21、简化API攻击：工具与策略

简化API攻击：工具与策略

1. JWT4B与攻击JWT

JWT4B是一款强大的工具，它允许我们拦截包含JWT（JSON Web Token）的授权头请求。其功能包括替换请求中的有效负载，并且可以使用相同的密钥（如果我们拥有）、随机密钥重新签名，甚至还能更改签名算法。借助JWT4B，攻击JWT的实现变得更加简单，因为它能为我们完成一些繁重的工作。

2. 测试Web应用与API面临的挑战

在测试典型的Web应用时，我们通常会将系统代理配置为指向Burp Suite。这样一来，在浏览应用的过程中，所有请求都能被检查。由于用户界面会为我们构建请求，并且Burp可以在网络上捕获这些请求，因此发起攻击变得相对容易。在正常操作中，用户在搜索字段中输入数据，应用会构建包含所有适当参数的GET或POST请求，然后通过网络发送。这些有效的请求可以用于重放、修改和通过攻击代理进行扫描。当有用户界面驱动流量生成时，发现漏洞的过程会简单得多。

然而，如果没有用户界面组件，只有API端点和一些文档可供参考，构建一系列curl请求并手动解析响应将变得非常繁琐。对于需要身份验证的复杂Web服务，请求令牌更是一场噩梦。

3. Postman：API测试的得力助手

Postman是一款出色的工具，它可以帮助我们构建针对目标API的请求集合，让测试变得轻松愉快。如果客户端和开发人员能够提供支持，使用Postman进行测试会更加高效。客户端可以提供已经生成好的请求集合，这将大大加快应用测试的过程。

Postman支持Collections功能，这本质上是一系列完全可定制的API测试。开发人员或其他测试人员可以创建这些集合，其中包含