> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# Abuso de API
## Instalación del servidor web desde GitHub (abuso de la API)
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* Nosotros **registrar** un nuevo usuario: 
## Reconocimiento de la API
* Para encontrar vulnerabilidades de la API, es importante comenzar con **un buen reconocimiento**. En la sección Network, captura la solicitud como lo harías con [Burp Suite](/es/hacking-tools/web/burpsuite.md) usando XHR: 
* Para **estructurar y almacenar** todas las solicitudes de la API correctamente, usamos **Postman**:
```javascript
postman & disown &>/dev/null
```
* Crear una nueva **colección** donde se agrupan todas las solicitudes de la API. Para **POST** solicitudes, pega el **URL** y especialmente la solicitud en bruto **cuerpo**:  
* Devuelve el **token con la estructura JWT** del inicio de sesión: 
* Crea una variable llamada **accessToken** con el valor del token de inicio de sesión: 
* En la sección **autorización**, asocia la variable al tipo **Bearer Token**: 
* Guarda todos **las solicitudes posibles**:
1. Panel de control: 
2. Productos: 
3. Comando: 
## Vulnerabilidades relacionadas con el abuso de la API:
### Recuperación de token por fuerza bruta:
Hay una opción para **restablecer la contraseña** recuperando un token por correo electrónico:
En el puerto *8025*, hay un **SMTP** donde recibimos el token:
Haga clic **Olvidé mi contraseña** con la dirección de correo electrónico de la cuenta cuya contraseña quieres cambiar:
Capturamos el **query** a la API:
Enviamos la solicitud como **POST** con la estructura en bruto:
Usamos **ffuf** para lanzar un **ataque de fuerza bruta**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
El **token de confirmación** 0172 devolvió un **código de estado exitoso** y la contraseña se ha cambiado automáticamente:
### Modificar los precios de los productos y aumentar el saldo disponible:
Buscamos con **ffuf** el método posible de la solicitud **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
Estos son todos **métodos posibles**:
Si cambiamos de **GET** a **POST**, esto es lo que sucede:
Esta es una **asignación masiva** vulnerabilidad que permite crear productos mediante **POST** solicitudes. En este caso, creamos un producto con un **negativo** precio:
De esta manera, se **interpreta** por el servidor web:
Como el precio es **negativo**, cada vez que hacemos clic en **comprar**, se añaden 10 000 dólares a nuestro saldo:
Si en la solicitud **órdenes**, insertamos el número del producto con, por ejemplo, una cantidad de 100, nuestro saldo se multiplicará por **100 x 10 000**:
### Encontrar un código de cupón válido:
Enviamos la solicitud de **validate-coupon**:
Como el cupón es **incorrecto**, el servidor no devuelve nada:
Si intentamos ejecutar una inyección [NoSQL ](/es/web-vulnerabilities/nosql-attack.md)porque la base de datos es **MongoDB**, responde con el código de cupón:
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/es/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.