19、API 认证攻击全解析

API 认证攻击全解析

1. 实时令牌捕获分析

Burp Suite 的 Sequencer 可自动让 API 提供商生成 20,000 个令牌用于分析。操作步骤如下：
1. 拦截提供商的令牌生成过程。
2. 配置 Sequencer：在 Burp Suite 中，拦截启动令牌生成过程的请求，选择“Action”（或右键单击请求），然后将其转发到 Sequencer。在 Sequencer 中，确保选择“实时捕获”选项卡，在“Token Location Within Response”下，选择“Configure for the Custom Location”选项，高亮显示生成的令牌并点击“OK”。
3. 开始捕获：选择“Start Live Capture”，Burp Sequencer 开始捕获令牌进行分析。若勾选“Auto analyze”，Sequencer 将在不同阶段显示有效熵结果。

除了进行熵分析，Burp Suite 还会提供大量令牌，可用于绕过安全控制。若令牌字符位置熵较低，可对这些位置进行暴力攻击。例如，若发现某些位置的字符仅包含小写字母或特定范围的数字，可减少请求尝试次数，增强暴力攻击效果。

2. 暴力破解可预测令牌

对于手动负载分析中发现的弱令牌（如最后三个字符变化的令牌），可通过暴力破解字母和数字组合来寻找其他有效令牌。步骤如下：
1. 确定变量：字符级分析表明，令牌“Ab4dt0k3n”的前九个字符保持不变，最后三个字符为变量，且遵循“字母 1 + 字母 2 + 数字”的模式，字母 1 仅包含 a 到 d 之间的字母。
2. 选择工具：可使用 Burp Suite Intru