制不全或者被绕过，可能导致恶意命令被执行。

漏洞案例：

在SOAP API中采用的一般都是XML数据格式，请求中的XML数据会由服务端的XML解析器进行解析和处理，在这个过程中，通过对相关元素、属性进行操作可以实行DOS攻击，除此之外利用XXE漏洞也可以进行DOS攻击。下面将列举相关DOS攻击示例：

针对元素名称的DoS攻击的示例。

针对元素属性的DoS攻击的示例。

针对元素个数的DoS攻击的示例（也可以通过重复某个特定元素达到同样效果）。

利用XXE漏洞造成DoS示例。