API открывает бизнес-логику напрямую, без интерфейса, который раньше её скрывал. Идентификаторы на виду, поля, которые клиент никогда не показывает, сервер по-прежнему принимает, а до любого эндпоинта — один запрос для каждого, у кого есть токен.
Если спецификация есть, мы работаем по ней; если нет — восстанавливаем её по трафику. Каждый эндпоинт вызывается от имени каждой роли, с идентификаторами чужих пользователей и арендаторов, с полями, которые он не должен принимать, и в порядке, которого процесс не предполагает.
01Объём
Что мы проверяем
Авторизация на уровне объектов: доступ к записям чужих пользователей и арендаторов
Авторизация на уровне функций: административные и внутренние операции
Авторизация на уровне свойств: mass assignment и избыточная выдача данных
Аутентификация: ключи API, OAuth 2.0, проверка JWT, жизненный цикл токенов
Потребление ресурсов: лимиты, пагинация, пакетные операции, стоимость запросов
GraphQL: интроспекция, глубина и сложность, батчинг, авторизация полей
gRPC и WebSocket: авторизация методов, проверка сообщений, перехват канала
SSRF и небезопасное использование сторонних API
Инвентаризация: теневые, устаревшие и отладочные эндпоинты, расхождение версий
02Подход
Как выполняется работа
01
Инвентаризация
Сравниваем спецификацию с реальным трафиком, мобильным и веб-клиентами и составляем список эндпоинтов, которые существуют, но не задокументированы.
02
Матрица авторизации
Каждая операция вызывается с учётными данными каждой роли над объектами чужих пользователей и арендаторов. Результат — матрица «разрешено фактически» против «должно быть разрешено».
03
Злоупотребление схемой
Отправляем поля, типы и структуры, которых схема не ожидает: лишние свойства, вложенные запросы, слишком большие пакеты, противоречивые типы содержимого.
04
Злоупотребление процессами
Операции повторяются, переставляются и выполняются параллельно, чтобы найти состояния гонки и процессы, которые можно автоматизировать во вред бизнесу.
Класс недостатка, лежащего в основе каждой находки.
The MITRE Corporation
06Вопросы
Вопросы об этой услуге
У нас нет документации на API. Его можно протестировать?
Да. Мы восстанавливаем интерфейс по трафику ваших клиентов и поведению сервера. Отсутствие документации само по себе является находкой, а составленный нами перечень входит в отчёт.
Чем это отличается от пентеста веб-приложения?
Объект проверки — интерфейс между системами, а не страницы, которые видит человек. Работа сосредоточена на авторизации каждого объекта и операции, на схемах и на автоматизированных злоупотреблениях — именно отсюда происходят взломы API.
Вы тестируете внутренние API между микросервисами?
Да, с той сетевой позиции, которую вы определите: из интернета, из сети партнёра или изнутри кластера. Внутренние API часто доверяют вызывающей стороне больше, чем следует.