ارزیابی امنیتی و آزمون نفوذ API

ما همه انواع APIها را تست می‌کنیم شامل REST API، GraphQL API، سرویس‌های وب SOAP/XML، gRPC API، WebSocket API و پیاده‌سازی‌های webhook. تست ما هم APIهای عمومی و هم APIهای داخلی/میکروسرویس را پوشش می‌دهد. ما با هر API بدون توجه به استک فناوری یا فریم‌ورک استفاده شده کار می‌کنیم.

BOLA (شکست مجوز سطح شیء) که به IDOR هم معروف است، زمانی رخ می‌دهد که API به درستی تأیید نمی‌کند که کاربر درخواست‌کننده مجوز دسترسی به یک شیء خاص را دارد. مثلاً تغییر /api/users/123 به /api/users/456 برای دسترسی به داده‌های کاربر دیگر. این ریسک شماره ۱ است چون بسیار رایج، آسان برای سوءاستفاده و می‌تواند منجر به نقض داده گسترده شود.

GraphQL نگرانی‌های امنیتی منحصربه‌فردی دارد: کوئری‌های introspection می‌توانند کل schema را افشا کنند، کوئری‌های تودرتو می‌توانند از طریق حملات پیچیدگی DoS ایجاد کنند، batching حملات brute-force را ممکن می‌سازد و مجوزدهی سطح فیلد اغلب نادیده گرفته می‌شود. ما برای آسیب‌پذیری‌های خاص GraphQL شامل حملات عمق کوئری، DoS مبتنی بر alias و mutationها بدون مجوز مناسب تست می‌کنیم.

مستندات (OpenAPI/Swagger، کالکشن‌های Postman) به تسریع تست کمک می‌کند، اما الزامی نیست. ما می‌توانیم endpointهای API را از طریق تحلیل ترافیک، مهندسی معکوس اپ موبایل یا بررسی وب اپلیکیشن کشف کنیم. ما اغلب endpointهای مستندنشده را پیدا می‌کنیم که در مستندات رسمی نیستند اما همچنان قابل دسترسی هستند.

زمان‌بندی به پیچیدگی و دامنه API بستگی دارد. ارزیابی یک REST API معمولی با ۲۰-۵۰ endpoint حدود ۱-۲ هفته طول می‌کشد. APIهای پیچیده با روش‌های احراز هویت متعدد، منطق تجاری گسترده یا GraphQL حدود ۲-۳ هفته نیاز دارند. معماری‌های میکروسرویس بزرگ ممکن است ۴+ هفته نیاز داشته باشند. ما تخمین دامنه دقیق را در مشاوره اولیه ارائه می‌دهیم.

ما از ابزارهای پیشرو صنعت استفاده می‌کنیم شامل Burp Suite با افزونه‌های خاص API، Postman برای تعامل با API، OWASP ZAP برای اسکن خودکار، اسکریپت‌های سفارشی Python/Go برای fuzzing، ابزارهای خاص GraphQL مانند InQL و GraphQL Voyager و ابزارهای تخصصی برای تست JWT و تحلیل rate limit.

بله، ما تجربه گسترده‌ای در تست جریان‌های OAuth 2.0 (Authorization Code، PKCE، Client Credentials)، OpenID Connect، احراز هویت مبتنی بر JWT، طرح‌های API key و مکانیزم‌های احراز هویت سفارشی داریم. ما برای نشت توکن، اعتبارسنجی نادرست توکن، دور زدن scope و سایر آسیب‌پذیری‌های احراز هویت تست می‌کنیم.

شما دریافت می‌کنید: خلاصه مدیریتی، گزارش فنی با امتیازات CVSS و درخواست‌های PoC، راهنمای رفع با نمونه کد، کالکشن Postman/Swagger تمام endpointهای تست شده، فهرست API با رتبه‌بندی ریسک و نقشه‌برداری انطباقی. به علاوه جلسه توضیح گزارش و تست مجدد رایگان.

بله، ما هم APIهای خارجی و هم داخلی را تست می‌کنیم. APIهای داخلی اغلب فاقد احراز هویت مناسب هستند با این فرض که "فقط داخلی" هستند، اما مهاجمانی که محیط را نقض می‌کنند می‌توانند از این‌ها سوءاستفاده کنند. ما می‌توانیم با دسترسی VPN، محیط‌های تست یا API gatewayها برای ارزیابی امنیت API داخلی شما کار کنیم.

هزینه به این عوامل بستگی دارد: تعداد endpointها، پیچیدگی API (REST در برابر GraphQL در برابر gRPC)، مکانیزم‌های احراز هویت، نیاز به تست منطق تجاری و الزامات انطباقی. ارزیابی پایه REST API از یک نقطه قیمت شروع می‌شود، در حالی که تست جامع معماری‌های میکروسرویس پیچیده هزینه بیشتری دارد. برای مشاوره رایگان و قیمت دقیق با ما تماس بگیرید.

الزامی نیست، اما تعیین می‌کند که زمان صرف چه چیزی شود. با فایل مشخصات، مجموعه‌ای در Postman یا نمونه‌ای از ترافیک واقعی، کار از همان ابتدا روی تست شروع می‌شود. بدون آن، بخش نخست پروژه صرف کشف چیزی می‌شود که وجود دارد، و هر endpoint مستندنشده‌ای که پیدا نکنیم آزمون‌نشده می‌ماند.

چون مجوزدهی شکسته در سطح شیء نخستین مورد OWASP API Top 10 است و با یک حساب نمی‌توان آن را نشان داد. آزمون این است که آیا کاربر الف می‌تواند داده‌ی کاربر ب را بخواند یا تغییر دهد، و برای این کار به یک «ب» واقعی نیاز است.

دروازه تعیین می‌کند چیزی با چه سرعتی صدا زده شود، اما تصمیم نمی‌گیرد که آن فراخوان اصلاً مجاز بوده است یا نه. مجوزدهی، منطق کسب‌وکار و داده‌ای که در پاسخ برمی‌گردد پشت دروازه می‌نشینند و از آن تأثیر نمی‌گیرند. به همین دلیل بخشی از تست با عبور دادن نشانی ما انجام می‌شود تا خودِ API سنجیده شود نه دروازه‌ی جلوی آن.

بله، با ساعت‌ها و محدودیت‌هایی که از پیش توافق شده باشد. دو بخش دقت می‌خواهد: آزمون محدودیت منابع یعنی فرستادن ترافیکی که شبیه سوءاستفاده است، و هر عملیاتی که چیزی می‌نویسد نیاز به توافق دارد درباره‌ی اینکه چه چیزی ساخته شود و بعد چطور پاک شود.