API成批分配漏洞介绍与解决方案

news2024/11/18 5:43:07

一、API成批分配漏洞介绍

批量分配：在API的业务对象或数据结构中，通常存在多个属性，攻击者通过篡改属性值的方式，达到攻击目的。比如通过设置user.is_admin和user.is_manager的值提升用户权限等级；假设某API的默认接口调用参数为{"user_name":"user"，"is_admin":0}，而恶意攻击者修改请求参数，提交值为{"user_name":"attacker"，"is_admin":1}，通过修改参数is_admin的值来提升为管理员权限。

应用程序中潜藏的安全漏洞是一种非常大的隐患，攻击者会通过某一个安全漏洞窃取站点内的用户隐私等重要信息。在扫描应用程序时，我们需要对多项内容进行配置。那么，AppScan扫描应用程序需要URL吗？是需要的。在新版的AppScan还可以扫除API成批分配的问题，我们需要AppScan扫出API成批分配问题解决方案来解决。

APPScan 10.0.7新增的扫描功能 HCL AppScan® Enterprise 中的新增功能 (hcltechsw.com)，增加了批量分配API的规则。

AppScan扫描应用程序需要URL吗

AppScan扫描应用程序是否需要URL，那么我们就要看AppScan是如何扫描应用程序的。

1.启动扫描位置


图1：主界面

这里我们使用的是AppScan 10.0.8版本，启动软件后，单击主界面中【web应用程序】便可启动扫描进程。

2.配置扫描 


图2：配置界面

在配置界面中第一项便是要求填写【URL和服务器】，在图2中【从该URL开始扫描】位置输入目标URL即可。 

3.完全扫描模式下输入URL 


图3：完全扫描

当我们启动【完全扫描】模式时，在【探索】位置我们可以对【URL和服务器】进行配置，配置方式和【扫描web应用程序】的配置方式一致。

4.web API 

AppScan主界面中除了【web应用程序】和【完全配置】外，还有【web API】，web API的配置是不需要的填写URL的。


图4：扫描web API

web API虽然无需填写URL，但需要填写客户机和描述文件。

漏洞条件：

1、接口类型为application/json ，参数传值、form表单等类型暂未受影响。

2、请求json参数不是接收参数的javabean及其父类中的任意属性。

3、接口HTTP状态码为200

请求json参数不是接收参数的javabean及其父类中的任意属性。

意思就是：我javaben里面没有这个参数，你却传递过来了，例如我只需要pageNum和pageSize 你还传了role:admin 那么这样就有可能导致致特权升级、数据篡改、绕过安全机制。

二、AppScan扫出API成批分配问题

可利用性

利用通常需要了解业务逻辑、对象关系和 API 结构。 在 API 中利用批量分配更容易，因为按照设计，它们公开了应用程序的底层实现以及属性名称。

安全弱点

现代框架鼓励开发人员使用自动将客户端输入绑定到代码变量和内部对象的函数。 攻击者可以使用这种方法来更新或覆盖开发人员从未打算公开的敏感对象的属性。

影响

利用该漏洞可能会导致权限升级、数据篡改、绕过安全机制等。                       

API 是否容易受到攻击

现代应用程序中的对象可能包含许多属性。 其中一些属性应由客户端直接更新（例如，user.first_name 或 user.address），而另一些则不应该（例如，user.is_vip 标志）。

如果 API 端点自动将客户端参数转换为内部对象属性，而不考虑这些属性的敏感性和暴露级别，则该端点容易受到攻击。 这可能允许攻击者更新他们不应访问的对象属性。

敏感属性的示例

权限相关属性：user.is_admin、user.is_vip 只能由管理员设置。
与流程相关的属性：user.cash 只能在付款验证后在内部设置。
内部属性：article.created_time 只能由应用程序内部设置。

攻击场景示例

场景#1

乘车共享应用程序为用户提供了编辑其个人资料的基本信息的选项。 在此过程中，API 调用将使用以下合法 JSON 对象发送到 PUT /api/v1/users/me：

{“user_name” : “inons”，“age” : 24}

请求 GET /api/v1/users/me 包含一个额外的credit_balance 属性：

{"user_name" : "inons",  "age":24,  "credit_balance" : 10} 

攻击者使用以下有效负载重放第一个请求：

{“user_name” : “攻击者”，“age” : 60，“credit_balance” : 99999} 

由于端点容易受到大规模分配的影响，攻击者无需付费即可获得积分。 

场景#2

视频共享门户允许用户上传和下载不同格式的内容。 探索 API 的攻击者发现端点 GET /api/v1/videos/{video_id}/meta_data 返回带有视频属性的 JSON 对象。 其中一个属性是“mp4_conversion_params”:“-v codec h264”，这表示应用程序使用 shell 命令来转换视频。

