黑盒漏洞挖掘之api接口未授权访问
字数 3681 2025-10-29 23:25:25

黑盒漏洞挖掘：通过前端JS分析发现API接口未授权访问

文档版本： 1.0
发布日期： 2023-10-27

1. 引言：理解漏洞背景

1.1 什么是API接口未授权访问？
API接口未授权访问漏洞，也称为不安全的直接对象引用（IDOR）的一种表现形式或权限缺失，是指应用程序的后端API接口没有对前端发来的请求进行有效的身份认证和授权校验，导致攻击者能够在未登录或低权限的情况下，直接访问本应需要高权限才能访问的数据或功能。

1.2 漏洞的危害
此类漏洞危害极大，攻击者可以：

  • 越权查看数据： 查看其他用户的个人信息、订单记录、私密内容等。
  • 越权操作数据： 修改、删除其他用户的数据，执行管理功能（如用户增删改查）。
  • 导致数据泄露： 大规模爬取平台的核心业务数据。

2. 技术基础：前后端分离架构

在深入挖掘方法之前，必须理解现代Web应用的主流架构——前后端分离。

2.1 传统架构（前后端不分离）

  • 特点： 前端代码（HTML, CSS, JS）与后端代码（Java, PHP, Python）紧密耦合。
  • 工作流程： 后端通过模板引擎（如JSP, Thymeleaf）直接生成并渲染出带有数据的完整HTML页面，然后发送给浏览器。
  • 接口特点： API接口通常不直接暴露给前端JS，而是通过后端路由控制页面跳转和数据填充。漏洞挖掘重点可能在URL路径和参数上。

2.2 前后端分离架构

  • 特点： 前端（如Vue, React, Angular构建的SPA）和后端是完全独立的应用程序。
  • 工作流程：
    1. 浏览器加载前端应用（JS框架代码）。
    2. 前端JS代码执行，并通过标准的API接口（通常是RESTful API）向后端服务器请求数据（请求格式多为JSON/XML）。
    3. 后端接收请求，处理业务逻辑，查询数据库，然后返回纯数据（JSON）给前端。
    4. 前端接收到数据后，在浏览器端动态渲染页面。
  • 核心： 解耦。后端只负责提供数据接口，不关心页面展示。
  • 对漏洞挖掘的意义： 几乎所有与服务器交互的请求都通过明确的API接口进行。 因此，找到这些API接口是发现未授权访问漏洞的第一步，也是最关键的一步。

3. 漏洞挖掘方法论：深入前端JS分析

原文的核心观点是：仅依赖自动化工具（如“熊猫头”可能指代DirSearch、Gobuster等目录扫描工具，或Burp Suite的Content Discovery）被动地收集API接口是远远不够的，可能会遗漏关键接口。 必须进行主动且深入的手动分析。

以下是详细的操作步骤：

3.1 第一步：识别目标与确认架构

  1. 打开目标网站。
  2. 按 F12 打开浏览器开发者工具。
  3. 切换到 “网络（Network）” 选项卡。
  4. 刷新页面或进行一些操作（如点击翻页、查看详情）。
  5. 观察请求：如果看到大量返回类型为 json 或 xhr 的请求，且这些请求的响应内容是纯数据而非HTML，那么这很可能是一个前后端分离的应用。确认架构是后续分析的基础。

3.2 第二步：系统性地收集JavaScript文件
前端所有的业务逻辑，包括调用哪些API接口、如何调用，都写在JavaScript文件里。因此，我们的目标是找到并分析这些JS文件。

  1. 在开发者工具中定位JS文件：

    • 在 “网络（Network）” 选项卡中，使用过滤器筛选 JS 类型的请求。你会看到网站加载的所有JS文件。
    • 重点关注： 名称看起来像项目主文件的（如 app.xxx.js、main.xxx.js）、包含chunk关键词的（如 chunk-vendors.xxx.js、chunk-xxxx.js），以及名称与业务功能相关的JS文件。

