在测试中偶尔会碰到swagger并插入到swagger并放置到swagger上，并在其中交替使用 ：
python编写了一个脚本自动爬取所有接口，配置好传参发包访问
原理是首先抓取http：// url / swagger-resources 获取到一些标准和对应的文档地址而后对每个标准下的接口文档进行解析，构造请求包，获取响应
尽量考虑到了所有可能的传参格式，实际测试只有少数几个会500或400响应需要手动修改一下，其余都是401或200 200即未授权访问接口了，可以进一步做其他诸如sqli等测试运行
所有测试结果都存储在csv中：
项目地址：
https://github.com/jayus0821/swagger-hack
本文始发于微信公众号（Khan安全攻防实验室）：神兵利器 - swagger-hack
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论