Sécurité des applications Web

Chapitre 5. Analyse de l'API

Cet ouvrage a été traduit à l'aide de l'IA. Tes réactions et tes commentaires sont les bienvenus : [e-mail]

L'analyse des points de terminaison de l'API est la compétence logique suivante dans une boîte à outils de reconnaissance après la découverte de sous-domaines. Quels sont les domaines utilisés par cette application ? Si cette application a trois domaines(x.domain, y.domain et z.domain, par exemple), je dois savoir que chacun d'entre eux peut avoir ses propres points de terminaison d'API.

D'une manière générale, nous pouvons utiliser des techniques très similaires à celles que nous avons utilisées pour tenter de trouver des sous-domaines. Les attaques par force brute et les attaques par dictionnaire fonctionnent bien ici, mais les efforts manuels et l'analyse logique sont aussi souvent récompensés.

Trouver les API est la deuxième étape de l'apprentissage de la structure d'une application Web, après la découverte des sous-domaines. Cette étape nous fournira les informations dont nous avons besoin pour commencer à comprendre l'objectif d'une API exposée. Lorsque nous comprenons pourquoi une API est exposée sur le réseau, nous pouvons alors commencer à voir comment elle s'intègre dans une application et quel est son objectif commercial.

Découverte des points finaux

Précédemment, nous avons discuté de la façon dont la plupart des applications d'entreprise suivent aujourd'hui un schéma particulier lorsqu'elles définissent la ...