Ett API exponerar affärslogiken direkt, utan det gränssnitt som tidigare dolde den. Identifierare ligger öppet, fält som klienten aldrig visar accepteras ändå av servern, och varje slutpunkt ligger ett anrop bort för alla som har en token.
Vi utgår från specifikationen där en sådan finns och återskapar den från trafiken där den saknas. Varje slutpunkt anropas i varje roll, med andra användares och tenanters identifierare, med fält som den inte borde acceptera och i en ordning som arbetsflödet inte förväntar sig.
01Omfattning
Vad vi testar
Auktorisering på objektnivå: åtkomst till andra användares och tenanters poster
Auktorisering på funktionsnivå: administrativa och interna operationer
Auktorisering på egenskapsnivå: mass assignment och överdriven dataexponering
Autentisering: API-nycklar, OAuth 2.0-flöden, validering av JWT, livscykel för tokens
GraphQL: introspektion, djup och komplexitet, batchning, auktorisering av fält
gRPC och WebSocket: auktorisering av metoder, validering av meddelanden, kapning av kanaler
Server-side request forgery och osäker användning av API:er från tredje part
Inventering: skuggslutpunkter, utfasade slutpunkter och felsökningsslutpunkter, avvikelser mellan versioner
02Arbetssätt
Så utförs arbetet
01
Inventering
Vi jämför specifikationen med verklig trafik och med mobil- och webbklienterna och listar de slutpunkter som finns men inte är dokumenterade.
02
Auktoriseringsmatris
Varje operation anropas med varje rolls inloggningsuppgifter mot andra användares och tenanters objekt. Resultatet är en matris över vad som är tillåtet jämfört med vad som borde vara det.
03
Missbruk av indata och schema
Vi skickar fält, typer och strukturer som schemat inte förväntar sig: extra egenskaper, nästlade frågor, överstora batcher, motstridiga innehållstyper.
04
Missbruk av affärsflöden
Operationer spelas upp igen, kastas om och körs parallellt för att hitta race conditions och flöden som kan automatiseras till skada för verksamheten.
Vi har ingen dokumentation för API:et. Kan det testas?
Ja. Vi återskapar gränssnittet från dina klienters trafik och från serverns beteende. Den saknade dokumentationen är i sig ett fynd, och inventeringen som vi gör ingår i rapporten.
Hur skiljer sig det här från ett test av en webbapplikation?
Målet är gränssnittet mellan system, inte de sidor som en människa ser. Arbetet koncentreras på auktoriseringen av varje objekt och varje operation, på scheman och på automatiserat missbruk, eftersom det är där intrången i API:er uppstår.
Testar ni interna API:er mellan mikrotjänster?
Ja, från den position i nätverket som du anger: från internet, från ett partnernätverk eller inifrån klustret. Interna API:er litar ofta mer på sina anropare än de borde.