第六十五天 API安全-接口安全&WebPack&REST&SOAP&WSDL&WebService

第65天 API安全-接口安全&WebPack&REST&SOAP&WSDL&WebService

知识点

1.HTTP类接口-测评

2.RPC类接口-测评

3.Web Service类-测评

参考链接:https://www.jianshu.com/p/e48db27d7c70

内容点:

SOAP(Simple Object Access Protocol)简单对象访问协议是交换数据的一种协议规范,

是一种轻量的、简单的、基于XML(标准通用标记语言下的一个子集)的协议,它被设计

成在WEB上交换结构化的和固化的信息,SOAP不是Web Servicet的专有协议,

SOAP使用HTTP来发送XML格式的数据,可以简单理解为:SOAP=HTTP+XML

REST(Representational State Transfer)即表述性状态传递,在三种主流的Web服务实

现方案中,因为REST模式的Wb服务与复杂的SOAP和XML-RPC对比来讲明显的更加简

洁,越来越多的Web服务开始采用REST风格设计和实现。例如,Amazon.com提供接近

REST风格的Web服务进行图书查找;雅虎提供的Web服务也是REST风格的。

WSDL(Web Services Description Language)即网络服务描述语言,用于描述Web服务

的公共接口。这是一个基于XML的关于如何与Wb服务通讯和使用的服务描述;也就是描

述与目录中列出的Wb服务进行交互时需要绑定的协议和信息格式。通常采用抽象语言描

述该服务支持的操作和信息,使用的时候再将实际的网络协议和信息格式绑定给该服务。

接口数据包:

Method:请求方法

攻击方式:OPTIONS,PUT,MOVE,DELETE

效果:上传恶意文件,修改页面等

URL:唯一资源定位符

攻击方式:猜测,遍历,跳转

效果:未授权访问等

Params:请求参数

攻击方式:构造参数,修改参数,遍历,重发

效果:爆破,越权,未授权访问,突破业务逻辑等

Authorization:认证方式

攻击方式:身份伪造,身份篡改

效果:越权,未授权访问等

Headers:清求消息头

攻击方式:拦截数据包,改Hosts,

改Referer,改Content-Type等

效果:绕过身份认证,绕过Referer验证,绕过类型验证,DDOS等

Body:消息体

攻击方式:SQL注入,XML注入,反序列化等

效果:提权,突破业务逻辑,未授权访问等

安全问题:

XSS跨站,信息泄露,暴力破解,文件上传,未授权访问,JWT授权认证,接口滥用等

演示案例:

WebService:类-Wsdl&ReadyAP-SQL注入

SOAP类-Swagger&SoapUla&EXP-信息泄露

HTTP类-WebPack&PackerFuzzer-信息泄露

WebService-Wsdl&SoapUl

探针:?wsdl

利用:SoapUla&ReadyAPI

思路:使用googlehack语法查找可能含有漏洞的资产 edu.cn inurl:asmx?wsdl

使用工具readyAPI进行扫描---扫描出存在sql注入--sqlmap一把梭

SOAP-Swagger&SoapUl&EXP

探针:目录&S资源

利用:SoapUla&EXP

https://github.com/lijiejie/swagger-exp

https://github.com/jayus0821/swagger-hack

目录:

/swagger

/api/swagger

/swagger/ui

/api/swagger/ui

/swagger-ui.html

/api/swagger-ui.html

/user/swagger-ui.html

/libs/swaggerui

/api/swaggerui

/swagger-resources/configuration/ui

/swagger-resources/configuration/security

思路同上 使用swagger-hack.py脚本

#HTTP-Webpack&PackerFuzzer

探针:插件&JS资源

利用:PackerFuzzer

https://github.com/rtcatc/Packer-Fuzzer

相关推荐
游戏开发爱好者833 分钟前
iOS重构期调试实战:架构升级中的性能与数据保障策略
websocket·网络协议·tcp/ip·http·网络安全·https·udp
运维开发王义杰1 小时前
金融安全生命线:用AWS EventBridge和CloudTrail构建主动式入侵检测系统
安全·金融·aws
安全系统学习3 小时前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
加密狗复制模拟5 小时前
坚石ET ARM加密狗复制模拟介绍
安全·软件工程·个人开发
galaxylove6 小时前
Gartner发布塑造安全运营未来的关键 AI 自动化趋势
人工智能·安全·自动化
scuter_yu6 小时前
主流零信任安全产品深度介绍
运维·网络·安全
江苏思维驱动智能研究院有限公司6 小时前
Sophos 网络安全:全球领先的自适应安全解决方案提供商
网络·安全·web安全
A5rZ7 小时前
Puppeteer 相关漏洞-- Google 2025 Sourceless
网络安全
小能喵8 小时前
Kali Linux Wifi 伪造热点
linux·安全·kali·kali linux
Bruce_Liuxiaowei10 小时前
常见高危端口风险分析与防护指南
网络·网络安全·端口·信息搜集