Записки потомственного it'шника

264 viewsDeny, 14:30

Немного темных боевых искусств на ночь 🥷

Если вы тот еще охотник за багами, то перед вами рано или поздно может встать задача поиска таковых в rest api, не важно, web сервиса или мобильного приложения.
Принцип одинковый, но нас больше будет интересовать что api спроектировано по принципам REST
А документация\спецификация отсутвует (разработчики не позаботились о том, чтобы вас ей снабдить).

*загружаем не много информации*
Почему нас в данном случае будет интересовать именно принцип REST?

Я не зря написал документация\спецификация. Дело в том, что почти любой api сервис, спроектированный по принипам REST может быть описан по спецификации open-api/swagger.
Пример под метод 'login' условного сервиса будет выглядеть следующим образом:

openapi: 3.0.0
info:
  title: OpenAPI-example
  version: 1.0.0
servers:
- url: http://example.host/api
  description: The default server
paths:
  /login:
    post:
      summary: POST login
      responses:
        '200':
          description: OK
          content:
            application/json:
              schema:
                type: object
                properties:
                  id:
                    type: number
        '422':
          description: Unprocessable Entity
          content:
            application/json:
              schema:
                type: object
                properties:
                  name:
                    type: string
      requestBody:
        content:
          application/json:
            schema:
              type: object
              properties:
                login:
                  type: string
                password:
                  type: string

Нужна она по меньшей мере для ведения докуеметации своего api сервиса.
Swagger UI, например, может анализировать спецификацию OpenAPI и
генерировать интерактивную документацию, которая позволит опробовать методы API.

Подробнее можно ознакомиться, как вариант, тут:
https://starkovden.github.io/about-fourth-module.html

Но как она может быть полезна охотнику за ошибками?
Дело в том, что данную спецификацию можно точно так же
использовать для автоматизации, в нашем случае,
тестирования исследуемого сервиса.
А сообщество потрудилось, и написало несколько инструментов,
Которые здесь уже мелькали, например:

https://github.com/matusf/openapi-fuzzer
https://github.com/schemathesis/schemathesis
https://github.com/Endava/cats
https://github.com/ysoftdevs/wapifuzz
https://github.com/blst-security/cherrybomb
*можно приступать к делу*
(update для защитников)
https://github.com/wallarm/api-firewall

Так вот, спецификации нет, а REST api есть. Что делать?

На помощь придет плагин под mitmproxy, способный
на основе собранного траффика реверсивно создать
такую спецификацию для исследуемого rest-api.
https://github.com/alufers/mitmproxy2swagger

Повторяем простые движения:
1. Включаем mitmproxy.
2. Настраиваем браузер на mitmproxy.
3. Исследуем сайт через браузер.
4. Сохраняем собранный mitmproxy траффик.
5. С помощью mitmproxy2swagger создаем спеку на основе собранного трафика.
6. Подаем спеку на вход инструментам упомянутым выше.
7. PROFIT! Собираем сливки, идем говорить разрабам чо чинить.

О модуле

Курс по документированию API. Вольный перевод курса https://idratherbewriting.com/learnapidoc/

👍4

5.07K viewsDeny, edited 23:20