65、API攻防——接口安全&WebPack&REST&SOAP&WSDL&WebService

一、接口类型

1. HTTP类接口
2. PRC类接口
   客户端和服务端的连接，非web上的接口，可能不走http、https协议。
3. Web Service接口
   REST、SOAP都是接口技术方案。
   • REST：传递资源
   • SOAP

二、Webservice类——Wsdl&ReadyAPI-SQL注入

这种界面是一个接口界面，探针:?wsdl

工具：Soap UI、ReadyAPI、Postman。

三、SOAP类——Swagger&SoapUI&EXP-信息泄露

Swagger：java中第三方接口工具，用于调试接口。
相关目录：

1. /swagger
2. /api/swagger
3. /swagger/ui
4. /api/swagger/ui
5. /swagger-ui.html
6. /api/swagger-ui.html
7. /user/swagger-ui.html
8. /libs/swaggerui
9. /api/swaggerui
10. /swagger-resources/configuration/ui
11. /swagger-resources/configuration/ui

swagger-hack，运行swagger-hack2.0.py，主要关注状态码为200的请求。

四、HTTP类——WebPack&PackerFuzzer-信息泄露

webpack：一个用于javascript应用程序的静态模块打包工具。有些网站数据传输使用js进行数据传输，也就是ajax异步请求。

识别：

1. wappalyzer进行webpack的识别.
   
2. network加载资源：webpack... or main-xxxx.js or app-xxxx.js。
   
3. 工具：Packer-Fuzzer
   

   其实就是对js文件中的敏感文件进行分析。