Топ-10 безопасности OWASP API: контрольный список с исправлениями

API4:2023 Неограниченное потребление ресурсов

API, которые принимают неограниченные запросы, позволяют злоумышленникам увеличить ваши счета за инфраструктуру и истощить базу данных. соединений или вызвать отказ в обслуживании. Это относится к отсутствующим ограничениям скорости и неограниченному запросу. параметры (например, ?limit=1000000), загрузки файлов без ограничения размера и конечные точки, которые запускать дорогостоящие фоновые задания.

Сценарий атаки: Конечная точка API генерирует отчеты в формате PDF. Злоумышленник отправляет 500 одновременные запросы, каждый из которых запрашивает 200-страничный отчет. Ваш рабочий пул заполняется и становится законным пользователи получают 503 ошибки в течение следующих 20 минут.

Исправить: Добавьте ограничение скорости для каждого пользователя и для каждого IP-адреса. Ограничить ограничения на нумерацию страниц на стороне сервера максимумы. Установите ограничения на размер загружаемых файлов. Используйте обработку на основе очередей для дорогостоящих операций.

// Express rate limiter per user
import rateLimit from "express-rate-limit";

const apiLimiter = rateLimit({
  windowMs: 60 * 1000, // 1 minute
  max: 30,             // 30 requests per minute per IP
  standardHeaders: true,
  legacyHeaders: false,
  message: { error: "Rate limit exceeded. Try again in 60 seconds." },
});

app.use("/api/", apiLimiter);

API5:2023 Неисправная авторизация на функциональном уровне

Недостатки авторизации на уровне функций позволяют обычным пользователям вызывать конечные точки администратора. Типичный образец: вызовы в админ-панель DELETE /api/admin/users/:id. Интерфейс скрывает кнопку от пользователи, не являющиеся администраторами, но сама конечная точка API не проверяет роли. Любой аутентифицированный пользователь, который обнаруживает URL-адрес, может удалять учетные записи.

Сценарий атаки: Разработчик находит /api/admin/export-all-users в пакете JavaScript. Они вызывают его со своим токеном обычного пользователя и загружают полную версию пользователя. база данных.

Исправить: Проверьте роль пользователя на уровне API для каждой конечной точки администратора. Не полагайтесь на интерфейс, чтобы скрыть функциональность. Маршруты администратора группы за промежуточным программным обеспечением, которое проверяет role === "admin" перед обработкой запроса.

API6:2023 Неограниченный доступ к конфиденциальным бизнес-потокам

Некоторые потоки API опасны в масштабе, даже если авторизован каждый отдельный запрос. Покупка предметы с ограниченным ассортиментом, создание бесплатных пробных учетных записей, отправка реферальных кодов; эти потоки сломаться при автоматизации. Бот регистрирует 10 000 бесплатных аккаунтов или покупает все билеты на флэш-распродаже. прежде чем реальный пользователь загрузит страницу.

Сценарий атаки: Реселлер кроссовок пишет бота, который звонит POST /api/checkout 500 раз за первую секунду ограниченного падения. Каждая пара продается ботам. Покупатели-люди видят «распродано» еще до завершения загрузки страницы.

Исправить: Добавляйте CAPTCHA или проверки выполнения работы в важные потоки. Отслеживать устройство отпечатки пальцев для обнаружения автоматизации. Установите ограничения на покупки для каждого пользователя. Используйте доступ на основе очередей для флэш-продажи вместо конечных точек в порядке очереди.

API7:2023 Подделка запросов на стороне сервера (SSRF)

SSRF происходит, когда API принимает URL-адрес от клиента и извлекает его на стороне сервера без проверка цели. Злоумышленник предоставляет http://169.254.169.254/latest/meta-data/ и ваш сервер возвращает учетные данные экземпляра AWS. Или они нацелены http://localhost:6379/ и взаимодействуйте с вашим экземпляром Redis.

