接口安全SOAPOpenAPIRESTful分类特征导入项目联动检测

1 、 API 分类特征

SOAP - WSDL

OpenApi - Swagger

RESTful - /v1/api/

2 、 API 常见漏洞

OWASP API Security TOP 10 2023

3 、 API 检测流程

接口发现，遵循分类，依赖语言， V1/V2 多版本等

Method ：请求方法

攻击方式： OPTIONS,PUT,MOVE,DELETE

效果：上传恶意文件，修改页面等

URL ：唯一资源定位符

攻击方式：猜测，遍历，跳转

效果：未授权访问等

Params ：请求参数

攻击方式：构造参数，修改参数，遍历，重发

效果：爆破，越权，未授权访问，突破业务逻辑等

Authorization ：认证方式

攻击方式：身份伪造，身份篡改

效果：越权，未授权访问等

Headers ：请求消息头

攻击方式：拦截数据包，改 Hosts ，改 Referer ，改 Content-Type 等

效果：绕过身份认证，绕过 Referer 验证，绕过类型验证， DDOS 等

Body ：消息体

攻击方式： SQL 注入， XML 注入，反序列化等

效果：提权，突破业务逻辑，未授权访问等

4 、 API 检测项目

工具自动化：xray yakit

SOAP - WSDL 测试 InfoSystem

Postman 联动

SoapUI ReadyAPI

OpenApi - Swagger 测试

Postman 联动

https://github.com/lijiejie/swagger-exp

可以测接口地址遍历

注入

爆破验证码

v2版本无法爆破 数据包改成v1