> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# Злоупотребление API
## Установка веб-сервера из GitHub (злоупотребление API)
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* Мы **зарегистрироваться** новый пользователь: 
## Разведка API
* Чтобы найти уязвимости API, важно начать с **хорошей разведки**. В разделе Network перехватите запрос так же, как вы бы делали с [Burp Suite](/ru/hacking-tools/web/burpsuite.md) используя XHR: 
* Чтобы **структурировать и сохранять** все запросы API должным образом, мы используем **Postman**:
```javascript
postman & disown &>/dev/null
```
* Создайте новую **коллекцию** где сгруппированы все запросы API. Для **POST** запросов вставьте **URL** и особенно raw **body**:  
* Он возвращает **токен в структуре JWT** для входа: 
* Создайте переменную с именем **accessToken** со значением токена входа: 
* В разделе **Авторизация**, привяжите переменную к типу **Токен Bearer**: 
* Сохраните все **возможные запросы**:
1. Панель управления: 
2. Продукты: 
3. Команда: 
## Уязвимости, связанные со злоупотреблением API:
### Восстановление токена методом перебора:
Есть возможность **сбросить пароль** путем получения токена по электронной почте:
На порту *8025*, есть **SMTP** где мы получаем токен:
Нажмите **Забыли пароль** с адресом электронной почты аккаунта, пароль которого вы хотите изменить:
Мы перехватываем **query** к API:
Мы отправляем запрос как **POST** с сырой структурой:
Мы используем **ffuf** чтобы запустить **атаку перебором**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
У **токен подтверждения** 0172 вернул **успешный код статуса** и пароль был автоматически изменен:
### Изменение цен на продукты и увеличение доступного баланса:
Мы ищем с помощью **ffuf** возможный метод запроса **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
Это все **возможные методы**:
Если мы перейдем с **GET** на **POST**, вот что происходит:
Это **массовом присваивании** уязвимость, позволяющая создавать продукт через **POST** запросы. В данном случае мы создаем продукт с **отрицательной** ценой:
Таким образом, **интерпретируется** веб-сервером:
Поскольку цена **отрицательной**, каждый раз, когда мы нажимаем **купить**, к нашему балансу добавляется 10 000 долларов:
Если в запросе **заказы**, мы укажем номер продукта, например количество 100, наш баланс будет умножен на **100 x 10 000**:
### Найдите действительный код купона:
Мы отправляем запрос **validate-coupon**:
Поскольку купон **неверный**, сервер ничего не возвращает:
Если мы попытаемся выполнить инъекцию [NoSQL ](/ru/web-vulnerabilities/nosql-attack.md)поскольку база данных **MongoDB**, она отвечает кодом купона:
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ru/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.