API安全之接口测试与请求协议漏洞利用详解

一、HTTP方法利用与API端点测试

1.1 HTTP方法概述

HTTP方法定义了要对资源执行的操作类型，不同方法可扩大攻击面：

• GET：从资源获取数据
• POST：创建新资源
• DELETE：删除资源
• PATCH：对资源应用部分修改
• OPTIONS：检索资源支持的请求方法类型

1.2 测试方法

1. 识别支持的HTTP方法：

   • 对目标端点尝试不同HTTP方法
   • 观察响应状态码和返回信息
   • 特别注意非标准方法如PATCH、PUT等

2. 实战案例：

   • 目标端点：/api/tasks/1
   • 原始GET请求获取任务信息
   • 修改为PATCH方法并添加Content-Type: application/json
   • 在请求体中修改价格参数
   • 成功绕过价格验证实现"零元购"

3. OPTIONS方法探测：

   • 尝试OPTIONS方法获取支持的HTTP方法列表
   • 若返回"不允许的使用方法"，说明端点可能隐藏了其他可用方法

二、内容类型测试与利用

2.1 内容类型的重要性

API端点通常需要特定数据格式，修改内容类型可能导致：

• 触发错误泄露敏感信息
• 绕过有缺陷的防御机制
• 利用不同格式的处理逻辑差异

2.2 测试方法

1. 修改Content-Type请求头：

   • application/json
   • application/xml
   • text/xml
   • application/x-www-form-urlencoded

2. 观察不同内容类型下的：

   • 错误信息差异
   • 处理逻辑变化
   • 可能的注入点

三、批量分配漏洞（自动绑定隐藏参数）

3.1 漏洞原理

当框架自动将请求参数绑定到内部对象字段时，可能意外暴露隐藏参数。

3.2 识别与利用

1. 识别隐藏参数：

   • 分析API返回的JSON/XML数据
   • 对比请求与响应中的参数差异
   • 寻找如id、isAdmin等敏感字段

2. 测试方法：

   • 在PATCH/PUT请求中添加可疑参数
   • 如isAdmin: true
   • 观察权限或数据变化

3. 实战案例：

   • 购物车API返回chosen_discount和percentage参数
   • 通过POST请求创建100%折扣
   • 成功实现零元购

四、服务端参数污染(SSPP)

4.1 漏洞原理

当用户输入被嵌入到内部API请求而未充分编码时，可能导致：

• 参数覆盖
• 应用行为修改
• 未授权数据访问

4.2 测试方法

4.2.1 查询字符串污染

1. 测试字符：

   • #：尝试截断查询字符串
   • &：尝试注入新参数
   • =：尝试覆盖现有参数

2. 测试步骤：

   • 原始请求：/api/search?name=peter
   • 测试截断：/api/search?name=peter%23xxx
   • 测试参数注入：/api/search?name=peter&x=a
   • 测试参数覆盖：/api/search?name=peter&name=carlos

4.2.2 REST路径污染

1. 测试方法：
   • 尝试路径遍历：/api/users/peter/../admin
   • 观察是否能够访问非预期资源

4.2.3 结构化数据污染(JSON/XML)

1. 测试方法：
   • 在JSON请求中注入额外字段
   • 如添加"access_level":"admin"
   • 观察权限变化

4.3 实战案例：密码重置漏洞

1. 信息收集：

   • 分析forgotPassword.js发现reset_token参数
   • 识别密码重置端点

2. 参数污染测试：

   • 尝试注入&field=reset_token
   • 成功获取管理员账户的reset token
   • 完成密码重置并获取管理员权限

五、防御措施

5.1 通用防御

1. API设计原则：

   • 禁止API公开访问
   • 保护API文档安全
   • 保持文档更新

2. HTTP方法控制：

   • 明确定义每个端点允许的HTTP方法
   • 禁用不必要的方法

3. 内容类型验证：

   • 严格验证请求/响应的内容类型
   • 使用通用错误消息避免信息泄露

5.2 批量分配防御

1. 参数控制：
   • 使用允许名单定义可更新字段
   • 将敏感字段列入黑名单
   • 避免自动绑定所有请求参数

5.3 服务端参数污染防御

1. 输入处理：

   • 严格编码所有用户输入
   • 使用允许名单定义合法字符
   • 验证输入格式和结构

2. 内部API调用：

   • 避免直接拼接用户输入到内部请求
   • 使用安全的API客户端库
   • 实施严格的输入验证

六、测试工具与方法

1. 基础工具：

   • Burp Suite/OWASP ZAP
   • Postman/cURL

2. 测试流程：

   • 枚举所有API端点
   • 测试每个端点的HTTP方法
   • 尝试不同内容类型
   • 分析响应寻找敏感信息
   • 测试参数污染可能性

3. 自动化测试：

   • 使用API安全扫描工具
   • 定制自动化测试脚本
   • 持续监控API变更

通过系统性地应用这些测试方法和技术，可以全面评估API接口的安全性，发现潜在的漏洞和攻击面。