API接口测试/Swgger-ui未授权访问

目录

API接口

接口文档

接口测试的方法

单流程

多流程

Swgger-ui未授权访问

在之间的一次面试中面试官问到了API接口测试，我回答的不好，因为自己确实不太会，后面才下去学习了，这里复习和练习一下

API接口

API（Application Programming Interface）是应用程序开发接口的缩写，意思是一些预设好的函数或方法，这些预设好的函数或方法允许第三方程序通过网络来调用数据或提供基于数据的服务。

Web API是网络应用程序接口。包含了广泛的功能，网络应用通过API接口，可以实现存储服务、消息服务、计算服务等能力，利用这些能力可以进行开发出强大功能的web应用。

API接口的类型

RESTful API：REST，Representational State Transfer的缩写，是一种使Web基础架构具有分布式特征的架构风格。RESTful API是基于REST架构风格的API，通常使用HTTP/js/ajax进行数据传输。它是使用最广泛的API类型之一。
SOAP API：全称是Simple Object Access Protocol，是UDDI、XML和SOAP的组合，它要求在高度可靠和安全的系统之间进行通信。SOAP API 使用 XML 格式请求和响应数据，并支持多种协议，包括 HTTP、HTTPS 等。对于企业级应用程序来说，SOAP API更适合处理大规模数据交换和复杂的业务流程。
GraphQL API：GraphQL是一种用于API的查询语言。与REST和SOAP不同，GraphQL不像API那样让开发者获取整个集合数据，而是根据开发者的需要返回客户端需要的数据。GraphQL API具有强大的类型系统和查询语言，使得客户端能够更精确地请求数据，而不是不必要地获取整个集合数据。

例如12306购票网站，所有的数据都在12306上，12306提供一整套接口，调用接口我们就可以获取到里面的数据。

接口文档

在项目开发中，web项目的前后端分离开发，APP开发，需要由前后端工程师共同定义接口，编写接口文档，之后大家都根据这个接口文档进行开发，到项目结束前都要一直维护。

接口文档的规范

每一个接口的文档分为四部分：请求方法、URI、请求参数、返回参数

  • 请求方法：获取(GET)、新增(POST)、修改(PUT)、删除(DELETE) 等

  • URI：调用这个接口需要访问的URI

  • 请求参数：字段、描述、类型、是否必填、备注

  • 返回参数：是否调用成功，返回的数据有哪些

接口测试的方法

和web测试一样，模拟客户端向服务器发送报文请求,服务器接收请求报文后对相应的报文做处理并向客户端返回应答,客户端接收应答的一个过程。

唯一的区别是接口测试需要自己构造参数，而web测试时网页会自动辅助构造参数。

单流程

业务场景无上下游依赖，这个接口可以代表整个功能，如查询个人信息

  • 构造参数 --> 发送请求 --> 校验结果

  • 常规漏洞

  • ...

多流程

接口之间有数据流转，共同形成一个完成的业务流程，如注册功能

  • 构造参数 --> 发送请求 --> 校验结果

  • 常规漏洞

  • 流程是否可以绕过，直接到达最后一步

  • ...

下面我就用Swgger-ui未授权访问漏洞来练习一下接口测试

Swgger-ui未授权访问

Swagger是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。

  • Swagger-IU的原本用意：Swagger-UI会根据开发人员在代码中的设置来自动生成API说明文档

  • 但是如果存在相关的配置缺陷就有可能攻击者可以未授权翻查Swagger接口文档，得到系统功能API接口的详细参数，再构造参数发包，通过回显获取系统大量的敏感信息。

