16、API 端点分析与测试全攻略

API 端点分析与测试全攻略

在发现了一些 API 之后，就该开始使用和测试所找到的端点了。本文将涵盖与端点交互、测试其漏洞，甚至可能获得一些早期成果。这里所说的“早期成果”，指的是在测试阶段有时会出现的关键漏洞或数据泄露。API 是一种特殊的目标，因为绕过防火墙和端点安全可能不需要高级技能，而只需要知道如何按设计使用端点。

1. 寻找请求信息

如果你习惯攻击 Web 应用程序，那么寻找 API 漏洞的过程应该会有些熟悉。主要区别在于，不再有搜索栏、登录字段和上传文件按钮等明显的图形用户界面（GUI）提示。API 攻击依赖于 GUI 中那些元素的后端操作，即带有查询参数的 GET 请求以及大多数 POST/PUT/UPDATE/DELETE 请求。

在向 API 发起请求之前，需要了解其端点、请求参数、必要的请求头、认证要求和管理功能。文档通常会指向这些元素。因此，要成为一名成功的 API 黑客，需要知道如何阅读和使用 API 文档，以及如何找到它。更好的是，如果能找到 API 的规范，就可以直接将其导入 Postman 来自动生成请求。

当进行黑盒 API 测试且确实没有文档时，就需要自己逆向工程 API 请求。需要彻底对 API 进行模糊测试，以发现端点、参数和请求头要求，从而绘制出 API 及其功能的地图。

2. 从文档中查找信息

API 文档是 API 提供者为 API 消费者发布的一组说明。由于公共和合作伙伴 API 是为自助服务而设计的，公共用户或合作伙伴应该能够找到文档，理解如何使用 API，并在无需提供者协助的情况下使用。文档通常位于以下目录中：
- https://example.com/