wgpsec/api-fuzz

API 安全测试方法论

⛔ 深入参考（必读）

• 认证绕过技巧、参数注入、Mass Assignment、请求走私 → references/api-attack-techniques.md
• 403/405 绕过（资源后缀fuzz字典、POST空JSON、Vue Hash路由、前缀发现）→ references/403-bypass-patterns.md
• 端点语义分析、RESTful CRUD 推断、参数发现、智能 Fuzz、权限边界测试、响应分析 → references/api-semantic-fuzz.md
• 按参数语义分类的 Fuzz payload 模板（ID/查询/文件/金额/命令/Header） → references/api-fuzz-payloads.md

---

Phase 1: API 发现与文档

端点发现

重点路径：/api/, /v1/, /v2/, /graphql, /rest/

文档泄露（最大信息源）

• /docs, /swagger, /swagger-ui, /swagger-ui.html
• /api-docs, /openapi.json, /openapi.yaml

框架识别

| 框架 | 特征 | 常见问题 | |------|------|----------| | Spring Boot | /actuator 端点 | Actuator 信息泄露、SpEL 注入 | | Express/Koa | X-Powered-By: Express | 原型链污染 | | FastAPI | /docs 自动生成 | 默认开启 Swagger | | Django REST | /api/?format=json | 序列化器过度暴露 | | Laravel | JSON API + PHP | Mass Assignment |

Phase 2: 认证测试

API 端点已确认？
├─ 去掉认证头 → 未认证访问？
├─ IP/路径/方法绕过 → [references/api-attack-techniques.md](references/api-attack-techniques.md)
├─ JWT → 参考 jwt-attack-methodology
└─ OAuth → 参考 oauth-sso-attack

Phase 3: 语义分析与智能 Fuzz

拿到端点列表后，先分析每个端点的业务含义，不要盲目跑字典。

RESTful CRUD 推断

发现 GET /api/users/123 → 推断 POST(创建)/PUT(修改)/DELETE(删除)/PATCH(Mass Assignment) 端点

路径语义→测试方向（关键速查）

| 端点关键词 | 测试方向 | |-----------|----------| | users/{id}, order/{id} | IDOR 遍历 | | search, query, q= | SQL 注入、XSS | | upload, import | 文件上传绕过 | | proxy, url=, redirect | SSRF、开放重定向 | | template, render | SSTI | | exec, run, cmd | 命令注入 | | pay, amount, price | 金额篡改（负数/零/极大值） | | admin, manage, config | 越权访问（最高优先级） |

→ 完整语义分析方法（参数发现、Content-Type 变体、响应分析、IDOR 批量验证、权限边界测试） → references/api-semantic-fuzz.md → 各类型参数的 Fuzz payload 模板 → references/api-fuzz-payloads.md

Phase 4: 专项测试入口

| 漏洞类型 | 关注点 | |---------|--------| | IDOR（越权访问他人数据） | 遍历 ID/UUID、对比不同用户响应 | | GraphQL 专项 | Introspection/注入/权限绕过 | | CSRF（跨站诱导执行操作） | Token 验证、SameSite、Referer 检查 | | CORS（跨域数据读取） | Origin 白名单、凭据模式 |

Phase 5: 其他测试

Prototype Pollution / Node.js 特有

• __proto__ / constructor.prototype — 污染 payload
• 利用链：eval、模板注入（SSTI）、服务端 JS 执行

请求走私

• references/api-attack-techniques.md

路径解析差异

• 前后端不一致或代理层差异可绕过鉴权
• 路径变体：/api/admin/.、trailing dot、/api/admin/..;/public

注意事项

• API 通常用 JSON，设置 Content-Type: application/json
• 错误信息比 Web 更详细——重要的信息泄露来源
• API 版本差异（v1 可能有漏洞但 v2 修复了，v1 未下线）
• 先跑语义分析再 fuzz，不要盲目发请求浪费时间
• 管理类端点（/admin/, /manage/）优先级最高
• 每确认一个漏洞立即 evidence_save + report_vuln