Swgger-ui可以尝试未授权访问的目录：
 

/api
/api-docs
/api-docs/swagger.json
/api.html
/api/api-docs
/api/apidocs
/api/doc
/api/swagger
/api/swagger-ui
/api/swagger-ui.html
/api/swagger-ui.html/
/api/swagger-ui.json
/api/swagger.json
/api/swagger/
/api/swagger/ui
/api/swagger/ui/
/api/swaggerui
/api/swaggerui/
/api/v1/
/api/v1/api-docs
/api/v1/apidocs
/api/v1/swagger
/api/v1/swagger-ui
/api/v1/swagger-ui.html
/api/v1/swagger-ui.json
/api/v1/swagger.json
/api/v1/swagger/
/api/v2
/api/v2/api-docs
/api/v2/apidocs
/api/v2/swagger
/api/v2/swagger-ui
/api/v2/swagger-ui.html
/api/v2/swagger-ui.json
/api/v2/swagger.json
/api/v2/swagger/
/api/v3
/apidocs
/apidocs/swagger.json
/doc.html
/docs/
/druid/index.html
/graphql
/libs/swaggerui
/libs/swaggerui/
/spring-security-oauth-resource/swagger-ui.html
/spring-security-rest/api/swagger-ui.html
/sw/swagger-ui.html
/swagger
/swagger-resources
/swagger-resources/configuration/security
/swagger-resources/configuration/security/
/swagger-resources/configuration/ui
/swagger-resources/configuration/ui/
/swagger-ui
/swagger-ui.html
/swagger-ui.html#/api-memory-controller
/swagger-ui.html/
/swagger-ui.json
/swagger-ui/swagger.json
/swagger.json
/swagger.yml
/swagger/
/swagger/index.html
/swagger/static/index.html
/swagger/swagger-ui.html
/swagger/ui/
/Swagger/ui/index
/swagger/ui/index
/swagger/v1/swagger.json
/swagger/v2/swagger.json
/template/swagger-ui.html
/user/swagger-ui.html
/user/swagger-ui.html/
/v1.x/swagger-ui.html
/v1/api-docs
/v1/swagger.json
/v2/api-docs
/v3/api-docs

使用dirsearch扫描发现了一个页面：

访问可以看到是Swgger-ui的页面：

下面我们就可以根据页面提供的api接口文档进行api接口测试了

例如下面这样的一个页面：

这里的接口写的是所有煤矿信息，那么我们就可以尝试点击Try it Out尝试访问一下：

可以看到访问到了所有的煤矿的信息，那么设想一下，如果有一个查看用户账号信息的接口我们可以未授权访问是不是就可以获取到所有用户的敏感信息了

账号密码都有了，那么下一步就是快乐的登录系统了

参考文章：

什么是API接口？API接口的类型，如何调用API接口？-CSDN博客

Swagger未授权访问漏洞-腾讯云开发者社区-腾讯云

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/bicheng/39505.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

ANSYS新能源汽车动力电池仿真应用案例

ANSYS新能源汽车动力电池仿真应用案例

燃料电池是一种非燃烧过程的电化学能转换装置，将氢气（等燃料）和氧气的化学能连续不断地转换为电能，是发电设备而非储能设备。 根据电解质的不同，分为碱性燃料电池AFC、磷酸燃料电池PAFC、熔融碳酸盐燃料电池MCFC、固体…
阅读更多...
解析商场智能导视系统背后的科技：AR导航与大数据如何助力商业运营

解析商场智能导视系统背后的科技：AR导航与大数据如何助力商业运营

在布局复杂的大型商场中，顾客常常面临寻找特定店铺的挑战。商场的规模庞大，店铺众多，使得顾客在享受购物乐趣的同时，也不得不面对寻路的难题。维小帮商场智能导航导视系统的电子地图、AR导航营销能为顾客提供更加便捷的购物体验。…
阅读更多...
震惊！张宇强化36讲1200页，暑期强化高效利用指南！

