> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# API の悪用
Web アプリケーションのペネトレーションテスト、悪用フロー、ペイロード検証、影響確認、修復の文脈のための API の悪用メモ。
## GitHubからのWebサーバーのインストール（APIの悪用）
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* 私たちは **登録** 新しいユーザー： 
## APIの偵察
* APIの脆弱性を見つけるには、まず **適切な偵察**から始めることが重要です。Networkセクションで、 [Burp Suite](/ja/hacking-tools/web/burpsuite.md) XHRを使用する場合と同様にリクエストをキャプチャします： 
* に **構造化して保存する** すべてのAPIリクエストを適切に保存するために、私たちは **Postman**:
```javascript
postman & disown &>/dev/null
```
* 新しい～を作成する **コレクション** を使用します。そこではすべてのAPIリクエストがグループ化されています。 **POST** リクエストでは、 **URL** と、特に生の **body**:  
* それは **JWT構造を持つトークンを返します** ログインの： 
* という変数を作成します **accessToken** をログイン時のトークン値で： 
* セクションで **認証**、変数をタイプに関連付けます **Bearer Token**: 
* すべて保存 **可能なリクエスト**:
1. ダッシュボード： 
2. 製品： 
3. コマンド: 
## APIの悪用に関連する脆弱性：
### ブルートフォースによるトークン復元：
〜するオプションがあります **パスワードをリセットする** メール経由でトークンを取得することにより：
ポート *8025*では、 **SMTP** トークンを受け取る場所があります：
クリック **パスワードを忘れた場合** パスワードを変更したいアカウントのメールアドレスを使って：
私たちは **クエリ** をAPIに対して：
私たちはリクエストを **POST** 生の構造で送信します：
次を使用します **ffuf** を起動するために **ブルートフォース攻撃**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
その **確認用トークン** 0172は **成功ステータスコードを返しました** 、パスワードは自動的に変更されました：
### 製品価格を変更し、利用可能残高を増やす：
私たちは **ffuf** リクエストの可能なメソッドを **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
これらはすべて **可能なメソッドです**:
もし私たちが〜から切り替えると **GET** に **POST**、こうなります：
これは **mass assignment** 製品を〜を通じて作成できる脆弱性です **POST** リクエスト。この場合、私たちは **負の** 価格の製品を作成します：
このようにして、それは **解釈されます** Webサーバーによって：
価格が **負の**、たびに私たちが **購入**をクリックすると、1万ドルが残高に追加されます：
もしリクエストの **注文**に、たとえば数量100で製品番号を挿入すると、私たちの残高は **100 x 10 000**:
### 有効なクーポンコードを見つける：
私たちは **validate-coupon**:
クーポンが **正しくない**ため、サーバーは何も返しません：
もしインジェクションを実行しようとすると [NoSQL ](/ja/web-vulnerabilities/nosql-attack.md)データベースが **MongoDB**、クーポンコードを返します：
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
