API tiesiogiai atveria verslo logiką, be sąsajos, kuri anksčiau ją slėpė. Identifikatoriai matomi atvirai, laukus, kurių kliento programa niekada nerodo, serveris vis tiek priima, o kiekvieną galinį tašką bet kas, turintis žetoną, pasiekia viena užklausa.
Dirbame pagal specifikaciją, jei ji yra, o jei jos nėra, atkuriame ją iš tinklo srauto. Kiekvieną galinį tašką kviečiame kiekvieno vaidmens vardu, su kitų naudotojų ir nuomininkų (angl. tenant) identifikatoriais, su laukais, kurių jis neturėtų priimti, ir tokia tvarka, kurios procesas nenumato.
01Apimtis
Ką testuojame
Objektų lygmens autorizacija: prieiga prie kitų naudotojų ir nuomininkų įrašų
Funkcijų lygmens autorizacija: administravimo ir vidinės operacijos
Savybių lygmens autorizacija: masinis priskyrimas (angl. mass assignment) ir perteklinis duomenų atskleidimas
Autentifikavimas: API raktai, OAuth 2.0 srautai, JWT tikrinimas, žetonų gyvavimo ciklas
Išteklių naudojimas: užklausų ribojimas, puslapiavimas, paketinės operacijos, užklausų kaina
GraphQL: introspekcija, gylis ir sudėtingumas, užklausų paketai, laukų autorizacija
gRPC ir WebSocket: metodų autorizacija, žinučių tikrinimas, kanalo užgrobimas
Serverio pusės užklausų klastojimas (SSRF) ir nesaugus trečiųjų šalių API naudojimas
Inventorizacija: šešėliniai, nebepalaikomi ir derinimo galiniai taškai, versijų išsiskyrimas
02Darbo eiga
Kaip atliekamas darbas
01
Inventorizacija
Specifikaciją palyginame su realiu srautu ir su mobiliosiomis bei žiniatinklio kliento programomis ir išvardijame galinius taškus, kurie egzistuoja, bet nėra dokumentuoti.
02
Autorizacijos matrica
Kiekvieną operaciją kviečiame su kiekvieno vaidmens prisijungimo duomenimis kitų naudotojų ir nuomininkų objektams. Rezultatas – matrica, kurioje tai, kas leidžiama, palyginta su tuo, kas turėtų būti leidžiama.
03
Piktnaudžiavimas įvestimi ir schema
Siunčiame laukus, tipus ir struktūras, kurių schema nenumato: papildomas savybes, įdėtines užklausas, per didelius paketus, prieštaringus turinio tipus.
04
Piktnaudžiavimas verslo procesais
Operacijas kartojame, keičiame jų tvarką ir vykdome lygiagrečiai, kad rastume lenktynių sąlygas (angl. race conditions) ir procesus, kuriuos galima automatizuoti verslo nenaudai.
Kiekvieną radinį lemiančios silpnosios vietos klasė.
The MITRE Corporation
06Klausimai
Klausimai apie šią paslaugą
Neturime API dokumentacijos. Ar API galima testuoti?
Taip. Sąsają atkuriame iš jūsų kliento programų srauto ir serverio elgsenos. Pati dokumentacijos stoka yra radinys, o mūsų sudaryta inventorizacija tampa ataskaitos dalimi.
Kuo tai skiriasi nuo žiniatinklio programos testavimo?
Testuojama sąsaja tarp sistemų, o ne puslapiai, kuriuos mato žmogus. Darbas sutelktas į kiekvieno objekto ir operacijos autorizaciją, schemas ir automatizuotą piktnaudžiavimą: būtent iš čia kyla įsilaužimai per API.
Ar testuojate vidines API tarp mikroservisų?
Taip, iš jūsų nurodytos vietos tinkle: iš interneto, iš partnerio tinklo arba iš klasterio vidaus. Vidinės API dažnai pasitiki jas kviečiančiomis sistemomis labiau, nei turėtų.
„iOS“ ir „Android“ programėlių testavimas kartu su jų serverine dalimi: duomenų saugojimas, perdavimas, sąveika su platforma ir atsparumas modifikavimui.