8、常见 API 漏洞解析

常见 API 漏洞解析

1. 概述

API 在现代应用程序中扮演着至关重要的角色，但同时也存在着各种安全漏洞。了解这些漏洞对于保障系统安全至关重要。本文将详细介绍几种常见的 API 漏洞，包括 BOLA、用户认证漏洞、数据过度暴露、资源和速率限制缺失、功能级别授权破坏、大规模赋值以及安全配置错误等。

2. BOLA（Broken Object Level Authorization）

2.1 定义

BOLA 指应用程序未能验证用户只能访问自己的资源。可预测的对象 ID 并不一定意味着发现了 BOLA 漏洞，只有当应用程序无法正确验证用户对资源的访问权限时，才存在该漏洞。

2.2 测试方法

通过了解 API 资源的结构，尝试访问本不应访问的资源来测试 BOLA 漏洞。可以通过检测 API 路径和参数中的模式，预测其他潜在资源。例如：

GET /api/resource/1
GET /user/account/find?user_id=15
POST /company/account/Apple/balance
POST /admin/pwreset/account/90

通过修改上述请求中的关键值，如：

GET /api/resource/3
GET /user/account/find?user_id=23
POST /company/account/Google/balance
POST /admin/pwreset/account/111

若能成功访问未授权的信息