#سيناريو_اختبار_اختراق : الوصول لمعلومات من خلال api📄
كيف ممكن اتلاعب في api وأحصل على معلومات ليس لي صلاحيات عليها💻
سوف أتحدث عنها بشكل متسلسل أسفل التغريدة⤵️
كيف ممكن اتلاعب في api وأحصل على معلومات ليس لي صلاحيات عليها💻
سوف أتحدث عنها بشكل متسلسل أسفل التغريدة⤵️
1⃣فكرة الثغرة
دخلت على احد المواقع التي تقدم خدمة الدعم للعملاء
وكانت التذكرة الخاص بي مسارها
https://test/support/22
ويتم الاستدعاء من خلال api من دومين فرعي
https://test1/api/support/22
دخلت على احد المواقع التي تقدم خدمة الدعم للعملاء
وكانت التذكرة الخاص بي مسارها
https://test/support/22
ويتم الاستدعاء من خلال api من دومين فرعي
https://test1/api/support/22
2⃣طريقة الاستغلال
لو حاولنا تغير ID
test/support/22 - 200 0k
to
test/support/33 - 403 Forbidden
من خلال عمل SCAN HTTP HEADER لموقع
راح يظهر معنا
https://test1/api/support/22 - 200 ok
نقوم بتغير ID من 22 الى 33
https://test1/api/support/33 - 200 0k
تم الاستغلال بنجاح 👍
لو حاولنا تغير ID
test/support/22 - 200 0k
to
test/support/33 - 403 Forbidden
من خلال عمل SCAN HTTP HEADER لموقع
راح يظهر معنا
https://test1/api/support/22 - 200 ok
نقوم بتغير ID من 22 الى 33
https://test1/api/support/33 - 200 0k
تم الاستغلال بنجاح 👍
3⃣اسباب الثغرة :
1- الدومين الفرعي test1 :
لا يوجد تحقق من صاحب المحتوى على الدومين الفرعي والذي يتم من خلال عمليات الـapi.
⤵️
🔍المحتوى + id
2-الدومين الاساسي test :
يوجد تحقق من العملية.
⤵️
🔍المحتوى + رقم العميل + id
1- الدومين الفرعي test1 :
لا يوجد تحقق من صاحب المحتوى على الدومين الفرعي والذي يتم من خلال عمليات الـapi.
⤵️
🔍المحتوى + id
2-الدومين الاساسي test :
يوجد تحقق من العملية.
⤵️
🔍المحتوى + رقم العميل + id
في النهاية..حاولت اجيب فكرة بيسطة جدا ويوجد افكار كثيرة 👍اتمنى ان الثريد نال على اعجابكم 🌹
جاري تحميل الاقتراحات...