当前位置： 首页 > news >正文

API攻防-接口安全SOAPOpenAPIRESTful分类特征导入项目联动检测

news 2026/2/6 14:46:15

文章目录

  • 概述
    • 什么是接口？
  • 1、API分类特征
    • SOAP - WSDL
      • Web services 三种基本元素：
    • OpenApi - Swagger UI
    • Springboot Actuator
  • 2、API检测流程
    • Method：请求方法
    • URL：唯一资源定位符
    • Params：请求参数
    • Authorization：认证方式
    • Headers：请求消息头
  • 3、API检测项目
    • Ready API
    • Postman 联动Xray
    • APIKIT Burp插件
    • 补一个案例
    • vapi靶场搭建
    • 相关项目链接
  • 参考

概述

什么是接口？

接口是后端设计的一套供给第三方使用的方法
举个例子，fofa提供了第三方api接口来进行调用，使用查询语法获取资产目标资产信息
在这里插入图片描述输入相关参数进行调用
在这里插入图片描述API安全就是围绕着这一个接口进行的，可能存在的漏洞包括：SQL注入、身份验证、信息泄漏、XSS跨站等

1、API分类特征

SOAP - WSDL

Web Service是基于网络的、分布式的模块化组件，通过 Web 进行发布、查找和使用**。**是应用程序组件使用开放协议进行通信， 是独立的（self-contained）并可自我描述， 可通过使用UDDI来发现，可被其他应用程序使用。
交互过程
Web Services 都是放在Web服务器（如IIS）的。
WebService服务器端首先要通过一个WSDL文件来说明自己有什么服务可以对外调用，并注册到UDDI服务器，以便被人查找。
客户根据 WSDL 描述文档，使用XML封装一个 SOAP 请求消息，嵌入在一个HTTP POST请求中，发送到 Web 服务器来。
Web 服务器再把这些请求转发给 Web Services 请求处理器。
由请求处理器解析收到的 SOAP 请求，调用 Web Services，然后再生成相应的 SOAP 应答。
Web 服务器得到 SOAP 应答后，会再通过 HTTP应答的方式把信息送回到客户端。

Web services 三种基本元素：

uudl用于提供发布和查询webservice方法
wsdl是webservice服务描述语言，用于web服务说明，它是一个xml文档，用于说明一组soap消息如何访问接口
soap是简单对象访问协议，用于分布式环境的基于信息交换的同行协议，描述传递信息的格式和规范，它可以用于连接web服务和客户端之间的接口，是一个可以在不同操作系统上运行的不同语言编写的程序之间的传输通信协议，格式为xml，soap消息
在这里插入图片描述

OpenApi - Swagger UI

在这里插入图片描述

Springboot Actuator

在这里插入图片描述同时也可以测一测heapdump泄漏以及相关命令执行漏洞

2、API检测流程

接口发现，遵循分类，依赖语言，V1/V2多版本等

Method：请求方法

攻击方式：OPTIONS,PUT,MOVE,DELETE
效果：上传恶意文件，修改页面等

URL：唯一资源定位符

攻击方式：猜测，遍历，跳转
效果：未授权访问等

Params：请求参数

攻击方式：构造参数，修改参数，遍历，重发
效果：爆破，越权，未授权访问，突破业务逻辑等

Authorization：认证方式

攻击方式：身份伪造，身份篡改
效果：越权，未授权访问等

Headers：请求消息头

攻击方式：拦截数据包，改Hosts，改Referer，改Content-Type等
效果：绕过身份认证，绕过Referer验证，绕过类型验证，DDOS等
Body：消息体
攻击方式：SQL注入，XML注入，反序列化等
效果：提权，突破业务逻辑，未授权访问等

3、API检测项目

Ready API

需要自行破解使用，只适用于windows，导入接口url就可以进行安全测试，漏洞类型覆盖广，就是测试时间周期较长
在这里插入图片描述在这里插入图片描述测试结果以报告形式展示
在这里插入图片描述

Postman 联动Xray

postman设置代理转发
在这里插入图片描述效果如图
在这里插入图片描述

APIKIT Burp插件

在这里插入图片描述具体使用

在这里插入图片描述相关配置
在这里插入图片描述进行接口fuzz测试
在这里插入图片描述

补一个案例

在这里插入图片描述
在这里插入图片描述

vapi靶场搭建

靶场搭建
搭建完成后
在这里插入图片描述在这里插入图片描述后面整体靶场测试过程留在下一篇blog中……

相关项目链接

https://github.com/lijiejie/swagger-exp
https://github.com/jayus0821/swagger-hack

