第六十六天 API安全-接口安全&阿里云KEY%postman&DVWS&XEE&鉴权&泄露

第66天 API安全-接口安全&阿里云KEY%postman&DVWS&XEE&鉴权&泄露

知识点

1.HTTP类接口-测评
2.RPC类接口-测评
3.Web Service类-测评
参考链接：https://www.jianshu.com/p/e48db27d7c70

内容点：

SOAP(Simple Object Access Protocol)简单对象访问协议是交换数据的一种协议规范，
是一种轻量的、简单的、基于XML（标准通用标记语言下的一个子集）的协议，它被设计
成在WEB上交换结构化的和固化的信息，SOAP不是Web Servicet的专有协议，
SOAP使用HTTP来发送XML格式的数据，可以简单理解为：SOAP=HTTP+XML

REST(Representational State Transfer)即表述性状态传递，在三种主流的Web服务实
现方案中，因为REST模式的Wb服务与复杂的SOAP和XML-RPC对比来讲明显的更加简
洁，越来越多的Web服务开始采用REST风格设计和实现。例如，Amazon.com提供接近
REST风格的Web服务进行图书查找；雅虎提供的Web服务也是REST风格的。

WSDL(Web Services Description Language)即网络服务描述语言，用于描述Web服务
的公共接口。这是一个基于XML的关于如何与Wb服务通讯和使用的服务描述；也就是描
述与目录中列出的Wb服务进行交互时需要绑定的协议和信息格式。通常采用抽象语言描
述该服务支持的操作和信息，使用的时候再将实际的网络协议和信息格式绑定给该服务。

接口数据包：

Method:请求方法
攻击方式：OPTIONS,PUT,MOVE,DELETE
效果：上传恶意文件，修改页面等
URL:唯一资源定位符
攻击方式：猜测，遍历，跳转
效果：未授权访问等
Params:请求参数
攻击方式：构造参数，修改参数，遍历，重发
效果：爆破，越权，未授权访问，突破业务逻辑等
Authorization:认证方式
攻击方式：身份伪造，身份篡改
效果：越权，未授权访问等
Headers:清求消息头
攻击方式：拦截数据包，改Hosts,
改Referer,改Content-Type等
效果：绕过身份认证，绕过Referer验证，绕过类型验证，DDOS等
Body:消息体
攻击方式：SQL注入，XML注入，反序列化等
效果：提权，突破业务逻辑，未授权访问等

安全问题：

XSS跨站，信息泄露，暴力破解，文件上传，未授权访问，JWT授权认证，接口滥用等

演示案例：

工具使用-Postman自动化汉测试
安全问题-Dvws泄世漏&鉴权&XE
安全问题-阿里KEY信息泄漏利用
应用方向-违法APP打包接口分析

工具使用-Postman自动化测试

https://www.postman.com/downloads/

安全问题-Dvws世是&鉴权&OXE

https://github.com/snoopysecurity/dvws-node
1、注册时抓包可尝试修改admin为ture，看看能否绕过jwt验证
登录返回的数据包为admin，false

修改登录数据包为admin=true

2、通过数据包中body的格式判断提交请求的格式为xml格式，尝试是否存在XXE漏洞，利用XXE可以实现读取文件、若误回显可以尝试外部实体注入或者使用dnslog检测漏洞存在
复现：在用户数据搜索出抓包，看到格式为xml格式，尝试使用xxe漏洞读取到文件

安全问题-阿里云KEY信息池漏利用

https://yun.cloudbility.com/
https://github.com/mrknow001/aliyun-accesskey-Tools
接口配置文件泄漏导致云资源生机受控
目前为止，云服务器已经占据了服务器的大部分市场，由于云服务器易管理，操作性强，安全程度高。很多大型厂商都选择将资产部署在云服务上，但安全的同时由于运维人员的疏忽也会导致一些非预期的突破口。当云产品Accesskey在调用过程中，出现泄漏会导致对象控制资源全部被控，影响严重！
1、常规获取Accesskey方式
-通过源码泄漏配置文件
-通过应用程序报错读取
-通过JS文件引用中获取
如图：页面报错

如图：源码配置

应用方向违法APP打包接口分析

完整的分析流程：burp抓包找到真实访问的域名地址—通过信息收集到含有使用webpack组件的网站
–使用/Packer-Fuzzer工具扫描