API测试(一)：PortSwigger靶场笔记

写在前面

这篇文章是关于作者在学习PortSwigger的API Test类型漏洞时的记录和学习笔记使用到的工具为Burp Suite Pro

漏洞简介

什么是api

API全称为Application Interface，是应用程序对外提供功能的接口，现在主要有三种api风格，分别是JSON风格的api，RESTful风格的api以及Graphic风格的api

JSON风格

请求获取用户信息

1POST /api/getUser HTTP/1.1
2Host: example.com
3Content-Type: application/json
4
5{
6  "userId": 1
7}

RESTful风格

请求获取用户信息

1GET /api/users/1 HTTP/1.1
2Host: example.com

请求修改用户信息

1POST /api/users HTTP/1.1
2Host: example.com
3Content-Type: application/json
4
5{
6  "name": "Jane Doe",
7  "email": "jane.doe@example.com"
8}

Graphic风格

请求获取用户信息

1POST /graphql HTTP/1.1
2Host: example.com
3Content-Type: application/json
4
5{
6  "query": "{ user(id: 1) { id, name, email } }"
7}

API测试是什么

API测试这种漏洞主要包含了对开放api期望运行逻辑的破坏以及对未开放的api的检测和调用，导致的危害可能有敏感信息泄露，应用行为被改变等这篇文章主要讨论JSON和RESTful APIs 当你在测试一个api的时候，关注下面这些点：

api接收并处理的数据，包括必需的和可选的
api接受的请求类型，包括请求方法和media formats
速率限制和认证机制

和api交互

使用不同的请求方法

HTTP1.0定义了三种请求方法： GET、POST、HEAD

GET方法请求一个指定资源的表示形式，使用 GET的请求应该只被用于获取数据。
HEAD方法请求一个与 GET请求的响应相同的响应，但没有响应体。
POST方法用于将实体提交到指定的资源，通常导致在服务器上的状态变化或副作用。 HTTP1.1新增了六种请求方法：OPTIONS、PUT、DELETE、TRACE 、CONNECT、PATCH
OPTIONS方法用于描述目标资源的通信选项。
PUT方法用有效载荷请求替换目标资源的所有当前表示。
DELETE方法删除指定的资源。
TRACE方法沿着到目标资源的路径执行一个消息环回测试。
CONNECT方法建立一个到由目标资源标识的服务器的隧道。
PATCH方法用于对资源应用部分修改。

使用不同的Content-Type

以下是最常使用的10种Content-Type application/json

用途：用于 JSON 格式的数据传输，常用于 RESTful API。 text/html
用途：用于 HTML 格式的数据传输，常用于 Web 页面响应。 application/x-www-form-urlencoded
用途：用于 HTML 表单提交的编码方式，将表单数据编码为键值对。 multipart/form-data
用途：用于文件上传表单的编码方式，允许同时上传文件和其他数据。 text/plain
用途：用于纯文本数据传输，没有特殊的格式化要求。 application/xml
用途：用于 XML 格式的数据传输。 application/javascript
用途：用于传输 JavaScript 代码。 application/octet-stream
用途：用于传输二进制数据，不指定特定的文件格式，通常用于文件下载。 image/jpeg
用途：用于传输 JPEG 格式的图像文件。 image/png
用途：用于传输 PNG 格式的图像文件。

Labs

lab1

lab地址：Exploiting an API endpoint using documentation 这个lab是最基础的，通关条件是删除用户carlos的账户登陆网站，尝试发现的所有功能，然后观察burpsuite的HTTP History，发现一个方法为PATCH的请求，api端点为/api/user/wiener，直接尝试修改http请求方法为delete，对用户carlos进行请求

lab2

lab地址：Exploiting server-side parameter pollution in a query string 这一个lab关注的点是请求字符串中的参数污染，通关条件是登陆administrator的账户，删除carlos账户惯例先进行所有的操作，观察burpsuite的http history 将/fogot-password的post请求发送到repeater研究将请求发送到intruder模块对field参数的值进行爆破爆破显示正确的结果将field的值设置为email发送原post请求，发现响应和没有设置field一样，再去http history查看有没有其他可能的值发现GET /static/js/forgotPassword.js，js文件内容如下