攻击者还发现端点 POST /api/v1/videos/new 容易受到批量分配的影响，并允许客户端设置视频对象的任何属性。 攻击者设置恶意值如下：“mp4_conversion_params”：“-v codec h264 && format C:/”。 一旦攻击者将视频下载为 MP4，该值将导致 shell 命令注入。

攻击者利用批量分配漏洞

当来自客户端的手动修改不可变内部对象属性的请求不受 API 端点限制时，就会出现 API 批量分配漏洞。

攻击者可以利用此漏洞，通过构建 HTTP 请求来升级用户权限、绕过安全机制或使用任何其他方法使 API 端点以非设计的方式工作。

注意：批量分配和过多数据暴露在 OWASP API Sec 2019 中是一个单独的风险类别，现在已合并到名为“损坏对象属性级别授权”的新风险类别中。

如何预防 

如果可能，请避免使用自动将客户端输入绑定到代码变量或内部对象的函数。

仅将应由客户端更新的属性列入白名单。

使用内置功能将客户端不应访问的属性列入黑名单。

如果适用，请显式定义并强制执行输入数据有效负载的架构。

增加反序列化配置。

三、成批分配漏洞解决方案

方案1：增加反序列化配置方案

1、反序列化所使用的框架的配置

jackson

如果SpringBoot使用的默认jackson做的序列化，可以考虑对jackson配置来解决传冗余参的问题。

可以直接在配置文件中增加配置

spring:
  jackson:
    serialization:
      # 某些类对象无法序列化的时候，是否报错
      fail_on_empty_beans: true
    deserialization:
       # json对象中有不存在的属性时候，是否报错
      fail_on_unknown_properties: true

或自建配置类

@Configuration
public class JacksonConverters {

     @Bean
     public HttpMessageConverters JacksonHttpMessageConverters() {
         MappingJackson2HttpMessageConverter mappingJackson2HttpMessageConverter = new MappingJackson2HttpMessageConverter();
         ObjectMapper objectMapper = new ObjectMapper();
         //省略其他配置开始
         //反序列化的时候如果多了其他属性,抛出异常
         objectMapper.configure(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES, true);
         //省略其他配置结束
      }

}
fastjson

如果SpringBoot使用的是fastjson做的序列化，在2.0.42版本中增加了解决方案，可以考虑对fastjson配置来解决传冗余参的问题。

/**
 * @author admin
 */
@Configuration
public class Fastjson2Config {

    /**
     * 使用fastJson解析
     */
    @Bean
    public HttpMessageConverters fastJsonHttpMessageConverters() {
        FastJsonHttpMessageConverter converter = new FastJsonHttpMessageConverter();
        FastJsonConfig config = new FastJsonConfig();

        /*
         * API成批分配利用问题（反序列化的时候如果多了其他属性）修复方法：
         * 第一：json反序列化组件设置，如：fastjson与jackson
         * 第二：签名验证
         *
         * fastjson 2.0.42增加了ErrorOnUnknownProperties修复API成批分配利用问题，反序列化的时候如果多了其他属性,抛出异常
         * https://github.com/alibaba/fastjson2/issues/1944
         *
         * JSONObject jsonObject = JSONObject.of("id", 123, "name", "xxx");
         * String str = jsonObject.toJSONString();
         * assertEquals(jsonObject.getIntValue("id"), JSON.parseObject(str, Bean.class).id);
         * assertThrows(JSONException.class, () -> JSON.parseObject(str, Bean.class, JSONReader.Feature.ErrorOnUnknownProperties));
         * assertEquals(jsonObject.getIntValue("id"), jsonObject.toJavaObject(Bean.class).id);
         * assertThrows(JSONException.class, () -> jsonObject.toJavaObject(Bean.class, JSONReader.Feature.ErrorOnUnknownProperties));
         *
         * jackson中可以加入
         * spring:
         *   jackson:
         *     deserialization:
         *       fail-on-unknown-properties: true
         * 或
         * //反序列化的时候如果多了其他属性,抛出异常
         * objectMapper.configure(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES, true);
         *
         * 统一异常捕获或者返回处增加非200状态码
         *
         */
        config.setDateFormat("yyyy-MM-dd HH:mm:ss");
        config.setReaderFeatures(JSONReader.Feature.ErrorOnUnknownProperties);
        config.setWriterFeatures(JSONWriter.Feature.WriteMapNullValue, JSONWriter.Feature.PrettyFormat);

        converter.setDefaultCharset(StandardCharsets.UTF_8);
        List<MediaType> supportedMediaTypes = new ArrayList<>();
        supportedMediaTypes.add(MediaType.APPLICATION_JSON);

        converter.setFastJsonConfig(config);
        converter.setSupportedMediaTypes(supportedMediaTypes);
        return new HttpMessageConverters(converter);
    }

