Nice Catch

Немного темных боевых искусств на ночь 🥷

Если вы тот еще охотник за багами, то перед вами рано или поздно может встать задача поиска таковых в rest api, не важно, web сервиса или мобильного приложения.
Принцип одинковый, но нас больше будет интересовать что api спроектировано по принципам REST
А документация\спецификация отсутвует (разработчики не позаботились о том, чтобы вас ей снабдить).

*загружаем не много информации*
Почему нас в данном случае будет интересовать именно принцип REST?

Я не зря написал документация\спецификация. Дело в том, что почти любой api сервис, спроектированный по принипам REST может быть описан по спецификации open-api/swagger.
Пример под метод 'login' условного сервиса будет выглядеть следующим образом:

openapi: 3.0.0
info:
title: OpenAPI-example
version: 1.0.0
servers:
- url: http://example.host/api
description: The default server
paths:
/login:
post:
summary: POST login
responses:
'200':
description: OK
content:
application/json:
schema:
type: object
properties:
id:
type: number
'422':
description: Unprocessable Entity
content:
application/json:
schema:
type: object
properties:
name:
type: string
requestBody:
content:
application/json:
schema:
type: object
properties:
login:
type: string
password:
type: string

Нужна она по меньшей мере для ведения докуеметации своего api сервиса.
Swagger UI, например, может анализировать спецификацию OpenAPI и
генерировать интерактивную документацию, которая позволит опробовать методы API.

Подробнее можно ознакомиться, как вариант, тут:
https://starkovden.github.io/about-fourth-module.html

Но как она может быть полезна охотнику за ошибками?
Дело в том, что данную спецификацию можно точно так же
использовать для автоматизации, в нашем случае,
тестирования исследуемого сервиса.
А сообщество потрудилось, и написало несколько инструментов,
Которые здесь уже мелькали, например:

https://github.com/matusf/openapi-fuzzer
https://github.com/schemathesis/schemathesis
https://github.com/Endava/cats
https://github.com/ysoftdevs/wapifuzz
https://github.com/blst-security/cherrybomb
*можно приступать к делу*
(update для защитников)
https://github.com/wallarm/api-firewall

Так вот, спецификации нет, а REST api есть. Что делать?

На помощь придет плагин под mitmproxy, способный
на основе собранного траффика реверсивно создать
такую спецификацию для исследуемого rest-api.
https://github.com/alufers/mitmproxy2swagger

Повторяем простые движения:
1. Включаем mitmproxy.
2. Настраиваем браузер на mitmproxy.
3. Исследуем сайт через браузер.
4. Сохраняем собранный mitmproxy траффик.
5. С помощью mitmproxy2swagger создаем спеку на основе собранного трафика.
6. Подаем спеку на вход инструментам упомянутым выше.
7. PROFIT! Собираем сливки, идем говорить разрабам чо чинить.

Это просто прекрасно 😱