> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# API-Missbrauch
## Webserver-Installation von GitHub (API-Missbrauch)
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* Wir **registrieren** ein neuer Benutzer: 
## Aufklärung der API
* Um API-Schwachstellen zu finden, ist es wichtig, mit **guter Aufklärung**. Im Abschnitt Netzwerk erfassen Sie die Anfrage so wie Sie es mit [Burp Suite](/de/hacking-tools/web/burpsuite.md) unter Verwendung von XHR: 
* Um **strukturieren und speichern** alle API-Anfragen ordnungsgemäß, verwenden wir **Postman**:
```javascript
postman & disown &>/dev/null
```
* Erstellen Sie eine neue **Sammlung** in der alle API-Anfragen gruppiert werden. Für **POST** Anfragen fügen Sie die **URL** und insbesondere die rohe **Body**:  
* Es gibt das **Token mit der Struktur JWT** des Logins zurück: 
* Erstellen Sie eine Variable mit dem Namen **accessToken** mit dem Wert des Login-Tokens: 
* Im Abschnitt **Autorisierung**, ordnen Sie die Variable dem Typ **Bearer Token**: 
* Speichern Sie alle **möglichen Anfragen**:
1. Dashboard: 
2. Produkte: 
3. Befehl: 
## Schwachstellen im Zusammenhang mit API-Missbrauch:
### Brute-Force-Token-Wiederherstellung:
Es gibt eine Option zum **Zurücksetzen des Passworts** durch Abrufen eines Tokens per E-Mail:
Auf Port *8025*, gibt es eine **SMTP** in der wir das Token erhalten:
Klicken **Passwort vergessen** mit der E-Mail-Adresse des Kontos, dessen Passwort Sie ändern möchten:
Wir erfassen die **query** an die API:
Wir senden die Anfrage als **POST** mit der Rohstruktur:
Wir verwenden **ffuf** um einen **Brute-Force-Angriff**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
Das **Bestätigungstoken** 0172 gab einen **erfolgreichen Statuscode zurück** und das Passwort wurde automatisch geändert:
### Produktpreise ändern und den verfügbaren Kontostand erhöhen:
Wir suchen mit **ffuf** der möglichen Methode der Anfrage **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
Dies sind alle **möglichen Methoden**:
Wenn wir von **GET** zu **POST**, geschieht Folgendes:
Dies ist eine **Mass Assignment** Schwachstelle, die die Erstellung von Produkten durch **POST** Anfragen ermöglicht. In diesem Fall erstellen wir ein Produkt mit einem **negativen** Preis:
Auf diese Weise wird es **interpretiert** vom Webserver:
Da der Preis **negativen**, wird jedes Mal, wenn wir auf **kaufen**, 10.000 Dollar zu unserem Kontostand hinzugefügt:
Wenn in der Anfrage **Bestellungen**, wir die Nummer des Produkts einfügen, zum Beispiel mit einer Menge von 100, wird unser Kontostand mit **100 x 10.000**:
### Einen gültigen Gutscheincode finden:
Wir senden die Anfrage von **validate-coupon**:
Da der Gutschein **nicht korrekt**, gibt der Server nichts zurück:
Wenn wir versuchen, eine Injektion auszuführen [NoSQL ](/de/web-vulnerabilities/nosql-attack.md)weil die Datenbank **MongoDB**, antwortet sie mit dem Gutscheincode:
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/de/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.