Eine API legt die Geschäftslogik direkt offen, ohne die Oberfläche, die sie früher verborgen hat. Kennungen liegen offen, Felder, die der Client nie anzeigt, nimmt der Server trotzdem an, und jeder Endpunkt ist für jeden, der ein Token hat, nur eine Anfrage entfernt.
Wir arbeiten mit der Spezifikation, wo es eine gibt, und rekonstruieren sie aus dem Datenverkehr, wo es keine gibt. Jeder Endpunkt wird in jeder Rolle aufgerufen, mit den Kennungen anderer Benutzer und Mandanten, mit Feldern, die er nicht annehmen sollte, und in einer Reihenfolge, die der Ablauf nicht vorsieht.
01Umfang
Was wir testen
Autorisierung auf Objektebene: Zugriff auf Datensätze anderer Benutzer und Mandanten
Autorisierung auf Funktionsebene: administrative und interne Operationen
Autorisierung auf Eigenschaftsebene: Mass Assignment und übermäßige Preisgabe von Daten
Authentifizierung: API-Schlüssel, Abläufe von OAuth 2.0, JWT-Validierung, Lebenszyklus von Token
Ressourcenverbrauch: Rate Limits, Paginierung, Batch-Operationen, Kosten von Abfragen
GraphQL: Introspection, Tiefe und Komplexität, Batching, Autorisierung auf Feldebene
gRPC und WebSocket: Autorisierung von Methoden, Validierung von Nachrichten, Übernahme von Kanälen
Server-Side Request Forgery und unsichere Nutzung von APIs Dritter
Inventar: Schatten-, veraltete und Debug-Endpunkte, Versionsdrift
02Vorgehen
Wie die Arbeit abläuft
01
Inventar
Wir vergleichen die Spezifikation mit dem tatsächlichen Datenverkehr und mit den mobilen Clients und den Web-Clients und listen die Endpunkte auf, die existieren, aber nicht dokumentiert sind.
02
Autorisierungsmatrix
Jede Operation wird mit den Zugangsdaten jeder Rolle auf Objekte anderer Benutzer und Mandanten angewendet. Das Ergebnis ist eine Matrix: was erlaubt ist, gegenüber dem, was erlaubt sein sollte.
03
Missbrauch von Eingaben und Schema
Wir senden Felder, Typen und Strukturen, die das Schema nicht erwartet: zusätzliche Eigenschaften, verschachtelte Abfragen, übergroße Batches, widersprüchliche Content-Types.
04
Missbrauch von Geschäftsabläufen
Operationen werden wiederholt, umgeordnet und parallel ausgeführt, um Race Conditions zu finden und Abläufe, die sich zum Schaden des Geschäfts automatisieren lassen.
Klasse der Schwäche, die jedem Befund zugrunde liegt.
The MITRE Corporation
06Fragen
Fragen zu dieser Leistung
Wir haben keine Dokumentation der API. Lässt sie sich testen?
Ja. Wir rekonstruieren die Schnittstelle aus dem Datenverkehr Ihrer Clients und aus dem Verhalten des Servers. Die fehlende Dokumentation ist selbst ein Befund, und das Inventar, das wir erstellen, ist Teil des Berichts.
Worin unterscheidet sich das vom Test einer Webanwendung?
Das Ziel ist die Schnittstelle zwischen Systemen, nicht die Seiten, die ein Mensch sieht. Die Arbeit konzentriert sich auf die Autorisierung jedes Objekts und jeder Operation, auf Schemas und auf automatisierten Missbrauch: Dort entstehen Einbrüche über APIs.
Testen Sie interne APIs zwischen Microservices?
Ja, von der Netzwerkposition aus, die Sie festlegen: aus dem Internet, aus einem Partnernetz oder aus dem Inneren des Clusters. Interne APIs vertrauen ihren Aufrufern oft mehr, als sie sollten.
Tests von iOS- und Android-Apps zusammen mit ihrem Backend: Speicherung, Übertragung, Zusammenspiel mit der Plattform und Widerstand gegen Manipulation.