1let forgotPwdReady = (callback) => {
2    if (document.readyState !== "loading") callback();
3    else document.addEventListener("DOMContentLoaded", callback);
4}
5
6function urlencodeFormData(fd){
7    let s = '';
8    function encode(s){ return encodeURIComponent(s).replace(/%20/g,'+'); }
9    for(let pair of fd.entries()){
10        if(typeof pair[1]=='string'){
11            s += (s?'&':'') + encode(pair[0])+'='+encode(pair[1]);
12        }
13    }
14    return s;
15}
16
17const validateInputsAndCreateMsg = () => {
18    try {
19        const forgotPasswordError = document.getElementById("forgot-password-error");
20        forgotPasswordError.textContent = "";
21        const forgotPasswordForm = document.getElementById("forgot-password-form");
22        const usernameInput = document.getElementsByName("username").item(0);
23        if (usernameInput && !usernameInput.checkValidity()) {
24            usernameInput.reportValidity();
25            return;
26        }
27        const formData = new FormData(forgotPasswordForm);
28        const config = {
29            method: "POST",
30            headers: {
31                "Content-Type": "x-www-form-urlencoded",
32            },
33            body: urlencodeFormData(formData)
34        };
35        fetch(window.location.pathname, config)
36            .then(response => response.json())
37            .then(jsonResponse => {
38                if (!jsonResponse.hasOwnProperty("result"))
39                {
40                    forgotPasswordError.textContent = "Invalid username";
41                }
42                else
43                {
44                    forgotPasswordError.textContent = `Please check your email: "${jsonResponse.result}"`;
45                    forgotPasswordForm.className = "";
46                    forgotPasswordForm.style.display = "none";
47                }
48            })
49            .catch(err => {
50                forgotPasswordError.textContent = "Invalid username";
51            });
52    } catch (error) {
53        console.error("Unexpected Error:", error);
54    }
55}
56
57const displayMsg = (e) => {
58    e.preventDefault();
59    validateInputsAndCreateMsg(e);
60};
61
62forgotPwdReady(() => {
63    const queryString = window.location.search;
64    const urlParams = new URLSearchParams(queryString);
65    const resetToken = urlParams.get('reset-token');
66    if (resetToken)
67    {
68        window.location.href = `/forgot-password?reset_token=${resetToken}`;
69    }
70    else
71    {
72        const forgotPasswordBtn = document.getElementById("forgot-password-btn");
73        forgotPasswordBtn.addEventListener("click", displayMsg);
74    }
75});

最关键的一段代码是：

1forgotPwdReady(() => {
2    const queryString = window.location.search;
3    const urlParams = new URLSearchParams(queryString);
4    const resetToken = urlParams.get('reset-token');
5    if (resetToken)
6    {
7        window.location.href = `/forgot-password?reset_token=${resetToken}`;
8    }
9    else
10    {
11        const forgotPasswordBtn = document.getElementById("forgot-password-btn");
12        forgotPasswordBtn.addEventListener("click", displayMsg);
13    }
14});

代码中涉及一个参数reset_token，尝试将field这只为reset_token，发现响应变化了根据/forgot-password?reset_token=${resetToken}，重新构建get请求然后就是设置新密码，删除carlos账户

lab3

lab地址：Finding and exploiting an unused API endpoint 这个lab关注的点是发现和测试未使用的api端点，通关条件是购买一件商品进去先尝试所有功能，发现无法充值，余额为0，我的思路是将商品价格修改或绕过付款流程观察brupsuite的http history，发现：GET /api/products/1/price HTTP/2，发送到repeater研究先修改http方法为OPTION，发现允许get和patch方法构建patch方法的请求构造指定格式的数据，数据是猜测的，但是比较好猜之后就可以零元购，通关了

lab4

lab地址：Exploiting a mass assignment vulnerability 这个lab关注批量赋值漏洞，通关条件是购买一件商品，还是之前的思路按惯例先尝试所有功能，然后查看burpsuite的http history 发现两个有意思的请求：POST /api/checkout HTTP/2和GET /api/checkout HTTP/2 点击付款按钮时会先发送POST请求，数据为购买的商品的列表，包括商品id和数量

{"chosen_products":[{"product_id":"1","quantity":1}]}

GET请求则会返回该次交易的相关信息，如下图：第一个尝试还是先修改商品的价格，发现没有成功然后修改代表折扣的字段，发送请求后就直接成功购买了

lab5

lab地址：Exploiting server-side parameter pollution in a REST URL 这个lab和lab2的思路是一样的，关注的重点在改变服务端请求的行为，但是多了许多防御措施，需要更多技巧结合，通关条件和lab2一样先使用lab2用过的测试技巧，测试后推测服务端请求可能把username内容放在url的路径部分构造username为：./administrator 读取配置文件，发现url路径：/api/api/internal/v1/users/{username}/field/{field} 将username参数改为administrator/field/x%23，试图重写field 同lab2一样，查看GET /static/js/forgotPassword.js 构造username为：administrator/field/passwordResetToken%23 通过路径遍历进行指定版本构造get请求发送然后修改密码，删除carlos账户，通关