一份非常详细的API安全.pdf

介绍：

本文档是一份全面而深入的API安全指南，涵盖了从基础理论到实战渗透的完整知识体系。内容系统性地介绍了API的基本概念、通信协议（如RPC、Web Service、RESTful、GraphQL、WebSocket等）、常见数据格式（JSON、XML、YAML）以及API生命周期中的各类安全威胁。

文档重点围绕OWASP API Security Top 10（2019与2023版本）展开，详细分析了十大API安全风险（如BOLA、BFLA、注入、SSRF等），并提供了具体的测试方法、工具推荐和防范措施。此外，还包含了丰富的实战案例，涵盖SOAP API、REST API、GraphQL API等多种类型的接口安全测试，并附有工具使用说明、代码示例和漏洞复现步骤。

无论是安全研究人员、开发人员还是渗透测试工程师，都能从本文档中获得实用的API安全测试思路、技术方法和最佳实践，助力构建更安全的API服务体系。

目录：

- API安全 (Page 1)
- API基础理论 (Page 1)
- 远程过程调用-RPC (Page 1)
- Web Service (Page 1)
- RESTful API (Page 2)
- MVC、MVP、MVVM (Page 2)
- 应用程序接口 (Page 2)
- API数据格式 (Page 3)
- API请求方式 (Page 5)
- API一般结构 (Page 5)
- API安全测试 (Page 6)
- API渗透脑图 (Page 6)
- API安全问题和API测试思路 (Page 6)
- API生命周期 (Page 6)
- API面临的威胁 (Page 6)
- 失效的对象级别授权 (Page 7)
- 失效的用户身份认证 (Page 8)
- 过度的数据暴露 (Page 8)
- 资源缺乏和速率限制 (Page 9)
- 失效的功能级授权 (Page 10)
- 批量分配 (Page 11)
- 安全配置错误 (Page 12)
- 注入 (Page 13)
- 资产管理不当 (Page 14)
- 日志和监视不足 (Page 15)
- API测试常见工具 (Page 17)
- SOAP UI (Page 17)
- Postman (Page 17)
- SocketTool  (Page 17)
- ApiPost (Page 17)
- Mockoon (Page 17)
- API测试思路 (Page 18)
- 测试用法和方法 (Page 19)
- 认证和授权类测试用例 (Page 19)
- 逻辑和滥用类测试用例 (Page 19)
- 输入控制类测试用例 (Page 20)
- 信息泄露类测试用例 (Page 21)
- 响应头类测试用例 (Page 22)
- 保密性测试用例 (Page 22)
- 风险规避措施 (Page 23)
- API安全成熟度模型 (Page 23)
- OWASP API Security Top 10 (Page 23)
- 基本介绍 (Page 23)
- OWASP 2023 年和 2019 年十大 API 列表 (Page 24)
- 一、持续不变的风险 (Page 24)
- 二、新增的风险 (Page 24)
- 三、更新的风险 (Page 24)
- 四、删除的风险  (Page 24)
- 基于API结构的安全测试 (Page 25)
- API接口渗透测试 (Page 25)
- API-Security-Checklist (Page 28)
- 开发安全的 API 所需要核对的清单 (Page 28)
- 身份认证 (Page 28)
- JWT（JSON Web Token） (Page 28)
- 访问 (Page 28)
- Authorization (Page 29)
- 授权或认证协议 (Page 29)
- 输入 (Page 29)
- 处理 (Page 29)
- 输出 (Page 29)
- 持续集成和持续部署 (Page 30)
- 监控 (Page 30)
- 也可以看看 (Page 30)
- SOAP API安全测试 (Page 30)
- 0x1、理论介绍 (Page 30)
- 1、Web Service和SOAP (Page 30)
- 2、SOAP API和REST API (Page 30)
- 3、SOAP API结构 (Page 31)
- 4、SOAP 1.1和SOAP 1.2 (Page 31)
- 0x2、SOAP API 查寻 (Page 32)
- 0x3、SOAP API安全问题 (Page 33)
- 0x4、实操演示 (Page 33)
- Csharp-vulnsoap (Page 33)
- Erlik-Vulnerable Soap Service (Page 35)
- Vulnerable-Web-Services (Page 40)
- vulny-spring-soap-api (Page 40)
- REST API安全测试 (Page 40)
- 0x1、理论介绍 (Page 41)
- REST (Page 41)
- REST和Restful (Page 41)
- 0x2、RESTful 接口Demo (Page 41)
- 0x3、测试案例 (Page 42)
- OWASP Mutillidae II: Keep Calm and Pwn On  (Page 42)
- Vulnerable REST API - OWASP 2023 (Page 43)
- Hadoop 未授权REST API漏洞利用 (Page 44)
- Joomla未授权访问Rest API漏洞--CVE-2023-23752 (Page 46)
- xxl-job 执行器 RESTful API 未授权访问 RCE (Page 56)
- GraphQL API安全测试 (Page 62)
- 0x1、GraphQL介绍 (Page 62)
- 1、RESTful 和GraphQL  (Page 62)
- 2、查询方式 (Page 63)
- 0x2、GraphQL API识别 (Page 63)
- 1、基本路径判断 (Page 63)
- 2、查询探测 (Page 64)
- 3、内省查询 (Page 64)
- 4、报错 (Page 64)
- 0X3、GraphQL API安全问题 (Page 64)
- 1、内省查询攻击(属于信息泄露) (Page 64)
- 2、拒绝式服务攻击 (Page 65)
- 3、越权 (Page 67)
- 4、SSRF (Page 75)
- 5、RCE (Page 75)
