20、API模糊测试全解析

API模糊测试全解析

1. 模糊测试基础

模糊测试是一种通过向API端点发送各种类型的输入请求，以引发意外结果的测试方法。成功发现API漏洞的关键在于明确模糊测试的位置和使用的输入内容。

在进行模糊测试时，输入类型多种多样，包括符号、数字、表情符号、小数、十六进制、系统命令、SQL输入和NoSQL输入等。若API未对有害输入进行验证检查，可能会导致详细错误、独特响应，甚至引发内部服务器错误，造成应用程序拒绝服务。

例如，一个银行API的转账请求如下：

POST /account/balance/transfer
Host: bank.com
x-access-token: hapi_token
{
    "userid": 12345,
    "account": 224466,
    "transfer-amount": 1337.25
}

对该请求进行模糊测试时，若直接使用Burp Suite或Wfuzz发送大负载作为用户ID、账户和转账金额的值，可能触发防御机制，导致更严格的速率限制或令牌被阻止。若API缺乏这些安全控制，则可大胆尝试；否则，最好一次只针对一个值发送少量有针对性的请求。

转账金额通常期望是一个相对较小的小数，因此可以尝试以下输入：
- 千万亿级别的值
- 字母字符串而非数字
- 大的小数或负数
- 空值，如null、(null)、%00和0x00
- 符号，如!@#$%^&*();’:’‘|,./?>

这些请求可能会导致详细错误，揭示更多关于应用程序的信息，例如千万亿级别的值可能会引发未