REST API Security: автоматическое обнаружение уязвимостей

1. Что такое REST API? REST (передача состояния представления) - это архитектурный стиль, который можно...
2. Часто используемые методы HTTP (глаголы) в REST API
3. Отсутствие стандартов для отдыха
4. Использование параметров в URL
5. Как сканировать RESTful веб-сервис на наличие уязвимостей
6. Импортируйте файлы определения SWAGGER или WADL вручную
7. Аутентификация и RESTful веб-сервисы
8. Автоматическое обнаружение RESTful API во время сканирования
9. Импорт RAW HTTP-запросов вручную

Что такое REST API?

REST (передача состояния представления) - это архитектурный стиль, который можно использовать для связи с веб-службами. Во многих отношениях REST имеет много общего с протоколами, такими как SOAP; он используется в качестве механизма связи между двумя приложениями или между приложением и онлайн-службой. На самом деле многие мобильные веб-приложения взаимодействуют с RESTful API на сервере для связи с онлайн-службой.

В этом документе:

Каковы различия между веб-сервисом и REST API?
Проблемы автоматического сканирования интерфейсов API REST
Сканирование RESTful API с помощью Netsparker Desktop

Каковы различия между веб-сервисом и API отдыха?

Многие веб-сервисы используют сложные коммуникационные механизмы, такие как SOAP, RPC и CORBA. REST использует стандартные методы HTTP для всех четырех операций CRUD (создание / чтение / обновление / удаление).

Часто используемые методы HTTP (глаголы) в REST API

• POST - Создать ресурс
• GET - Получить ресурс
• PUT - изменить состояние ресурса или обновления
• УДАЛИТЬ - Удалить или удалить ресурс

Проблемы сканирования интерфейсов API REST

В отличие от RPC и других, REST может потребляться и пониматься людьми из-за его простой структуры. Например, многие веб-службы на основе REST могут предоставить ответ в формате CSV, JSON или XML. Но это то же самое преимущество - то, что автоматизирует сканер веб-уязвимостей для сканирования и атаки.

Отсутствие стандартов для отдыха

На самом деле, на момент написания этого документа не существует стандарта для REST API, как есть для WSDL и других подобных протоколов. До сих пор большинство веб-сервисов RESTful имеют свою уникальную документацию, которая, опять же, может быть легко прочитана людьми, но не представляет ценности для автоматизированных сканеров веб-уязвимостей.

В настоящее время разрабатывается ряд проектов, направленных на стандартизацию REST API. Два самых популярных из них развязность а также WADL (Язык описания веб-приложений) ,

Использование параметров в URL

Еще одна проблема, с которой сталкиваются автоматические сканеры при автоматическом сканировании веб-сервисов RESTful на наличие уязвимостей, заключается в том, что API-интерфейсы REST используют параметры в URL-адресах. Например, в приведенном ниже HTTP-запросе GET 123 является параметром, а не каталогом в веб-приложении:

ПОЛУЧИТЕ http://www.example.com/rest-api/products/123/

Это также может иметь место при сканировании веб-приложений, но сканеры безопасности веб-приложений Netsparker имеют эвристическая технология перезаписи URL, которая может автоматически определять параметры в URL и сканировать их , Хотя в случае REST API все работает немного иначе.

Как сканировать RESTful веб-сервис на наличие уязвимостей

Существует три различных метода, которые вы можете использовать для сканирования RESTful API с помощью сканера безопасности веб-приложений Netsparker Desktop и Netsparker Cloud. Вы можете:

1. Импортируйте файл определения Swagger или WADL вручную,
2. Netsparker может автоматически обнаруживать RESTful API во время сканирования и сканировать его,
3. Импортируйте RAW HTTP-запросы вручную.

Ниже приводится объяснение того, как работает каждый из методов.

Импортируйте файлы определения SWAGGER или WADL вручную

При импорте файла определения Swagger или WADL сканер веб-безопасности Netsparker проанализирует файл определения и создаст ссылку для каждого ресурса, доступного в API. Чтобы импортировать файл определения Swagger или WADL, вам необходимо:

1. Перейдите к Импортированным ссылкам в диалоговом окне « Сканирование нового веб-сайта или веб-службы» ,
2. Нажмите Импорт и выберите файл определения.

Как только сканер импортирует все ссылки и параметры, вы можете увидеть их в списке импортированных ссылок, как показано на скриншоте ниже.

Во время импорта сканер веб-уязвимостей автоматически сгенерирует правила перезаписи URL для проверки каждого параметра в RESTful API. Ниже приведен скриншот автоматически сгенерированных правил перезаписи URL в Netsparker:

Примечание. При импорте файла определения веб-службы RESTful в Netsparker Cloud правила перезаписи URL-адресов не отображаются в диалоговом окне запуска нового сканирования , но о них сообщается в Узел базы знаний как только сканирование закончено.

Аутентификация и RESTful веб-сервисы

Как и при сканировании других веб-приложений и служб, аутентификация может быть настроена во время сканирования из раздела Аутентификация .

Автоматическое обнаружение RESTful API во время сканирования

Сканер безопасности веб-приложения Netsparker автоматически импортирует, сканирует и сканирует веб-сервис REST, если он обнаружен во время сканирования безопасности веб-сайта. Как только сканер идентифицирует файл определения, он автоматически сгенерирует правила перезаписи URL, чтобы он мог сканировать все параметры в веб-службе.

Когда сканер идентифицирует веб-сервис API RESTful во время сканирования, он также сообщает об этом в Узел базы знаний , как видно на скриншоте ниже.

Приведенный ниже снимок экрана взят из Netsparker Cloud, когда он идентифицирует веб-сервис RESTful.

Примечание. Если сканер идентифицирует ссылки на веб-службу API RESTful на этапе сканирования с помощью JavaScript или других средств, но не может определить файл определения, он все равно попытается эвристически создать правила перезаписи URL для проверки всех параметров После того, как у него есть все необходимые образцы.

Импорт RAW HTTP-запросов вручную

В случаях, когда файлы определения Swagger или WADL недоступны или RESTful API не может быть идентифицирован во время сканирования веб-приложения, вы можете импортировать ссылки API через файлы RAW HTTP.

Вы можете захватывать HTTP-запросы с помощью стороннего прокси-инструмента, такого как Fiddler, и импортировать их перед началом сканирования. Ниже приведен список поддерживаемых прокси-файлов:

• Архив сессий Fiddler (* .saz)
• Файлы журнала отрыжки (* .xml)
• Файлы журнала Paros (* .txt)
• Архивные файлы HTTP (* .har)

Обратите внимание, что при использовании этого метода сканер не будет автоматически генерировать правила перезаписи URL, поэтому вы должны настройте их вручную для сканера, чтобы найти все параметры ,

Похожие

Комментарии