51Testing软件测试论坛

标题: API安全测试方法论 [打印本页]

作者: lsekfe    时间: 2021-5-12 11:51
标题: API安全测试方法论
 API安全概述
  Application Programma Interface (API)由一组定义和协议组合而成,可用于构建和企业集成应用软件。随着数字化转型的深入,API产品的价值日益增高,特别是与微服务、DevOps等技术的融合,使得API成为企业战略发展加速的利器,但随之而来的安全问题也不容忽视。常见的API安全漏洞有以下五种:

  1、首先是API应该与应用系统一样在设计之初就考虑安全的因素,比如防篡改(签名)、防重放(时间戳)、防止敏感信息泄露(传输加密与数据最小化)等。
  2、API规范性带来的一个问题就是API很容易被发现,比如在URL中出现的v1/login,参数中出现的"function": "login"等。
  3、安全配置错误常常包括:未使用加密传输协议、CSRF、CORS等。
  4、参数过多就会导致信息泄露以及便于攻击者执行频率分析攻击,比如"role": "user"容易让攻击者联想到"role": "admin"等。
  5、数据过多:传输过多的数据、返回过多的数据、参数值暴露敏感信息等都是数据过多导致的安全问题。
  同时OWASP在2019年也列举了API最受关注的十大安全问题:

  从上述的两张图中我们就可以大体了解API常面临的风险是什么,那么如何来解决这些安全问题?
  API安全测试方法
  要想全面解决API的安全问题,就要在每次API研发完成之后进行全面的安全测试,为了防止测试过程中出现的遗漏,我们可以准备一个检查列表v1.0(本列表主要来自:https://github.com/shieldfy/API- ... master/README-zh.md,添加了一些自己的分类依据、测试方法、修复方案等):

  API安全测试工具
  很多时候重复的劳动力是不必要的,所以利用好工具事半功倍(工欲善其事必先利其器)。
  Astra
  https://github.com/flipkart-incubator/Astra
  安装Astra非常简单,我们直接使用Docker部署即可(官网已经有了详细说明,值得注意的是编译Astra时网络是个大问题,自行扶墙)
  Burp Suite
  Burp的强大之处不用多说,但是针对API的测试,我更喜欢把BurpSuite与Postman结合起来使用。
  fuzzapi
  https://github.com/Fuzzapi/fuzzapi
  安装过程不赘述。
  Postman
  结合Burp来使用,后期有空专门写BurpSuite + Postman。
  其实写本文主要是为了帮自己梳理一下API的安全漏洞和检查要点,上面的图只是一个1.0版本,并且本表的很多列我也暂时没有共享出来,后期2.0会更新。
  reference
  · API Security Checklist:https://github.com/shieldfy/API-Security-Checklist
  · API的五个常见漏洞:https://min.news/zh-cn/tech/24cceb1c0d9169a7dc68e58e0e669864.html
  · API接口渗透测试:https://xz.aliyun.com/t/2412
  · 应用程序接口(API)安全:https://www.freebuf.com/articles/web/248251.html






欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/) Powered by Discuz! X3.2