Web API penetration testing
Web Application Firewall (WAF)
wafw00f <URL>
nuclei -u <URL> -t dns/dns-waf-detect.yaml,http/technologies/secui-waf-detect.yaml,http/technologies/waf-detect.yaml -H "Authorization: Bearer <token>" -ts -silentHTTP security headers
shcheck.py -i -k <URL>
nuclei -u <URL> -t http/misconfiguration/http-missing-security-headers.yaml -H "Authorization: Bearer <token>" -ts -silentNo HTTP headers con divulgación de información.
Server
X-Powered-By
X-AspNet*
Expresión regular para identificar HTTP security headers recomendados.
Strict-Transport-Security|Content-Security-Policy|X-Content-Type-Options|Content-Type|X-Frame-Options|Referrer-PolicyHTTP methods (verbs)
Utilizar el método HTTP apropiado para cada operación y responder con un error 405 Method Not Allowed si el método de la petición no es el apropiado.
Content-Type
Validar los Content-Type enviados (request) contra los Content-Type aceptados (response).
Incluir en la respuesta (response) el HTTP header X-Content-Type-Options.
X-Content-Type-Options: nosniffRedireccionamiento estricto de HTTP a HTTPS
nmap -sV -p 80,443 -n -Pn <target>
curl -I -l <HTTP-URL> -H "Authorization: Bearer <token>"
curl <HTTPS-URL> -H "Authorization: Bearer <token>"SSL/TLS y algoritmos de cifrados
sslscan <target>
nuclei -u <URL> -t ssl -ts -silentFuzzing
Fuzzing de paths.
Fuzzing de versiones (v1, v2, v3...).
Fuzzing parámetros GET.
Fuzzing valor de parámetros GET.
Fuzzing parámetros POST.
Fuzzing valor de parámetros POST.
Fuzzing de archivos (según contexto de revisión).
Autenticación y autorización
Consumo de API con token de autenticación incorrecto.
Consumo de API con HTTP header de autenticación, pero sin valor.
Consumo de API sin HTTP header de autenticación.
Consumo de API con token de autenticación expirado.
No utilizar
Basic Authentication.Insecure Direct Object References (IDOR).
Exposición de datos
Divulgación de datos sensibles.
Exposición de datos confidenciales a través del "query strings" en URL.
Entrega de información excesiva.
Input data validation
Fuzzing y consumo de API con parámetros de entrada inválidos.
Longitud, rango, formato y tipo.
Sin valor en parámetros.
Sin parámetros.
Manejo de errores.
Mensajes de errores genéricos.
No revelar detalles del error innecesariamente.
No entregar detalles técnicos referente al error.
Restricciones de consumo
Rate Limit: garantiza un número total de solicitudes en un intervalo de tiempo determinado. Comprueba si el número de solicitudes se encuentra dentro del intervalo de tiempo configurado, independientemente del tiempo entre cada solicitud. Cuando finaliza el intervalo, comienza uno nuevo y también se reinicia el recuento de solicitudes.
Spike Arrest: garantiza una distancia de tiempo mínima entre dos solicitudes. Si no se respeta el tiempo entre dos solicitudes, no se aceptará la segunda y el código de error HTTP devuelto será 429.
Caching: almacenamiento en caché.
Batching attack (GraphQL).
Última actualización