- 6、XSS (Page 76)
- 7、SQL (Page 76)
- 8、任意文件读取 (Page 77)
- 9、爆破 (Page 77)
- 0x4、其他案例实践 (Page 78)
- Accidental exposure of private GraphQL fields (Page 78)
- Finding a hidden GraphQL endpoint (Page 80)
- Bypassing GraphQL brute force protections (Page 84)
- 0x5、工具 (Page 99)
- InQL (Page 100)
- APIkit (Page 100)
- Voyager (Page 100)
- GraphQL Visualizer (Page 100)
- Nmap (Page 100)
- GraphQLmap (Page 100)
- Graphiql (Page 101)
- 0x6、参考 (Page 101)
- Web Socket安全测试 (Page 101)
- 0x1、基本介绍 (Page 101)
- 1、WebSocket 基础帧结构 (Page 101)
- 2、抓包分析 (Page 102)
- 0x2、安全问题 (Page 104)
- 0x3、本地靶场测试学习 (Page 107)
- 1、Brute Force (Page 107)
- 2、Command Execution (Page 110)
- 3、CSRF (Page 110)
- 4、File include (Page 112)
- 5、SQL injection (Page 112)
- 6、XSS (Page 134)
- 0x4、线上环境测试学习 (Page 135)
- Manipulating WebSocket messages to exploit vulnerabilities (Page 136)
- Cross-site WebSocket hijacking（CSWSH） (Page 136)
- 0x5、WebSocket风险防御 (Page 138)
- 0x6、参考 (Page 139)
- Webpack安全测试 (Page 139)
- 0x1、Webpack介绍和使用 (Page 139)
- Webpack测试工具 (Page 139)
- SourceDetector (Page 139)
- Packer-Fuzzer (Page 139)
- 0x6、参考 (Page 140)
- gRPC API安全测试 (Page 140)
- 0x1、RPC协议介绍 (Page 140)
- 概念 (Page 140)
- RPC 框架 (Page 140)
- 0x2、gRPC协议介绍 (Page 141)
- 使用场景 (Page 141)
- gRPC API特性   (Page 142)
- HTTP 2.0 (Page 142)
- 二进制帧 (Page 142)
- gRPC通信加密 (Page 143)
- gRPC API安全风险 (Page 143)
- 0x3、测试环境 (Page 144)
- gRPCDemo (Page 144)
- Wireshark抓包简单分析gRPC (Page 147)
- 无proto文件下的测试 (Page 148)
- 0x4、安全测试 (Page 150)
- 数据枚举 (Page 151)
- SQL注入 (Page 152)
- 过度数据暴露 (Page 152)
- CVE-2023-44487（拒绝式服务攻击） (Page 152)
- 0x5、扩展学习资料 (Page 153)
- MQTT 接口安全 (Page 153)
- 0x1、基本介绍 (Page 153)
- 0x2、协议格式 (Page 155)
- 2.1、MQTT消息报文 (Page 155)
- 2.2、CONNECT消息 (Page 155)
- 2.3、MQTT协议数据包结构 (Page 155)
- 0x3、MQTT服务器搭建 (Page 156)
- 0x4、MQTT安全问题 (Page 157)
- 4.1认证/授权缺陷 (Page 157)
- 4.1.1.匿名连接登陆 (Page 157)
- 4.1.2.用户密码暴力破解 (Page 158)
- 4.1.3.伪冒订阅者/发布者攻击 (Page 158)
- 4.2嗅探账号密码   (Page 158)
- 4.3账号密码泄露 (Page 158)
- 4.3应用程序安全漏洞 (Page 159)
- 4.3.1、程序自身漏洞 (Page 159)
- 4.3.2、管理平台默认口令 (Page 159)
- 4.4 练习靶场 (Page 160)
- 0x5、测试工具 (Page 160)
- MQTTX (Page 160)
- MQTT安全测试工具 (MQTT Security Tools) (Page 160)
- hbmqt (Page 161)
- 0x3、参考 (Page 161)
- API安全基础测试案例 (Page 161)
- API基础环境练习 (Page 162)
- APISandbox (Page 162)
- 简介 (Page 162)
- 使用 (Page 162)
- 靶场测试点 (Page 163)
- API泄漏 (Page 163)
- API1: Broken object level authorization —失效的对象级授权 (Page 163)
- 先做API4，通过爆破获取到可登录的数据。 (Page 163)
- API2: Broken authentication—失效的用户认证 (Page 163)
- API3: Excessive data exposure —过度的数据暴露 (Page 164)
- API4: Lack of resources and rate limiting —资源缺失 & 速率限制 (Page 164)
- API5: Broken function level authorization —功能级别授权已损坏 (Page 164)
- API6: Mass assignment —批量分配 (Page 165)
- API7: Security misconfiguration —安全性错误配置 (Page 165)
- API8: Injection —注入 (Page 165)
- API9: Improper assets management —资产管理不当 (Page 165)
- API10: Insufficient logging and monitoring—日志和监控不足 (Page 165)