  2. 静态分析JS文件内容：

    • 逐个点击这些JS文件，在 “响应（Response）” 或 “预览（Preview）” 标签页中查看其源代码。
    • 核心搜索技巧： 使用 Ctrl + F 在JS文件内容中搜索以下关键词，这些是API接口的强烈指示器：
      • API路径关键词： /api/, /v1/, /v2/, /graphql, /rest/
      • HTTP方法关键词： fetch(, .get(, .post(, .put(, .delete(, .patch(, axios., ajax
      • URL字符串特征： 搜索包含 .json 的URL，或者直接搜索 http 和 https 来查找完整的接口地址。
      • 常见参数名： userId, id, uid, orderId（这些参数名能帮你快速定位到携带用户标识的接口）。

3.3 第三步：提取和整理API接口
从JS代码中提取出的接口信息可能是完整URL，也可能是路径片段。需要将它们整理成一个清晰的列表。

  • 完整URL： 直接记录。
  • 相对路径： 需要与网站域名拼接成完整URL。例如，代码中是 GET /api/user/profile，则完整URL为 https://target.com/api/user/profile。
  • 注意动态参数： 接口可能包含由变量定义的路径，如 /api/users/${userId}/orders。你需要将其重构为可测试的格式，例如 /api/users/123/orders。

整理示例表：

接口功能描述 HTTP方法 完整API URL 关键参数 来源JS文件
获取用户资料 GET https://target.com/api/v1/users/me 无 app.5d8f0a.js
查询订单列表 GET https://target.com/api/orders userId chunk-orders.abc123.js
删除文章 DELETE https://target.com/api/admin/posts/{id} id chunk-admin.d4e5f6.js

3.4 第四步：测试未授权访问
现在，你有了一个手工收集的、可能比自动化工具更全面的API接口列表。接下来就是测试它们的权限控制。

  1. 工具准备： 使用Burp Suite、Postman或简单的浏览器扩展来发送HTTP请求。
  2. 清除身份凭证： 至关重要的一步！ 确保在测试前，退出目标网站的所有登录状态，并清除浏览器中与该网站相关的Cookies和本地存储数据。你也可以使用无痕/隐私模式进行测试。
  3. 发送请求并分析响应：
    • 对于 GET 请求，可以直接在浏览器地址栏输入完整URL访问。
    • 对于 POST, PUT, DELETE 等请求，使用工具构造请求。
  4. 判断漏洞存在：
    • 成功访问（最明显）： 服务器返回了 HTTP 200 OK 状态码，并且响应体中包含了敏感数据（如其他用户信息、订单列表等）。
    • 权限不足提示： 服务器返回 HTTP 403 Forbidden 或 401 Unauthorized，这表示接口有权限控制，是安全的。
    • 重定向到登录： 服务器返回 HTTP 302 Found 重定向到登录页面，通常也表示有认证检查。
    • 其他状态码： 404 Not Found（接口不存在），500 Internal Server Error（服务器内部错误，可能与参数格式有关，需进一步分析）。

4. 技巧与注意事项

  • 关注管理功能接口： 在JS中搜索 admin, manager, root 等关键词，这些接口一旦未授权，危害极大。
  • 参数遍历： 即使接口需要参数（如id=123），也要尝试修改参数值（id=124）进行测试，这可能会发现横向越权漏洞。
  • 处理动态路由： 对于Webpack等打包工具生成的文件，接口路径可能被分割。需要结合多个JS文件或通过搜索上下文来理解完整的接口结构。
  • 自动化辅助： 可以编写简单脚本或使用工具（如 LinkFinder、JSFinder）来辅助从JS中提取URL，但手动分析验证是不可替代的。

5. 总结

通过深入分析前端JavaScript代码来挖掘API未授权访问漏洞，是一种高效且深入的黑盒测试方法。其核心优势在于能够发现自动化扫描器无法触及的、深藏在业务逻辑中的接口。