部分项目下载：
https://github.com/SmartBear/soapui
https://github.com/API-Security/APIKit
https://github.com/lijiejie/swagger-exp
https://github.com/jayus0821/swagger-hack
靶场和资源总结：
https://github.com/roottusk/vapi
https://github.com/API-Security/APISandbox
https://github.com/arainho/awesome-api-security

参考

https://blog.csdn.net/comeonmao/article/details/125708415
https://blog.csdn.net/m0_52526329/article/details/132022540

相关文章：

API攻防-接口安全SOAPOpenAPIRESTful分类特征导入项目联动检测

文章目录 概述什么是接口？ 1、API分类特征SOAP - WSDLWeb services 三种基本元素： OpenApi - Swagger UISpringboot Actuator 2、API检测流程Method：请求方法URL：唯一资源定位符Params：请求参数Authorization&#xff…...

编程日记 2023/10/13 9:17:48

【Docker 内核详解】namespace 资源隔离（二）：UTS namespace IPC namespace

namespace 资源隔离（二）：UTS namespace & IPC namespace 1.UTS namespace UTS（UNIX Time-sharing System），UTS namespace 提供了 主机名 和 域名 的隔离，这样每个 Docker 容器就可以拥有独…...

编程日记 2023/10/13 9:13:44

EOF() | BOF()相关题目解析

题目 设当前数据库有10条记录(记录未进行任何索引)，在下列3种情况下，当前记录号为1时：EOF()为真时；BOF()为真时，命令RECN()的结果分别是______。 A．1,11,1B．1,10,1C．1,11,0D&#xf…...

编程日记 2023/10/13 9:12:41

spring 注入 当有两个参数的时候 接上面

新加一个int 型的 age 记得写getset方法和构造方法 （（（（（（（ 构造方法的作用——无论是有参构造还是无参构造，他的作用都是为了方便为对象的属性初始化值 构造方法是一种特殊的方…...

编程日记 2023/10/13 9:11:40

博客文档续更

十、 博客前台模块-异常处理 目前我们的项目在认证出错或者权限不足的时候响应回来的Json，默认是使用Security官方提供的响应的格式，但是这种响应的格式肯定是不符合我们项目的接口规范的。所以需要自定义异常处理 我们需要去实现AuthenticationEntryP…...

编程日记 2023/10/13 9:09:35

OCR让点读笔如虎添翼

点读笔是一种智能学习工具，它可以通过识别文字来提供相应的语音或图像反馈。在实现文字识别功能时，点读笔通常会借助OCR（Optical Character Recognition，光学字符识别）技术。下面将详细介绍点读笔如何利用OCR技术实现文…...

编程日记 2023/10/13 9:08:34

棱镜七彩参编！开源领域4项团体标准正式发布

近日，中电标2023年第27号团体标准公告正式发布，《T/CESA 1270.2-2023 信息技术 开源治理 第 2 部分：企业治理评估模型》、《T/CESA 1270.3-2023 信息技术 开源治理 第 3 部分：社区治理框架》、《T/CESA 1270.5-2023 信息技术 开源…...

编程日记 2023/10/13 9:07:33

轻量级Composition

MEF，全称Managed Extensibility Framework（托管可扩展框架）。MEF是专门致力于解决扩展性问题的框架。MEF 位于 ComponentModel.Composition 程序集中，添加 System.ComponentModel.Composition 和 System.ComponentModel.Compositi…...

编程日记 2023/10/13 9:06:32

Vxlan网络和flannel记录

Vxlan 大二层网络，在三层网络中构建逻辑的2层网络 数据包经过vxlan隧道 用vni标识不同的vxlan网络（类似于vlan的vid） 通过vtep来封装和解封装，通过UDP传输 Flannel 分配子网和IP地址：Flannel为每个容器或虚拟机分配唯一…...

编程日记 2023/10/13 9:05:28

【已解决】微信小程序-苹果手机日期解析异常

在开发微信小程序时，使用了 uView 的 CountDown倒计时 组件和 uni.$u.timeFrom Api，后台传递了一个时间字符串，前台计算时间戳的差值，来显示还有多久开始，这个功能在模拟器和我自己手机（iphon13&#xff09…...

