lsekfe 发表于 2021-5-7 10:31:35

接口安全简单渗透测试说明

接口分类
  从平台划分:分为内部接口和外部接口。
  从类型/协议来说:分为http接口和soap (webservice)接口。
  http接口:通过get和post来获取数据,在数据处理上效率比较高。
  webservice接口:通过soap协议来获取数据,比起http来说能处理更加复杂的数据类型。
  但从实质上来说soap请求也是http类型的请求,只。不过把http类型加封一层 webservice协议,所以就变成了soap类型请求。
  http接口:基于HTTP协议的开发接口.这个并不能排除没有使用其他的协议。
  api接口:API(Application Programming Interface)应用程序编程接口,应用也包括网络应用程序,就像api文档基本上就是使用说明书,API接口可以简单理解成“应用程序使用接口”。
  RPC接口:Remote Procedure Calls 远程过程调用 (RPC) 是一种协议,程序可使用这种协议向网络中的另一台计算机上的程序请求服务。由于使用 RPC 的程序不必了解支持通信的网络协议的情况,因此 RPC 提高了程序的互操作性。在 RPC 中,发出请求的程序是客户程序,而提供服务的程序是服务器。 RPC(远程过程调用)是一项广泛用于支持分布式应用程序(不同组件分布在不同计算机上的应用程序)的技术。RPC 的主要目的是为组件提供一种相互通信的方式,使这些组件之间能够相互发出请求并传递这些请求的结果。 没有语言限制。
  RMI:RMI(Remote Method Invocation,远程方法调用)RMI是针对于java语言的, RMI 允许您使用Java编写分布式对象。
  Webservice接口:Webservice是系统对外的接口,比如你要从别的网站或服务器上获取资源或信息,别人肯定不会把数据库共享给你,他只能给你提供一个他们写好的方法来获取数据,你引用他提供的接口就能使用他写好的方法,从而达到数据共享的目的。
  RESTful:简称 REST,是描述了一个架构样式的网络系统,其核心是面向资源,REST专门针对网络应用设计和开发方式,以降低开发的复杂性,提高系统的可伸缩性。REST提出设计概念和准则为:
  1.网络上的所有事物都可以被抽象为资源(resource)。
  2.每一个资源都有唯一的资源标识(resource identifier),对资源的操作不会改变这些标识。
  3.所有的操作都是无状态的。
  http和webservice接口区别:
  httpservice通过post和get得到你想要的东西。
  webservice就是使用soap协议得到你想要的东西,相比httpservice能处理些更加复杂的数据类型。
  http协议传输的都是字符串了,webservice则是包装成了更复杂的对象。
  hessian类似于webservice,但是它采用的是二进制RPC协议(Binary),具有轻量、传输量小、平台无关的特点,特别适合于目前网络带宽比较小的手机网络应用项目。
  测试工具
  Burp Suite,代理拦截,跟踪通信过程和结果,对通信进行重放和二次处理等。
  SOAP, WebService通过Http协议发送请求和接收结果时,发送的请求内容和结果内容都采用XML格式封装,并增加了一些特定的HTTP消息头,以说明HTTP消息头的内容格式,这些特定的HTTP消息头和XML内容格式就是SOAP协议。SOAP提供了标准的RPC方法来调用WebService。
  AWVS, 扫描工具,就不在废话了。
  SOAP测试方法
  first
  我们要先将我们想要测试的接口找到 可以利用Google hacking 当然要是目标测试就简单了 我们可以寻找类似的关键词。
http://www.51testing.com/attachments/2020/08/15326880_202008191337101HtTp.png
  second
  接下来我们要开始利用工具了 打开SOAP这个工具,网上就有破解版,就不细说了直接去百度下载就好了。
  利用功能加入目标链接如上图,我们就可以开始我们的手动测试了,当然这只是我们测试的起点,我们还是要可以完成机械测试的。
  thread
  选择好相对应的参数来进行针对性的测试。
  接下来就可以进行安全探测了。
  利用安全测试进行机械扫描。
http://www.51testing.com/attachments/2020/08/15326880_2020081913371517sPE.jpg
  利用burp进行代理测试
  其实和浏览器的代理设置类似,原理是一样的,只要在软件中设置代理就可以完成burp的使用了。
http://www.51testing.com/attachments/2020/08/15326880_202008191337191DHTe.jpg
http://www.51testing.com/attachments/2020/08/15326880_202008191337241UcY9.jpghttp://www.51testing.com/attachments/2020/08/15326880_202008191337291AhVD.jpg  
  配置好了链接,我们就可以愉快的利用burp进行测试了。
  AWVS批量扫描
  这个就不细说了,安装破解,请自行百度去。
  打开以后直接输入链接开始你的扫描就好了。
  接口漏洞说明
  我从网上总结出来的导向图,这里很明显的写明了测试内容及方法等。
  我们单独拿出一个安全测试案例来讲一下。
  我们打开一个微信的小程序进行抓包。
http://www.51testing.com/attachments/2020/08/15326880_202008191337331DCRs.jpg
  我们抓取人的接口数据,发现内容包含答案字段。
  类似这样的数据返回包。
http://www.51testing.com/attachments/2020/08/15326880_2020081913440117Nfs.jpg
  我们这就可以根据这个字段来进行回答问题了,写上一个批量发送的角本就可以进行答题了,不管是什么问题都可以回答正确了。

Miss_love 发表于 2021-5-7 10:54:41

收藏
页: [1]
查看完整版本: 接口安全简单渗透测试说明