Postman在API渗透测试中的高级应用指南

1. Postman简介与安装

Postman是一款流行的API开发与测试工具，支持Windows、Mac OS和Linux平台。虽然主要面向开发者，但其强大的HTTP请求管理功能使其成为API渗透测试的利器。

主要功能特点：

• 管理HTTP请求集合
• 支持变量和环境管理
• 提供请求构建与响应分析界面
• 支持代理配置

安装方法：

1. 官网下载安装包(https://www.getpostman.com)
2. 或通过平台特定方式安装：
   • Ubuntu: snap install postman
   • Arch Linux: 通过AUR安装

首次启动时可选择跳过登录，无需创建账户即可使用核心功能。

2. Postman核心概念

2.1 集合(Collection)

• 用于组织相关API请求的容器
• 可设置全局身份验证规则
• 可定义集合级变量

2.2 请求(Request)

• 构建具体的HTTP请求
• 可设置方法、URL、参数、头部、主体等
• 必须归属于某个集合

2.3 环境(Environment)

• 存储跨请求使用的变量
• 支持多环境切换(如开发、测试、生产)
• 变量通过{{变量名}}语法引用

3. 基本请求操作

3.1 创建请求

1. 点击左上角"New"按钮创建集合
2. 在集合中创建新请求
3. 配置请求方法(GET/POST等)、URL和参数

3.2 请求组件

• 方法选择下拉框
• URL输入框
• 参数(Params)、头部(Headers)、主体(Body)等选项卡
• 发送(Send)和保存(Save)按钮

3.3 Cookie管理

• Postman自动处理响应中的Cookie
• 可通过"Cookies"按钮管理当前域下的Cookie
• 支持手动添加、编辑和删除Cookie

4. 与Burp Suite集成

将Postman流量通过Burp代理可实现：

• 利用Burp Intruder进行模糊测试
• 使用Burp被动扫描器检测安全问题
• 通过Repeater篡改请求

4.1 配置步骤

1. 启动Burp，确保Proxy监听器运行(默认127.0.0.1:8080)
2. 在Postman中：
   • 打开设置(右上角扳手图标)
   • 进入"Proxy"选项卡
   • 启用全局代理配置
   • 禁用"Use System Proxy"
   • 设置代理地址为Burp监听地址

4.2 SSL证书处理

两种方法解决证书问题：

1. 关闭Postman的SSL证书验证(设置→General→SSL certificate verification→OFF)
2. 将Burp CA证书导入系统信任存储

4.3 验证与排错

• 在Burp Proxy历史记录中检查请求
• 常见问题：
  • 请求超时：检查Burp拦截是否关闭
  • 请求未捕获：确认代理配置正确，Burp范围设置合适

5. 高级变量管理

5.1 集合变量

适合相对静态的配置：

1. 右键集合选择"Edit"
2. 进入"Variables"选项卡
3. 添加变量名和初始值
4. 在请求中通过{{变量名}}引用

5.2 环境变量

适合多环境/租户场景：

1. 点击右上角环境选择器→"Manage Environments"
2. 添加新环境并定义变量
3. 从环境选择器下拉菜单中选择环境
4. 在请求中引用环境变量

5.3 路由参数

处理URL路径中的参数：

• 语法：:参数名(如/user/:userId)
• 在Params选项卡中设置具体值
• 可引用变量：{{API_host}}/user/:userId

6. 身份验证自动化

6.1 Bearer Token处理

自动更新环境变量中的token：

1. 在请求的"Tests"选项卡中添加脚本：

var data = JSON.parse(responseBody);
postman.setEnvironmentVariable("bearer_token", data.token);

2. 在集合的Authorization选项卡中设置Bearer Token类型
3. 引用环境变量{{bearer_token}}

6.2 其他认证方式

• 基本认证(Basic Auth)
• OAuth 1.0/2.0
• API Key
• 继承父集合认证设置

7. 与Burp扩展集成

7.1 配置Jython环境

1. 在Burp的Extender→Options中设置Jython路径
2. 从jython.org下载独立JAR文件

7.2 JSON Web Token Attacker

用于测试JWT实现漏洞：

主要攻击类型：

1. 签名排除(Signature Exclusion)：将alg改为"none"
2. 密钥混淆(Key Confusion)：从RS256改为HS256

使用步骤：

1. 从请求复制JWT到Burp的JOSEPH选项卡
2. 选择攻击类型和载荷
3. 生成修改后的令牌用于测试

7.3 Autorize扩展

自动化测试授权问题：

配置步骤：

1. 在Autorize选项卡设置替换的头部/Cookie
2. 启用插件
3. 通过过滤器调整拦截规则

结果分析：

• 颜色标识授权执行情况(绿/红/黄)
• 比较原始请求与修改后请求的响应
• 检查请求/响应差异选项卡

8. 最佳实践与技巧

1. 请求组织：按功能模块分组请求，合理命名
2. 变量使用：将基础URL、认证信息等提取为变量
3. 测试脚本：利用"Tests"选项卡自动化验证逻辑
4. 前置脚本：使用"Pre-request Script"准备测试数据
5. 环境隔离：为不同测试阶段创建独立环境
6. 文档注释：为集合和请求添加描述性注释

9. 安全测试场景示例

9.1 输入验证测试

• 修改参数值测试边界和异常情况
• 尝试SQL注入、XSS等攻击向量
• 测试文件上传和路径遍历漏洞

9.2 身份验证测试

• 测试令牌过期处理
• 尝试重放攻击
• 检查敏感操作的多因素认证

9.3 授权测试

• 垂直权限提升测试
• 水平权限跨越测试
• 多租户数据隔离测试

9.4 业务逻辑测试

• 测试顺序依赖问题
• 检查价格篡改等业务漏洞
• 验证防重放机制

通过结合Postman的请求管理能力和Burp Suite的安全测试功能，可以构建强大的API渗透测试工作流程，有效发现现代Web服务中的安全问题。