17、API 端点分析与漏洞检测实战指南

最新推荐文章于 2025-11-10 18:12:12 发布

blue

最新推荐文章于 2025-11-10 18:12:12 发布

阅读量58

点赞数

CC 4.0 BY-SA版权

分类专栏： API安全攻防实战文章标签： API端点分析漏洞检测 Kiterunner

本文链接：https://blog.youkuaiyun.com/blue/article/details/151666959

API安全攻防实战专栏收录该内容

29 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

API 端点分析与漏洞检测实战指南

1. Kiterunner 扫描与端点识别

Kiterunner 不仅能提供有效的端点列表，还会给出有趣的 HTTP 方法和参数。例如，在 Pixi 注册过程中，我们可以使用提供的 x - access - token，将完整的授权头添加到 Kiterunner 扫描中：

$ kr scan http://192.168.50.35:8090 -w ~/api/wordlists/data/kiterunner/routes-large.kite -H 'x-access-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyIjp7Il9pZCI6NDUsImVtYWlsIjoiaGFwaUBoYWNrZXIuY29tIiwicGFzc3dvcmQiOiJQYXNzd29yZDEhIiwibmFtZSI6Im15c2VsZmNyeSIsInBpYyI6Imh0dHBzOi8vczMuYW1hem9uYXdzLmNvbS91aWZhY2VzL2ZhY2VzL3R3aXR0ZXIvZ2FicmllbHJvc3Nlci8xMjguanBnIiwiaXNfYWRtaW4iOmZhbHNlLCJhY2NvdW50X2JhbGFuY2UiOjUwLCJhbGxfcGljdHVyZXMiOltdfSwiaWF0IjoxNjMxNDE2OTYwfQ._qoC_kgv6qlbPLFuH07-DXRUm9wHgBn_GD7QWYwvzFk'

此扫描会识别出以下端点：
| 方法 | 状态码 | 响应信息 | 端点 |
|