震惊！张宇强化36讲1200页，暑期强化高效利用指南！

特别喜欢张宇老师的讲课风格 如果你打算跟张宇老师，那么基础——>强化——>冲刺，你应该这么买书！ 张宇老师25版课程大改版，其中，36讲的变动是最大的，张宇老师25版课程把以往的强化课程前移&#xff0…
阅读更多...
spark on k8s两种方式的原理与对比

spark on k8s两种方式的原理与对比

spark on k8s两种方式的原理与对比 1、spark on k8s 方式 spark-submit可以直接用来向 Kubernetes 集群提交 Spark 应用，提交机制如下： 1、Spark 创建一个在Kubernetes pod中运行的 Spark 驱动程序。 2、驱动程序创建在 Kubernetes Pod 中运行的执行器…
阅读更多...
01 Docker 概述

01 Docker 概述

目录 1.Docker简介 2.传统虚拟机 vs 容器 3.Docker运行速度快的原因 4.Docker基本组成三要素 5.Docker 平台架构 入门版 架构版 1.Docker简介 Docker是基于Go语言实现的云开源项目。 Docker的主要目标是：Build, Ship and Run Any App, Anywhere&#xff0c…
阅读更多...
我不小心把生产的数据改错了！同事帮我用MySQL的BinLog挽回了罚款

我不小心把生产的数据改错了！同事帮我用MySQL的BinLog挽回了罚款

之前在生产做修改数据的时候不小心改错了一行数据，本来以为会被通报批评，但是同事利用binlog日志查看到了之前的旧数据，并且帮我回滚了，学到了，所以写了一篇binlog的文章分享给大家。 MySQL的Binary Log（简…
阅读更多...
Java--Map集合

Java--Map集合

Map 映射(map)是存储键和值间关联(即，键值对)的对象。给定一个键，可以找到其值。键和值都是对象。键必须唯一，但是值可以重复。 支持映射的接口 接 口 描 述 Map 将唯一键映射到值 NavigableMap 扩展SortedMap接口，以处理…
阅读更多...
使用PID算法实现DAC模拟量输出的快速调节

使用PID算法实现DAC模拟量输出的快速调节

目录 概述 1 系统框架和算法 1.1 框架结构介绍 1.2 PID算法实现 1.2.1 理论介绍 1.2.2 离散化位置式PID 1.2.3 位置式PID算法 2 STM32Cube 配置项目 2.1 配置参数 2.2 GENERATE项目 3 功能实现 3.1 ADC采样数据功能 3.2 DAC数据转换 3.3 PID相关的调制函数 4 …
阅读更多...
基于YOLOv10深度学习的CT扫描图像肾结石智能检测系统【python源码+Pyqt5界面+数据集+训练代码】深度学习实战、目标检测

基于YOLOv10深度学习的CT扫描图像肾结石智能检测系统【python源码+Pyqt5界面+数据集+训练代码】深度学习实战、目标检测

《博主简介》 小伙伴们好，我是阿旭。专注于人工智能、AIGC、python、计算机视觉相关分享研究。 ✌更多学习资源，可关注公-仲-hao:【阿旭算法与机器学习】，共同学习交流~ 👍感谢小伙伴们点赞、关注！ 《------往期经典推…
阅读更多...
【Python】已解决：ModuleNotFoundError: No module named ‘pyhanlp’

【Python】已解决：ModuleNotFoundError: No module named ‘pyhanlp’

文章目录 一、分析问题背景二、可能出错的原因三、错误代码示例五、注意事项 已解决：ModuleNotFoundError: No module named ‘pyhanlp’ 一、分析问题背景 在使用Python进行自然语言处理时，有时我们可能会用到pyhanlp这个库，它是一个基于J…
阅读更多...
【JVM】Java虚拟机运行时数据分区介绍

【JVM】Java虚拟机运行时数据分区介绍

JVM 分区（运行时数据区域） 文章目录 JVM 分区（运行时数据区域）前言1. 程序计数器2. Java 虚拟机栈3. 本地方法栈4. Java 堆5. 方法区6. 运行时常量池7. 直接内存 前言 之前在说多线程的时候，提到了JVM虚拟机的分区内存…
阅读更多...
HarmonyOS APP应用开发项目- MCA助手（Day01持续更新中~）