Сценарий атаки: Интеграция веб-перехватчика позволяет пользователям указывать URL-адрес обратного вызова. Злоумышленник устанавливает обратный вызов на http://169.254.169.254/latest/meta-data/iam/security-credentials/ и получает учетные данные роли IAM вашего облачного провайдера в полезной нагрузке веб-перехватчика.

// Block internal network requests
const BLOCKED_RANGES = [
  /^10\\./, /^172\\.(1[6-9]|2\\d|3[01])\\./, /^192\\.168\\./,
  /^127\\./, /^0\\./, /^169\\.254\\./,
  /^localhost$/i, /^\\[::1\\]$/,
];

function isSafeUrl(urlString) {
  try {
    const url = new URL(urlString);
    const hostname = url.hostname;
    return !BLOCKED_RANGES.some((re) => re.test(hostname));
  } catch {
    return false;
  }
}

app.post("/api/fetch-url", async (req, res) => {
  const { url } = req.body;
  if (!isSafeUrl(url)) {
    return res.status(400).json({ error: "URL targets a blocked network range" });
  }
  // proceed with external fetch
});

Исправить: Проверьте и внесите в белый список целевые URL-адреса. Блокируйте частные диапазоны IP-адресов и облако конечные точки метаданных. Разрешите DNS перед отправкой запроса, чтобы предотвратить перепривязку DNS. Выполнить исходящий запросы из изолированного сегмента сети.

API8:2023 Неправильная конфигурация безопасности

Неправильная конфигурация — самая широкая категория риска. Он включает в себя отсутствующие ограничения CORS, подробную ошибку. сообщения, из-за которых происходит утечка трассировки стека, учетные данные по умолчанию на панелях администратора, включенные ненужные методы HTTP, TLS не применяется и отсутствуют заголовки безопасности. Любая отдельная неправильная конфигурация создает точку входа.

Сценарий атаки: API возвращает полные трассировки стека в ответах на производственные ошибки. Ан злоумышленник намеренно вызывает ошибки, читает трассировку стека, определяет версию ORM и базы данных, затем создает полезную нагрузку для внедрения на основе известных уязвимостей в этой версии.

Исправить: Удаление следов стека из производственных ответов. Настройте CORS, чтобы разрешить только ваши домены. Отключите методы HTTP, которые вы не используете. Применяйте TLS повсюду. Запустите автоматическую проверку заголовков безопасности. Очистите весь вывод HTML, чтобы предотвратить XSS.

The опубликованный API очистки HTML полоски вредоносные теги и атрибуты из HTML-кода, предоставленного пользователем:

curl -s -X POST https://api.botoi.com/v1/html-sanitize \\
  -H "Content-Type: application/json" \\
  -d '{
    "html": "<p>Hello</p><script>document.cookie</script><img onerror=alert(1) src=x>"
  }'

Ответ:

{
  "success": true,
  "data": {
    "sanitized": "<p>Hello</p><img src=\\"x\\">"
  }
}

The <script> тег и onerror атрибут удален. Безопасный HTML возвращается. Вызовите эту конечную точку перед сохранением или отображением любого HTML-кода, предоставленного пользователем.

API9:2023 Неправильное управление запасами

Старые версии API, забытые промежуточные конечные точки и недокументированные маршруты создают поверхность для атаки. не следить. Злоумышленники сканируют /v1/, /v2/, /api-dev/, и /internal/ пути. Они находят устаревшую конечную точку, в которой отсутствуют элементы управления безопасностью. вы добавили в текущую версию.

Сценарий атаки: Ваша команда отправила /v2/users с ролевым доступом контроль. Но /v1/users все еще работает в производстве без какого-либо разрешения. Злоумышленник обнаруживает путь v1 через общедоступный файл Swagger и извлекает всю таблицу пользователей.

Исправить: Поддерживайте полную инвентаризацию API. Списание старых версий; не оставляй их работает «на случай, если кто-то еще ими воспользуется». Обеспечьте каждую версию одним и тем же промежуточным программным обеспечением аутентификации. Сканировать ваша собственная инфраструктура для открытых путей на регулярной основе.

