> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# Abus d’API
## Installation du serveur Web depuis GitHub (abus d'API)
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* Nous **s’inscrire** un nouvel utilisateur : 
## Reconnaissance de l'API
* Pour trouver des vulnérabilités API, il est important de commencer par **une bonne reconnaissance**. Dans la section Network, capturez la requête comme vous le feriez avec [Burp Suite](/fr/hacking-tools/web/burpsuite.md) en utilisant XHR : 
* Pour **structurer et stocker** toutes les requêtes API correctement, nous utilisons **Postman**:
```javascript
postman & disown &>/dev/null
```
* Créer une nouvelle **collection** où toutes les requêtes API sont regroupées. Pour **POST** les requêtes, collez le **URL** et surtout le brut **corps**:  
* Il renvoie le **jeton avec la structure JWT** de la connexion : 
* Créez une variable nommée **accessToken** avec la valeur du jeton de connexion : 
* Dans la section **autorisation**, associez la variable au type **Bearer Token**: 
* Enregistrez toutes **les requêtes possibles**:
1. Tableau de bord : 
2. Produits : 
3. Commande : 
## Vulnérabilités liées à l'abus d'API :
### Récupération de jeton par force brute :
Il existe une option pour **réinitialiser le mot de passe** en récupérant un jeton par e-mail :
Sur le port *8025*, il y a un **SMTP** où nous recevons le jeton :
Cliquez **Mot de passe oublié** avec l'adresse e-mail du compte dont vous voulez changer le mot de passe :
Nous capturons le **paramètre query** à l'API :
Nous envoyons la requête comme **POST** avec la structure brute :
Nous utilisons **ffuf** pour lancer une **attaque par force brute**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
Le **jeton de confirmation** 0172 a renvoyé un **code de statut réussi** et le mot de passe a été changé automatiquement :
### Modifier les prix des produits et augmenter le solde disponible :
Nous recherchons avec **ffuf** la méthode possible de la requête **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
Ce sont toutes **les méthodes possibles**:
Si nous passons de **GET** en **POST**, voici ce qui se passe :
C'est une **affectation massive** vulnérabilité qui permet la création de produits via **POST** des requêtes. Dans ce cas, nous créons un produit avec un **prix négatif** :
De cette façon, c'est **interprété** par le serveur Web :
Comme le prix est **prix négatif**, chaque fois que nous cliquons sur **acheter**, 10 000 dollars sont ajoutés à notre solde :
Si, dans la requête **de commandes**, nous insérons le numéro du produit avec par exemple une quantité de 100, notre solde sera multiplié par **100 x 10 000**:
### Trouver un code promo valide :
Nous envoyons la requête de **validate-coupon**:
Parce que le coupon est **incorrect**, le serveur ne renvoie rien :
Si nous essayons d'exécuter une injection [NoSQL ](/fr/web-vulnerabilities/nosql-attack.md)parce que la base de données est **MongoDB**, elle répond avec le code promo :
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/fr/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.