- CrAPI (Page 166)
- Vapi (Page 166)
- Kontra - OWASP Top 10 for API (Page 167)
- ShipFast - Practical API Security Walkthrough (Page 167)
- Hacker101 CTFs - GraphQL challenges (Page 167)
- 企业内网应用API测试(未授权) (Page 167)
- web1漏洞风险 (Page 168)
- 横向移动 (Page 170)
- GraphQL留言板API漏洞 (Page 173)
- API信息泄露引发的测试 (Page 176)
- 1、介绍 (Page 176)
- 2、信息收集 (Page 176)
- 端口信息 (Page 177)
- 接口信息 (Page 178)
- 目录信息 (Page 180)
- 前端JS信息 (Page 180)
- 3、信息利用 (Page 182)
- 登录下载备份文件 (Page 182)
- 爆破SSH (Page 192)
- API安全基础 (Page 193)
- API资产识别 (Page 193)
- 一、API资产识别技术概述 (Page 193)
- 1、API资产梳理究竟有什么意义？ (Page 193)
- 2、API资产如何界定？ (Page 194)
- 3、现有API识别手段或者方式的误区是什么？ (Page 194)
- 4、各类识别手段对比，企业该如何选择？ (Page 195)
- 二、API协议与风格  (Page 196)
- 1、RESTful API (Page 196)
- 2、GraphQL API (Page 197)
- 3、SOAP API (Page 198)
- 4、gRPC API (Page 199)
- 5、类XML—RPC API及其他技术类型API (Page 199)
- 6、特殊API (Page 199)
- 三、识别流量中的API (Page 199)
- 1、Restful API识别 (Page 201)
- 2、GraphQL API识别 (Page 201)
- 3、SOAP API识别 (Page 202)
- Swagger-ui (Page 203)
- Swagger介绍 (Page 203)
- 测试方法 (Page 203)
- 常见的swagger-ui路径 (Page 203)
- 自动化工具 (Page 205)
- 挖掘后台API (Page 205)
- 绕过API接口403的方法 (Page 206)
- Command2API - 万物皆可API (Page 206)
- 接口文档下的渗透测试 (Page 208)
- Swagger-ui未授权访问漏洞 (Page 208)
- Web Service 测试 (Page 208)
- 查询Web Service接口 (Page 209)
- Google hacking (Page 209)
- fuzzing (Page 209)
- 爬虫 (Page 209)
- 测试工具 (Page 211)
- API学习资料 (Page 211)
- Awesome Repositories (Page 212)
- Tools (Page 212)
- Mind maps (Page 213)
- Checklist (Page 213)
- Cheatsheets (Page 214)
- Wiki's, Encyclopedias, GitBook's (Page 214)
- Books (Page 215)
- Training, Walkthrough, Labs (Page 215)
- Enumeration, Scanning (Page 215)
- Fuzzing, SecLists (Page 215)
- API Keys: Find and validate (Page 216)
- Firewalls (Page 216)
- Deliberately vulnerable APIs (Page 217)
- Presentations, Videos (Page 217)
- Playlists (Page 218)
- Podcasts (Page 218)
- Projects (Page 218)
- Newsletters (Page 218)
- Twitter (Page 218)
- HTTP 101 (Page 218)
- Design, Architecture, Development (Page 219)
- Specifications (Page 220)
- Other useful resources (Page 220)
- API测试工具 (Page 221)
- SoapUI (Page 222)
- 基本介绍 (Page 222)
- 实操使用 (Page 222)
- 接口业务getAreaDataSet (Page 223)
- 接口业务getAreaString   (Page 225)
- 接口业务getTVchannelDataSet  (Page 226)
- 接口业务getTVstationString   (Page 226)
- 测试用例 (Page 227)
- 步骤测试 (Page 227)
- 安全测试 (Page 233)
- SoapUI和BurpSuite联动 (Page 235)
- Postman (Page 236)
- 商业API检测平台 (Page 236)
- 商业API检测工具和平台 (Page 237)
- APIsec (Page 237)
- AppKnox (Page 237)
- Data Theorem API Secure (Page 237)
- Postman (Page 237)
- Smartbear ReadyAPI (Page 237)
- Synopsys API Scanner (Page 237)
- 开源API检测工具 (Page 238)
- Astra (Page 238)
- crAPI (Page 238)
- Apache JMeter (Page 238)
- Taurus (Page 238)
- scalpel (Page 238)
- 快速使用 (Page 238)
- BP插件 (Page 239)
- IDOR_detect_tool (Page 239)
- 介绍 (Page 239)
- 特点 (Page 239)
- Swagger-exp (Page 239)
- APIDetector (Page 240)

预览：