API10:2023 Небезопасное использование API

Ваш API вызывает сторонние сервисы: платежные системы, поставщики услуг электронной почты, API геокодирования. Если ты доверяйте их ответам без проверки, скомпрометированная или злонамеренная третья сторона может внедрить данные в вашу систему. Это включает в себя доверие к URL-адресам перенаправления, анализ непроверенного JSON или сохранение сторонние ответы без очистки.

Сценарий атаки: Ваше приложение получает данные компании из стороннего API-интерфейса. и хранит company_name поле прямо в вашей базе данных. API обогащения получает скомпрометирован, и злоумышленник внедряет <script> теги в названиях компаний. Каждый пользователь, который просматривает профиль компании на вашей информационной панели, выполняет сценарий.

Исправить: Проверяйте и очищайте все сторонние ответы перед сохранением или отображением. их. Используйте проверку схемы для входящих данных. Установите таймауты для внешних вызовов. Применить тот же ввод проверка сторонних данных, которые вы применяете к пользовательскому вводу.

Обнаружение раскрытия конфиденциальных данных в ответах API

Риски API1 и API3 часто приводят к тому, что конфиденциальные данные покидают ваш API. botoi API обнаружения личных данных сканирует текст на предмет Номера социального страхования, номера кредитных карт, адреса электронной почты, номера телефонов, IP-адреса и даты рождения. Запустите его в телах ответов API в интеграционных тестах, чтобы выявить случайные утечки данных перед развертыванием.

curl -s -X POST https://api.botoi.com/v1/pii/detect \\
  -H "Content-Type: application/json" \\
  -d '{
    "text": "Customer SSN is 123-45-6789 and card is 4111111111111111"
  }'

Ответ:

{
  "success": true,
  "data": {
    "found": true,
    "count": 2,
    "findings": [
      {
        "type": "ssn",
        "value": "123-45-6789",
        "start": 17,
        "end": 28,
        "masked": "***-**-6789"
      },
      {
        "type": "credit_card",
        "value": "4111111111111111",
        "start": 42,
        "end": 58,
        "masked": "************1111"
      }
    ]
  }
}

Если ваш ответ API вызывает обнаружение, ваша конечная точка возвращает данные, которые клиент не должен видеть. Исправьте запрос или DTO, чтобы исключить эти поля.

Шифрование конфиденциальных данных в состоянии покоя

Если ваш API хранит конфиденциальную конфигурацию, токены или учетные данные, зашифруйте их перед записью. в базу данных. API шифрования ботои обеспечивает шифрование AES-256-CBC:

curl -s -X POST https://api.botoi.com/v1/encrypt/encrypt \\
  -H "Content-Type: application/json" \\
  -d '{
    "text": "sensitive-api-token-abc123",
    "password": "your-secret-key"
  }'

Ответ:

{
  "success": true,
  "data": {
    "encrypted": "U2FsdGVkX1+abc...encrypted_output_here",
    "algorithm": "aes-256-cbc"
  }
}

Сохраните зашифрованный вывод. Расшифровать с помощью /v1/encrypt/decrypt только тогда, когда значение необходимо. Это ограничивает радиус взрыва, если злоумышленник получит доступ для чтения к вашей базе данных через Уязвимость BOLA или SQL-инъекции.

Контрольный список 10 лучших вопросов безопасности OWASP API

Распечатайте эту таблицу или добавьте ее в свой шаблон проверки безопасности. Проверяйте каждый элемент перед выпуском любого API.

Куда идти дальше

Полная документация OWASP API Security Top 10 находится по адресу owasp.org/API-Security. Каждая страница риска включает методы обнаружения, примеры сценариев атак и ссылки на CWE.

Для автоматических проверок интегрируйте указанные выше конечные точки botoi в свой конвейер CI. Запустите обнаружение личных данных против приспособлений ответа API. Санировать сохраненный HTML при записи. Проверяйте электронную почту новых пользователей на предмет взлома базы данных во время регистрации. Это небольшие дополнения к вашему набору тестов, которые улавливают сканеры рисков. мисс.