核心流程可以总结为：
确认架构（前后端分离） -> 收集JS文件 -> 静态分析（搜索关键词） -> 提取整理API列表 -> 清除凭证进行未授权测试。

这种方法要求测试人员具备耐心和细心，但其回报是能够发现更隐蔽、危害更大的安全漏洞，从而显著提升应用程序的安全性。

黑盒漏洞挖掘：通过前端JS分析发现API接口未授权访问 文档版本： 1.0 发布日期： 2023-10-27 1. 引言：理解漏洞背景 1.1 什么是API接口未授权访问？ API接口未授权访问漏洞，也称为不安全的直接对象引用（IDOR）的一种表现形式或权限缺失，是指应用程序的后端API接口没有对前端发来的请求进行有效的身份认证和授权校验，导致攻击者能够在未登录或低权限的情况下，直接访问本应需要高权限才能访问的数据或功能。 1.2 漏洞的危害 此类漏洞危害极大，攻击者可以： 越权查看数据： 查看其他用户的个人信息、订单记录、私密内容等。 越权操作数据： 修改、删除其他用户的数据，执行管理功能（如用户增删改查）。 导致数据泄露： 大规模爬取平台的核心业务数据。 2. 技术基础：前后端分离架构 在深入挖掘方法之前，必须理解现代Web应用的主流架构——前后端分离。 2.1 传统架构（前后端不分离） 特点： 前端代码（HTML, CSS, JS）与后端代码（Java, PHP, Python）紧密耦合。 工作流程： 后端通过模板引擎（如JSP, Thymeleaf）直接生成并渲染出带有数据的完整HTML页面，然后发送给浏览器。 接口特点： API接口通常不直接暴露给前端JS，而是通过后端路由控制页面跳转和数据填充。漏洞挖掘重点可能在URL路径和参数上。 2.2 前后端分离架构 特点： 前端（如Vue, React, Angular构建的SPA）和后端是完全独立的应用程序。 工作流程： 浏览器加载前端应用（JS框架代码）。 前端JS代码执行，并通过标准的API接口（通常是RESTful API）向后端服务器请求数据（请求格式多为JSON/XML）。 后端接收请求，处理业务逻辑，查询数据库，然后返回纯数据（JSON）给前端。 前端接收到数据后，在浏览器端动态渲染页面。 核心： 解耦。后端只负责提供数据接口，不关心页面展示。 对漏洞挖掘的意义： 几乎所有与服务器交互的请求都通过明确的API接口进行。 因此，找到这些API接口是发现未授权访问漏洞的第一步，也是最关键的一步。 3. 漏洞挖掘方法论：深入前端JS分析 原文的核心观点是： 仅依赖自动化工具（如“熊猫头”可能指代DirSearch、Gobuster等目录扫描工具，或Burp Suite的Content Discovery）被动地收集API接口是远远不够的，可能会遗漏关键接口。 必须进行主动且深入的手动分析。 以下是详细的操作步骤： 3.1 第一步：识别目标与确认架构 打开目标网站。 按 F12 打开浏览器开发者工具。 切换到 “网络（Network）” 选项卡。 刷新页面或进行一些操作（如点击翻页、查看详情）。 观察请求：如果看到大量返回类型为 json 或 xhr 的请求，且这些请求的响应内容是纯数据而非HTML，那么这很可能是一个前后端分离的应用。确认架构是后续分析的基础。 3.2 第二步：系统性地收集JavaScript文件 前端所有的业务逻辑，包括调用哪些API接口、如何调用，都写在JavaScript文件里。因此，我们的目标是找到并分析这些JS文件。 在开发者工具中定位JS文件： 在 “网络（Network）” 选项卡中，使用过滤器筛选 JS 类型的请求。你会看到网站加载的所有JS文件。 重点关注： 名称看起来像项目主文件的（如 app.xxx.js 、 main.xxx.js ）、包含 chunk 关键词的（如 chunk-vendors.xxx.js 、 chunk-xxxx.js ），以及名称与业务功能相关的JS文件。 静态分析JS文件内容： 逐个点击这些JS文件，在 “响应（Response）” 或 “预览（Preview）” 标签页中查看其源代码。 核心搜索技巧： 使用 Ctrl + F 在JS文件内容中搜索以下关键词，这些是API接口的强烈指示器： API路径关键词： /api/ , /v1/ , /v2/ , /graphql , /rest/ HTTP方法关键词： fetch( , .get( , .post( , .put( , .delete( , .patch( , axios. , ajax URL字符串特征： 搜索包含 .json 的URL，或者直接搜索 http 和 https 来查找完整的接口地址。 