Installation
Pick a client and clone the repository into its skills directory.
Installation
About this skill
API安全测试的专业技能和方法论
How to use
Zainstaluj wymagane narzędzia do testowania: Postman, Burp Suite lub OWASP ZAP. Każde z nich oferuje inne możliwości — Postman jest najlepszy do szybkich testów, Burp Suite do głębokich skanów, ZAP do automatyzacji.
Rozpocznij od odkrycia API — zidentyfikuj wszystkie dostępne endpointy. Możesz użyć skanowania katalogów (gobuster), analizy ruchu w Burp Suite lub przejrzenia plików JavaScript aplikacji w poszukiwaniu definicji API.
Przetestuj autentykację i autoryzację. Wyślij żądania z nieprawidłowymi tokenami, wygasłymi tokenami i bez tokenów. Sprawdź, czy API prawidłowo odrzuca dostęp. Dla JWT testuj algorytm i spróbuj złamania klucza.
Waliduj dane wejściowe poprzez testowanie SQL injection, command injection i XXE. Wysyłaj złośliwe payload'y w parametrach zapytań i ciałach żądań, obserwując odpowiedzi serwera.
Sprawdź uprawnienia poziome i pionowe — spróbuj dostępu do zasobów innych użytkowników oraz do interfejsów administracyjnych zwykłym kontem. Prawidłowe API powinno zwrócić kod 403.
Zbadaj obsługę błędów i limity szybkości. Wyślij dużą liczbę żądań w krótkim czasie i sprawdź, czy serwer implementuje rate limiting. Przeanalizuj komunikaty błędów pod kątem wycieku informacji technicznych.