API测试(一)：PortSwigger靶场笔记

原创

已于 2024-07-15 12:59:52 修改 · 1.3k 阅读

CC 4.0 BY-SA版权

文章标签：

于 2024-07-14 01:27:17 首次发布

这篇文章是关于作者在学习PortSwigger的API Test类型漏洞时的记录和学习笔记
使用到的工具为Burp Suite Pro

API全称为Application Interface，是应用程序对外提供功能的接口，现在主要有三种api风格，分别是JSON风格的api，RESTful风格的api以及Graphic风格的api

请求获取用户信息

POST /api/getUser HTTP/1.1
Host: example.com
Content-Type: application/json

{
  "userId": 1
}

请求获取用户信息

GET /api/users/1 HTTP/1.1
Host: example.com

请求修改用户信息

POST /api/users HTTP/1.1
Host: example.com
Content-Type: application/json

{
  "name": "Jane Doe",
  "email": "jane.doe@example.com"
}

请求获取用户信息

POST /graphql HTTP/1.1
Host: example.com
Content-Type: application/json

{
  "query": "{ user(id: 1) { id, name, email } }"
}

API测试这种漏洞主要包含了对开放api期望运行逻辑的破坏以及对未开放的api的检测和调用，导致的危害可能有敏感信息泄露，应用行为被改变等
这篇文章主要讨论JSON和RESTful APIs
当你在测试一个api的时候，关注下面这些点：

HTTP1.0定义了三种请求方法： GET、POST、HEAD

GET方法请求一个指定资源的表示形式，使用 GET的请求应该只被用于获取数据。
HEAD方法请求一个与 GET请求的响应相同的响应，但没有响应体。
POST方法用于将实体提交到指定的资源，通常导致在服务器上的状态变化或副作用。
HTTP1.1新增了六种请求方法：OPTIONS、PUT、DELETE、TRACE 、CONNECT、PATCH
OPTIONS方法用于描述目标资源的通信选项。
PUT方法用有效载荷请求替换目标资源的所有当前表示。
DELETE方法删除指定的资源。
TRACE方法沿着到目标资源的路径执行一个消息环回测试。
CONNECT方法建立一个到由目标资源标识的服务器的隧道。
PATCH方法用于对资源应用部分修改。

以下是最常使用的10种Content-Type
application/json