HarmonyOS APP应用开发项目- MCA助手（Day01持续更新中~）

简言： gitee地址：https://gitee.com/whltaoin_admin/money-controller-app.git端云一体化开发在线文档：https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V5/agc-harmonyos-clouddev-view-0000001700053733-V5 注&#xff1…
阅读更多...
MySQL 9.0 悄悄上线，支持面向AI的向量数据库

MySQL 9.0 悄悄上线，支持面向AI的向量数据库

MySQL狂热粉丝群已经发现MySQL官网上MySQL9.0这两天悄然上线，已经可以下载体验了，目前被定义为创新版本（Innovation）。 下载地址：https://dev.mysql.com/downloads/mysql/ 支持主流的操作系统，安装后可以直…
阅读更多...
DDD学习笔记六

DDD学习笔记六

基类与继承 领域模型中何时发掘和应用基类与继承： 1）基类概念必须是通用语言的一部分，并且对应领域中的一个抽象概念。 2）这个概念必须被进一步细化，才能具备实际业务含义。 3）基类概念被细化的子类存在着不…
阅读更多...
论坛入门与提升

论坛入门与提升

前言 明确设计思路，精准定位问题，对于我们后期理解迭代工程有很大的帮助。 这就是我们常说的40%设计，20%编写和剩下的40%时间进行调试优化。 今天为大家带来的是通过对论坛的深入了解，来解决大家遇到问题时的迷茫，合…
阅读更多...
基于字符和词特征融合的恶意域名检测

基于字符和词特征融合的恶意域名检测

传统的恶意域名检测方法在检测由域名生成算法（DGA）随机生成的恶意域名方面性能不佳，尤其是对于那些由随机单词组成的域名。文章提出了一种新的检测算法，通过融合字符和词特征来提高对恶意域名的检测能力，特别是对于更具…
阅读更多...
SpringCloud基础篇

SpringCloud基础篇

文章目录 创建新模块拷贝yml配置文件修改配置文件的信息修改pom.xml文件启动入口拷贝相关文件接口文档配置配置启动项注册中心原理Nacos注册中心创建nacos数据库存储数据部署nacos在docker容器中 服务注册引入依赖配置Nacos地址启动 服务发现(调用)引入依赖配置nacos地址发现并…
阅读更多...
文章解读与仿真程序复现思路——电力系统自动化EI\CSCD\北大核心《面向电网调峰的电动汽车聚合商多层级实时控制策略》

文章解读与仿真程序复现思路——电力系统自动化EI\CSCD\北大核心《面向电网调峰的电动汽车聚合商多层级实时控制策略》

本专栏栏目提供文章与程序复现思路，具体已有的论文与论文源程序可翻阅本博主免费的专栏栏目《论文与完整程序》 论文与完整源程序_电网论文源程序的博客-CSDN博客https://blog.csdn.net/liang674027206/category_12531414.html 电网论文源程序-CSDN博客电网论文源…
阅读更多...
通过docker overlay2 目录名查找占用磁盘空间最大的容器名和容器ID

通过docker overlay2 目录名查找占用磁盘空间最大的容器名和容器ID

有时候经常会有个别容器占用磁盘空间特别大， 这个时候就需要通过docker overlay2 目录名查找占用磁盘空间最大的容器名和容器ID： 1、 首先进入到 /var/lib/docker/overlay2 目录下,查看谁占用的较多 [rootPPS-97-8-ALI-HD1H overlay2]# cd /var/lib/doc…
阅读更多...
Linux基础 - MariaDB 数据库管理系统

Linux基础 - MariaDB 数据库管理系统

目录 零. 简介 一. 安装 二. 基本使用 1. 设置root密码 2. 创建库 3. 创建表 4.添加数据 5. 查看数据 三. 管理表单及数据 四. 数据库的备份及恢复 零. 简介 MariaDB 是一种流行的开源数据库管理系统，它是 MySQL 的一个分支。 MariaDB 保留了与 MySQL 的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023