常见参数名： userId , id , uid , orderId （这些参数名能帮你快速定位到携带用户标识的接口）。 3.3 第三步：提取和整理API接口 从JS代码中提取出的接口信息可能是完整URL，也可能是路径片段。需要将它们整理成一个清晰的列表。 完整URL： 直接记录。 相对路径： 需要与网站域名拼接成完整URL。例如，代码中是 GET /api/user/profile ，则完整URL为 https://target.com/api/user/profile 。 注意动态参数： 接口可能包含由变量定义的路径，如 /api/users/${userId}/orders 。你需要将其重构为可测试的格式，例如 /api/users/123/orders 。 整理示例表： | 接口功能描述 | HTTP方法 | 完整API URL | 关键参数 | 来源JS文件 | | :--- | :--- | :--- | :--- | :--- | | 获取用户资料 | GET | https://target.com/api/v1/users/me | 无 | app.5d8f0a.js | | 查询订单列表 | GET | https://target.com/api/orders | userId | chunk-orders.abc123.js | | 删除文章 | DELETE | https://target.com/api/admin/posts/{id} | id | chunk-admin.d4e5f6.js | 3.4 第四步：测试未授权访问 现在，你有了一个手工收集的、可能比自动化工具更全面的API接口列表。接下来就是测试它们的权限控制。 工具准备： 使用Burp Suite、Postman或简单的浏览器扩展来发送HTTP请求。 清除身份凭证： 至关重要的一步！ 确保在测试前，退出目标网站的所有登录状态，并清除浏览器中与该网站相关的Cookies和本地存储数据。你也可以使用无痕/隐私模式进行测试。 发送请求并分析响应： 对于 GET 请求，可以直接在浏览器地址栏输入完整URL访问。 对于 POST , PUT , DELETE 等请求，使用工具构造请求。 判断漏洞存在： 成功访问（最明显）： 服务器返回了 HTTP 200 OK 状态码，并且响应体中包含了敏感数据（如其他用户信息、订单列表等）。 权限不足提示： 服务器返回 HTTP 403 Forbidden 或 401 Unauthorized ，这表示接口有权限控制，是安全的。 重定向到登录： 服务器返回 HTTP 302 Found 重定向到登录页面，通常也表示有认证检查。 其他状态码： 404 Not Found （接口不存在）， 500 Internal Server Error （服务器内部错误，可能与参数格式有关，需进一步分析）。 4. 技巧与注意事项 关注管理功能接口： 在JS中搜索 admin , manager , root 等关键词，这些接口一旦未授权，危害极大。 参数遍历： 即使接口需要参数（如 id=123 ），也要尝试修改参数值（ id=124 ）进行测试，这可能会发现横向越权漏洞。 处理动态路由： 对于Webpack等打包工具生成的文件，接口路径可能被分割。需要结合多个JS文件或通过搜索上下文来理解完整的接口结构。 自动化辅助： 可以编写简单脚本或使用工具（如 LinkFinder 、 JSFinder ）来辅助从JS中提取URL，但手动分析验证是不可替代的。 5. 总结 通过深入分析前端JavaScript代码来挖掘API未授权访问漏洞，是一种高效且深入的黑盒测试方法。其核心优势在于能够发现自动化扫描器无法触及的、深藏在业务逻辑中的接口。 核心流程可以总结为： 确认架构（前后端分离） -> 收集JS文件 -> 静态分析（搜索关键词） -> 提取整理API列表 -> 清除凭证进行未授权测试。 这种方法要求测试人员具备耐心和细心，但其回报是能够发现更隐蔽、危害更大的安全漏洞，从而显著提升应用程序的安全性。