编程日记 2023/10/13 9:03:24

Avalonia如何更改全局背景色

1.项目下载地址：https://gitee.com/confusedkitten/avalonia-demo 2.UI库Semi.Avalonia，项目地址 https://github.com/irihitech/Semi.Avalonia 3.ColorView，使用Semi.Avalonia.ColorPicker，Nuget获取就行 4.样式预览 以下是…...

编程日记 2023/10/13 9:02:23

万界星空科技低代码平台云MES系统功能场景

1、 工艺管理 生产工艺规程、岗位操作法、工艺卡片的编制。 生产过程的工艺条件、产品质量指标以及原材料消耗的执行检查、相关数据的统计分析。 2、 工序管理 对人、机、料、法控制，规定产品质量标准及有关完成方法的各项规程，并明确各道工序的管理负责…...

编程日记 2023/10/13 9:01:20

运维大数据平台的建设与实践探索

随着企业数字化转型的推进，运维管理面临着前所未有的挑战和机遇。为应对日益复杂且严峻的挑战，数字免疫系统和智能运维等概念应运而生。数字免疫系统和智能运维作为新兴技术，正引领着运维管理的新趋势。数字免疫系统和智能运维都借助大数据运…...

编程日记 2023/10/13 9:00:17

【Java 进阶篇】创建 HTML 注册页面

在这篇博客中，我们将介绍如何创建一个简单的 HTML 注册页面。HTML（Hypertext Markup Language）是一种标记语言，用于构建网页的结构和内容。创建一个注册页面是网页开发的常见任务之一，它允许用户提供个人信息并注册成为…...

编程日记 2023/10/13 8:58:15

【JVM系列】- 启航·JVM概论学习

启航JVM概论 😄生命不息，写作不止 🔥 继续踏上学习之路，学之分享笔记 👊 总有一天我也能像各位大佬一样 🏆 博客首页 怒放吧德德 To记录领地 🌝分享学习心得，欢迎指正&#xff0c…...

编程日记 2023/10/13 8:57:14

Windows技巧

Windows应用 Windows应用无限延长Windows10 自动更新时间管理员身份打开cmd输入以下代码设置暂停更新时间 Windows应用 无限延长Windows10 自动更新时间 管理员身份打开cmd 输入以下代码 这里设置的是3000天，需要恢复更新可以将其设置为1天 reg add “HKEY_LOCA…...

编程日记 2023/10/13 8:56:11

Git 应用小记

常用命令 git reset 3种模式 --soft：将HEAD引用指向给定提交，索引（暂存区）和工作目录的内容不变 --mixed（默认，可不写）：将HEAD引用指向给定提交，索引（暂存区…...

编程日记 2023/10/13 8:55:10

APT攻击与零日漏洞

APT攻击 当谈到网络安全时，APT（高级持续性威胁）攻击是最为复杂和难以检测的攻击类型之一。APT攻击通常涉及到高度的技术和策略性，而且它们的目标是深入地渗透和长时间地隐藏在目标网络中。 1. 什么是APT攻击？ 高级持续…...

编程日记 2023/10/13 8:54:09

leetCode 1143.最长公共子序列 动态规划 + 滚动数组

1143. 最长公共子序列 - 力扣（LeetCode） 给定两个字符串 text1 和 text2，返回这两个字符串的最长 公共子序列 的长度。如果不存在 公共子序列 ，返回 0 。 一个字符串的 子序列 是指这样一个新的字符串：它是由原字符串…...

编程日记 2023/10/13 8:53:03

【C++ Miscellany】继承体系非尾端类设计为抽象类

部分赋值问题 用软件来处理两种动物：蜥蜴和鸡 class Animal { public:Animal& operator (const Animal& rhs);... };class Lizard: public Animal { public:Lizard& operator (const Lizard& rhs);... };class Chicken: public Animal {Chicken…...

编程日记 2023/10/13 8:51:00

利用最小二乘法找圆心和半径

#include <iostream> #include <vector> #include <cmath> #include <Eigen/Dense> // 需安装Eigen库用于矩阵运算 // 定义点结构 struct Point { double x, y; Point(double x_, double y_) : x(x_), y(y_) {} }; // 最小二乘法求圆心和半径 …...

