第65天-API攻防-接口安全&WebPack&REST&SOAP&WSDL&WebService

 

 

#知识点：

1.HTTP类接口-测评

2.RPC类接口-测评

3.Web Service类-测评

 

#内容点：

SOAP（Simple Object Access Protocol）简单对象访问协议是交换数据的一种协议规范，是一种轻量的、简单的、基于XML（标准通用标记语言下的一个子集）的协议，它被设计成在WEB上交换结构化的和固化的信息。SOAP不是Web Service的专有协议。

SOAP使用HTTP来发送XML格式的数据，可以简单理解为：SOAP = HTTP +XML

 

REST（Representational State Transfer）即表述性状态传递，在三种主流的Web服务实现方案中，因为REST模式的Web服务与复杂的SOAP和XML-RPC对比来讲明显的更加简洁，越来越多的Web服务开始采用REST风格设计和实现。例如，Amazon.com提供接近REST风格的Web服务进行图书查找；雅虎提供的Web服务也是REST风格的。

 

WSDL（Web Services Description Language）即网络服务描述语言，用于描述Web服务的公共接口。这是一个基于XML的关于如何与Web服务通讯和使用的服务描述；也就是描述与目录中列出的Web服务进行交互时需要绑定的协议和信息格式。通常采用抽象语言描述该服务支持的操作和信息，使用的时候再将实际的网络协议和信息格式绑定给该服务。

 

#接口数据包：

Method：请求方法

 攻击方式：OPTIONS,PUT,MOVE,DELETE

 效果：上传恶意文件，修改页面等

URL：唯一资源定位符

 攻击方式：猜测，遍历，跳转

 效果：未授权访问等

演示案例：

WebService类-Wsdl&ReadyAPI-SQL注入

谷歌搜索edu.cn inurl:asmx?wsdl

 

 

 

 

网站后面加上?wsdl

 

 

 

 

 

 

Soap UI

 

 

输入刚才网站地址ResourceService Web Service (seu.edu.cn)

 

 

网址后面加上?wsdl

 

 

会自动解析里面的请求方法

 

 

可以修改数据包看回显信息

 

 

另一种工具ReadyAPI

 

 

 

 

 

 

run

 

 

SOAP类-Swagger&SoapUI&EXP-信息泄露

#SOAP类-Swagger&SoapUI&EXP

探针：目录&JS资源

利用：SoapUI&EXP

https://github.com/lijiejie/swagger-exp

https://github.com/jayus0821/swagger-hack

目录：

/swagger

/api/swagger

/swagger/ui

/api/swagger/ui

/swagger-ui.html

/api/swagger-ui.html

/user/swagger-ui.html

/libs/swaggerui

/api/swaggerui

/swagger-resources/configuration/ui

/swagger-resources/configuration/security

打开SoapUI

 

 

 

 

导入json地址

 

 

 

 

swagger-hack软件

python swagger-hack2.0.py -u http://102.133.182.176.:443/swagger/v1/swagger.json

 

 

目标信息

 

 

 

 

 

HTTP类-WebPack&PackerFuzzer-信息泄露

 

#HTTP类-Webpack&PackerFuzzer

 

探针：插件&JS资源

 

利用：PackerFuzzer

 

https://github.com/rtcatc/Packer-Fuzzer

Packer-Fuzzer

一款针对Webpack等前端打包工具所构造的网站进行快速、高效安全检测的扫描工具

C:\Windows\System32\cmd.exe\python.exe PackerFuzzer.py