接口安全简单渗透测试说明
接口分类从平台划分：分为内部接口和外部接口。
从类型/协议来说：分为http接口和soap （webservice）接口。
http接口：通过get和post来获取数据，在数据处理上效率比较高。
webservice接口：通过soap协议来获取数据，比起http来说能处理更加复杂的数据类型。
但从实质上来说soap请求也是http类型的请求，只。不过把http类型加封一层 webservice协议，所以就变成了soap类型请求。
http接口:基于HTTP协议的开发接口.这个并不能排除没有使用其他的协议。
api接口:API（Application Programming Interface）应用程序编程接口，应用也包括网络应用程序，就像api文档基本上就是使用说明书，API接口可以简单理解成“应用程序使用接口”。
RPC接口：Remote Procedure Calls 远程过程调用 (RPC) 是一种协议，程序可使用这种协议向网络中的另一台计算机上的程序请求服务。由于使用 RPC 的程序不必了解支持通信的网络协议的情况，因此 RPC 提高了程序的互操作性。在 RPC 中，发出请求的程序是客户程序，而提供服务的程序是服务器。 RPC（远程过程调用）是一项广泛用于支持分布式应用程序（不同组件分布在不同计算机上的应用程序）的技术。RPC 的主要目的是为组件提供一种相互通信的方式，使这些组件之间能够相互发出请求并传递这些请求的结果。 没有语言限制。
RMI：RMI（Remote Method Invocation，远程方法调用）RMI是针对于java语言的， RMI 允许您使用Java编写分布式对象。
Webservice接口：Webservice是系统对外的接口，比如你要从别的网站或服务器上获取资源或信息，别人肯定不会把数据库共享给你，他只能给你提供一个他们写好的方法来获取数据，你引用他提供的接口就能使用他写好的方法，从而达到数据共享的目的。
RESTful：简称 REST,是描述了一个架构样式的网络系统，其核心是面向资源，REST专门针对网络应用设计和开发方式，以降低开发的复杂性，提高系统的可伸缩性。REST提出设计概念和准则为：
1.网络上的所有事物都可以被抽象为资源(resource)。
2.每一个资源都有唯一的资源标识(resource identifier)，对资源的操作不会改变这些标识。
3.所有的操作都是无状态的。
http和webservice接口区别:
httpservice通过post和get得到你想要的东西。
webservice就是使用soap协议得到你想要的东西，相比httpservice能处理些更加复杂的数据类型。
http协议传输的都是字符串了，webservice则是包装成了更复杂的对象。
hessian类似于webservice，但是它采用的是二进制RPC协议（Binary），具有轻量、传输量小、平台无关的特点，特别适合于目前网络带宽比较小的手机网络应用项目。
测试工具
Burp Suite，代理拦截，跟踪通信过程和结果，对通信进行重放和二次处理等。
SOAP, WebService通过Http协议发送请求和接收结果时，发送的请求内容和结果内容都采用XML格式封装，并增加了一些特定的HTTP消息头，以说明HTTP消息头的内容格式，这些特定的HTTP消息头和XML内容格式就是SOAP协议。SOAP提供了标准的RPC方法来调用WebService。
AWVS, 扫描工具,就不在废话了。
SOAP测试方法
first
我们要先将我们想要测试的接口找到 可以利用Google hacking 当然要是目标测试就简单了 我们可以寻找类似的关键词。
http://www.51testing.com/attachments/2020/08/15326880_202008191337101HtTp.png
second
接下来我们要开始利用工具了 打开SOAP这个工具,网上就有破解版,就不细说了直接去百度下载就好了。
利用功能加入目标链接如上图,我们就可以开始我们的手动测试了,当然这只是我们测试的起点,我们还是要可以完成机械测试的。
thread
选择好相对应的参数来进行针对性的测试。
接下来就可以进行安全探测了。
利用安全测试进行机械扫描。
http://www.51testing.com/attachments/2020/08/15326880_2020081913371517sPE.jpg
利用burp进行代理测试
其实和浏览器的代理设置类似,原理是一样的,只要在软件中设置代理就可以完成burp的使用了。
http://www.51testing.com/attachments/2020/08/15326880_202008191337191DHTe.jpg
http://www.51testing.com/attachments/2020/08/15326880_202008191337241UcY9.jpghttp://www.51testing.com/attachments/2020/08/15326880_202008191337291AhVD.jpg
配置好了链接,我们就可以愉快的利用burp进行测试了。
AWVS批量扫描
这个就不细说了,安装破解,请自行百度去。
打开以后直接输入链接开始你的扫描就好了。
接口漏洞说明
我从网上总结出来的导向图,这里很明显的写明了测试内容及方法等。
我们单独拿出一个安全测试案例来讲一下。
我们打开一个微信的小程序进行抓包。
http://www.51testing.com/attachments/2020/08/15326880_202008191337331DCRs.jpg
我们抓取人的接口数据,发现内容包含答案字段。
类似这样的数据返回包。
http://www.51testing.com/attachments/2020/08/15326880_2020081913440117Nfs.jpg
我们这就可以根据这个字段来进行回答问题了,写上一个批量发送的角本就可以进行答题了,不管是什么问题都可以回答正确了。
收藏
页:
[1]
