API udostępnia logikę biznesową bezpośrednio, bez interfejsu, który wcześniej ją zasłaniał. Identyfikatory są jawne, serwer nadal przyjmuje pola, których aplikacja kliencka nigdy nie pokazuje, a każdy endpoint jest o jedno żądanie od każdego, kto ma token.
Pracujemy na podstawie specyfikacji, jeśli istnieje, a jeśli nie, odtwarzamy ją z ruchu sieciowego. Każdy endpoint wywołujemy z uprawnieniami każdej roli, z identyfikatorami innych użytkowników i tenantów, z polami, których nie powinien przyjmować, i w kolejności, której proces się nie spodziewa.
01Zakres
Co testujemy
Autoryzacja na poziomie obiektów: dostęp do rekordów innych użytkowników i tenantów
Autoryzacja na poziomie funkcji: operacje administracyjne i wewnętrzne
Autoryzacja na poziomie właściwości: mass assignment i nadmierne ujawnianie danych
Uwierzytelnianie: klucze API, przepływy OAuth 2.0, walidacja JWT, cykl życia tokenów
GraphQL: introspekcja, głębokość i złożoność zapytań, batching, autoryzacja pól
gRPC i WebSocket: autoryzacja metod, walidacja wiadomości, przejmowanie kanału
Fałszowanie żądań po stronie serwera (SSRF) i niebezpieczne korzystanie z API podmiotów trzecich
Inwentaryzacja: ukryte, wycofane i debugowe endpointy, rozbieżności wersji
02Podejście
Jak przebiega praca
01
Inwentaryzacja
Porównujemy specyfikację z rzeczywistym ruchem oraz z aplikacjami mobilnymi i webowymi i wypisujemy endpointy, które istnieją, ale nie są udokumentowane.
02
Macierz autoryzacji
Każdą operację wywołujemy z danymi logowania każdej roli na obiektach innych użytkowników i tenantów. Wynikiem jest macierz: co jest dozwolone, a co powinno być.
03
Nadużycie danych wejściowych i schematu
Wysyłamy pola, typy i struktury, których schemat się nie spodziewa: dodatkowe właściwości, zagnieżdżone zapytania, zbyt duże paczki żądań, sprzeczne typy treści.
04
Nadużycie procesów biznesowych
Operacje powtarzamy, zmieniamy ich kolejność i uruchamiamy je równolegle, aby znaleźć sytuacje wyścigu i procesy, które da się zautomatyzować ze szkodą dla firmy.
Klasa słabości leżącej u podstaw każdego znaleziska.
The MITRE Corporation
06Pytania
Pytania o tę usługę
Nie mamy dokumentacji API. Czy da się je przetestować?
Tak. Odtwarzamy interfejs z ruchu Twoich aplikacji klienckich i z zachowania serwera. Brak dokumentacji sam w sobie jest znaleziskiem, a inwentaryzacja, którą przygotujemy, wchodzi w skład raportu.
Czym to się różni od testu aplikacji webowej?
Celem jest interfejs między systemami, a nie strony, które widzi człowiek. Praca skupia się na autoryzacji każdego obiektu i każdej operacji, na schematach i na zautomatyzowanych nadużyciach, bo właśnie stąd biorą się włamania przez API.
Czy testujecie wewnętrzne API między mikrousługami?
Tak, z miejsca w sieci, które wskażesz: z internetu, z sieci partnera lub z wnętrza klastra. Wewnętrzne API często ufają wywołującym je systemom bardziej, niż powinny.