OWASP API Top 10漏洞靶场实战指南

靶场概述

APISandbox是一个包含多个场景的API漏洞靶场，其中OWASPApiTop10模块使用Go语言作为后端，实现了OWASP API Top 10的所有漏洞类型。这个靶场非常适合学习和实践API安全测试。

环境搭建

1. 下载项目：

   wget https://github.com/API-Security/APISandbox/archive/refs/heads/main.zip -O APISandbox-main.zip
   unzip APISandbox-main.zip
   cd APISandbox-main
   

2. 进入目标环境目录：

   cd OWASPApiTop10
   

3. 编译并启动环境：

   docker-compose build
   docker-compose up -d
   

4. 测试完成后清理环境：

   docker-compose down -v
   

OWASP API Top 10漏洞详解

API1: 对象级授权缺失 (Broken Object Level Authorization)

漏洞描述：普通用户登录后，可以通过/v2/user/getuserinfo/:id接口遍历所有用户信息。

测试步骤：

1. 获取普通用户cookie
2. 遍历用户ID获取其他用户信息

修复建议：

• 实施严格的访问控制
• 检查每个请求是否具有访问特定资源的权限

API2: 身份认证缺失 (Broken Authentication)

漏洞描述：SecretKey使用固定值0waspApiTop10，泄漏后可本地伪造鉴权，导致任意用户登录。

测试步骤：

1. 通过API7获取源码
2. 从api/API2_BrokenAuthentication.go中找到SecretKey
3. 编写脚本伪造session

注意：由于使用gorilla库导致Cookie伪造可能不可用。

修复建议：

• 使用随机生成的SecretKey
• 定期轮换密钥
• 使用标准的认证机制

API3: 过度数据暴露 (Excessive Data Exposure)

漏洞描述：/v2/user/getuseremail接口返回所有用户邮箱信息，而前端只显示当前用户邮箱。

测试步骤：

1. 普通用户登录
2. 调用/v2/user/getuseremail接口
3. 观察返回数据

修复建议：

• 仅返回客户端需要的数据
• 在后端进行数据过滤
• 实施最小权限原则

API4: 资源与速率限制不足 (Lack of Resources and Rate Limiting)

漏洞描述：/v2/login接口未限制请求速率，可暴力破解admin密码(123qweasd)。

测试步骤：

1. 使用工具对登录接口进行暴力破解
2. 尝试常见密码组合

修复建议：

• 实施请求速率限制
• 使用账户锁定机制
• 强制使用强密码策略

API5: 功能级授权缺失 (Broken Function Level Authorization)

漏洞描述：

• /v2/user/getuserprofile返回自己的全部信息
• /v2/user/getuserprofiles返回全部用户信息

测试步骤：

1. 普通用户登录
2. 调用上述接口观察返回数据

修复建议：

• 实施基于角色的访问控制(RBAC)
• 对敏感功能进行权限验证
• 遵循最小权限原则

API6: 批量分配漏洞 (Mass Assignment)

漏洞描述：/v2/register接口前端有隐藏的admin标签，可手动设置为true注册管理员用户。

测试步骤：

POST /v2/register HTTP/1.1
Host: target:port
Content-Type: application/x-www-form-urlencoded

username=attacker&password=attacker&admin=true

修复建议：

• 使用白名单定义可接受的参数
• 使用DTO(数据传输对象)模式
• 避免直接绑定请求参数到对象

API7: 安全配置错误 (Security Misconfiguration)

漏洞描述：/static目录配置不当，可访问上一级目录，导致源码泄漏。

测试步骤：

GET /static/main.go HTTP/1.1
Host: target:port

修复建议：

• 正确配置静态资源目录
• 禁用目录列表
• 实施严格的访问控制

API8: 注入漏洞 (Injection)

漏洞描述：/v2/login接口存在SQLite注入漏洞。

测试步骤：

1. 使用sqlmap进行检测：

   sqlmap -r api8.1.txt --batch --level=5 --risk=3 --technique=BEUST --threads=5 --dbs
   

2. 获取用户表数据：

   sqlmap -r api8.1.txt -p username -D SQLite_masterdb -T user --dump --batch
   

修复建议：

• 使用参数化查询
• 使用ORM框架
• 实施输入验证

API9: 资产管理不当 (Improper Assets Management)

漏洞描述：

• /v2/getenv禁止访问
• /v1/getenv可访问旧版本接口

测试步骤：

GET /v1/getenv HTTP/1.1
Host: target:port

修复建议：

• 弃用旧版本API
• 实施API版本控制策略
• 监控和记录API使用情况

API10: 日志记录与监控不足 (Insufficient Logging and Monitoring)

漏洞描述：/v1/evil接口没有日志记录。

测试步骤：

GET /v1/evil HTTP/1.1
Host: target:port

修复建议：

• 记录所有安全相关事件
• 实施实时监控
• 建立告警机制

实战测试工具 - APIKit

APIKit是一个集API发现、扫描和审计于一体的工具包。

安装步骤：

1. 从GitHub下载APIKit：https://github.com/API-Security/APIKit/tree/main
2. 安装浏览器扩展

使用方法：

1. 访问目标网站并抓包
2. 右键 → 扩展 → APIkit → 目标API扫描
3. 选择API指纹、填写URL和API文档地址
4. 扫描后分析结果

总结

通过这个靶场，我们可以全面了解OWASP API Top 10的各种漏洞类型及其利用方法。在实际应用中，应当：

1. 实施严格的认证和授权机制
2. 对输入进行严格验证
3. 实施最小权限原则
4. 正确配置安全设置
5. 建立完善的日志和监控系统

这些措施将显著提高API的安全性，保护系统和数据免受攻击。