编程新知 2026/2/1 6:20:07

Objective-C常用命名规范总结

【OC】常用命名规范总结 文章目录 【OC】常用命名规范总结1.类名&#xff08;Class Name)2.协议名&#xff08;Protocol Name)3.方法名&#xff08;Method Name)4.属性名&#xff08;Property Name&#xff09;5.局部变量/实例变量&#xff08;Local / Instance Variables&…...

编程新知 2025/12/14 22:33:06

江苏艾立泰跨国资源接力：废料变黄金的绿色供应链革命

在华东塑料包装行业面临限塑令深度调整的背景下&#xff0c;江苏艾立泰以一场跨国资源接力的创新实践&#xff0c;重新定义了绿色供应链的边界。 跨国回收网络&#xff1a;废料变黄金的全球棋局 艾立泰在欧洲、东南亚建立再生塑料回收点&#xff0c;将海外废弃包装箱通过标准…...

编程新知 2026/1/31 13:42:15

让回归模型不再被异常值“带跑偏“，MSE和Cauchy损失函数在噪声数据环境下的实战对比

在机器学习的回归分析中&#xff0c;损失函数的选择对模型性能具有决定性影响。均方误差&#xff08;MSE&#xff09;作为经典的损失函数&#xff0c;在处理干净数据时表现优异&#xff0c;但在面对包含异常值的噪声数据时&#xff0c;其对大误差的二次惩罚机制往往导致模型参数…...

编程新知 2026/1/28 2:18:46

Java数值运算常见陷阱与规避方法

整数除法中的舍入问题 问题现象 当开发者预期进行浮点除法却误用整数除法时，会出现小数部分被截断的情况。典型错误模式如下： void process(int value) {double half = value / 2; // 整数除法导致截断// 使用half变量 }此时...

编程新知 2026/2/4 13:10:38

日常一水C

多态 言简意赅&#xff1a;就是一个对象面对同一事件时做出的不同反应 而之前的继承中说过&#xff0c;当子类和父类的函数名相同时&#xff0c;会隐藏父类的同名函数转而调用子类的同名函数&#xff0c;如果要调用父类的同名函数&#xff0c;那么就需要对父类进行引用&#…...

编程新知 2025/9/30 22:37:58

LCTF液晶可调谐滤波器在多光谱相机捕捉无人机目标检测中的作用

中达瑞和自2005年成立以来&#xff0c;一直在光谱成像领域深度钻研和发展&#xff0c;始终致力于研发高性能、高可靠性的光谱成像相机&#xff0c;为科研院校提供更优的产品和服务。在《低空背景下无人机目标的光谱特征研究及目标检测应用》这篇论文中提到中达瑞和 LCTF 作为多…...

编程新知 2025/12/31 17:08:10

恶补电源：1.电桥

一、元器件的选择 搜索并选择电桥&#xff0c;再multisim中选择FWB&#xff0c;就有各种型号的电桥: 电桥是用来干嘛的呢&#xff1f; 它是一个由四个二极管搭成的“桥梁”形状的电路&#xff0c;用来把交流电&#xff08;AC&#xff09;变成直流电&#xff08;DC&#xff09;。…...

编程新知 2026/1/29 8:28:23

加密通信 + 行为分析：运营商行业安全防御体系重构

在数字经济蓬勃发展的时代&#xff0c;运营商作为信息通信网络的核心枢纽&#xff0c;承载着海量用户数据与关键业务传输&#xff0c;其安全防御体系的可靠性直接关乎国家安全、社会稳定与企业发展。随着网络攻击手段的不断升级&#xff0c;传统安全防护体系逐渐暴露出局限性&a…...

编程新知 2025/9/9 18:03:51

ArcGIS Pro+ArcGIS给你的地图加上北回归线！

今天来看ArcGIS Pro和ArcGIS中如何给制作的中国地图或者其他大范围地图加上北回归线。 我们将在ArcGIS Pro和ArcGIS中一同介绍。 1 ArcGIS Pro中设置北回归线 1、在ArcGIS Pro中初步设置好经纬格网等&#xff0c;设置经线、纬线都以10间隔显示。 2、需要插入背会归线&#xf…...

编程新知 2026/2/1 12:04:40