}

2、统一异常捕获或者返回处增加非200状态码 

 /**
  * 捕获反序列化异常HttpMessageNotReadableException，增加500状态码返回
  * @param request   请求
  * @param exception 异常对象
  * @return 响应
  */
@ExceptionHandler(value = HttpMessageNotReadableException.class)
public ResponseEntity<Map<String, Object>> methodHttpMessageNotReadableExceptionHandler(HttpServletRequest request, HttpMessageNotReadableException exception) {
    //按需重新封装需要返回的错误信息
    WebRequest webRequest = new ServletWebRequest(request);
    Map<String, Object> body = errorAttributes.getErrorAttributes(webRequest, ErrorAttributeOptions.defaults());
    body.put(DATA, "convert exception message to JSON");
    body.put(STATUS, HttpStatus.INTERNAL_SERVER_ERROR.value());
    body.put(MESSAGE, HttpStatus.INTERNAL_SERVER_ERROR.getReasonPhrase());
    body.put(SUCCESS,false);
    return new ResponseEntity<>(body, HttpStatus.INTERNAL_SERVER_ERROR);
}

或者在其他异常拦截方法上增加状态码注解

 @ResponseStatus()

方案二：接口使用参数签名机制

如HMac, HMac Springboot, 微信支付参数签名

#前端请求

请求 URL: http://localhost/cars/query

请求方法: POST

HTTP状态码：200

playload:{"color":"red","company":"ltl","seats":"2-2"} #正常请求

Header：sign：ErOVBda4VMFdX9aixigRslAjY0rhT7lLxy

#后端controller

@PostMapping(value = "/query")
public BaseResponse query(@RequestBody Car car) {
     String signFront = request.header("sign");
     String signBackend = SignUtils.handler(car);

     if(!signBackend.equals(signFront)) {
         throws new ServiceErrorException("签名异常");       
     }

}

Jackson类库解决方案 

Solution - Jackson @JsonView
We can create JSON view like below:

public class View {
    
    public static class Editable {}

    public static class Viewable extends Editable {}

    public static class Internal extends Viewable {}

}

Then annotate our mode class:

@JsonIgnoreProperties(ignoreUnknown = true)
public class Model implements Serializable {

 @JsonView(View.Editable.class)
 protected String editableField;

 @JsonView(View.Viewable.class)
 protected String viewableField; 

 @JsonView(View.Internal.class)
 protected String internalField;

}

 At last, we annotate out jax-rs resource with @JsonView annotation. 

@GET
@Produces(MediaType.APPLICATION_JSON )
@JsonView(View.Viewable.class)
public Iterable<Model> search() {}
@GET
@Path("{id}")
@Produces(MediaType.APPLICATION_JSON )
@JsonView(View.Viewable.class)
public Model getModel(@PathParam("id") final String id) {}
@POST
@Consumes({MediaType.APPLICATION_JSON})
public Response add(@JsonView(View.Editable.class) final Model model) {}

Spring MVC provides data binder that we can specify what fields are not allowed.

禁用字段：

@InitBinder 
public void initBinder(WebDataBinder binder) {
     binder.setDisallowedFields(DISALLOWED_FIELDS);
}

允许字段：

@Controller
public class UserController {

    @InitBinder
    public void initBinder(WebDataBinder binder, WebRequest request) {
         binder.setAllowedFields(["userid", "password", "email"]);
    }

    ...

}

四、总结

以上便是，AppScan扫描应用程序需要URL吗，AppScan扫出API成批分配问题解决方案的内容。AppScan扫描应用程序是需要URL的，同时AppScan完全扫描也是需要URL的，在新版的软件中，只有web API模式是无需URL的。新版的AppScan可以扫出API成批分配的问题，对于此类问题，我们只需要执行反序列化配置方案便可拦截API成批分配的问题。更多有关AppScan使用技巧，尽在AppScan中文网站！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1276409.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Mapper文件夹在resource目录下但是网页报错找不到productMapper.xml文件的解决

Mapper文件夹在resource目录下但是网页报错找不到productMapper.xml文件的解决

报错如下&#xff1a; 我的Mapper文件夹在resourse目录下但是网页报错找不到productMapper.xml。 结构如下&#xff1a;代码如下&#xff1a;<mappers><mapper resource"com/dhu/mapper/productMapper.xml" /> </mappers> 这段代码是在mybatis-co…
阅读更多...
html实现各种好看的鼠标滑过图片特效模板

html实现各种好看的鼠标滑过图片特效模板

文章目录 1.鼠标悬浮效果1.1 渐动效果1.2 渐变效果1.3 边框效果1.4 线行效果1.5 图标效果1.6 块状效果1.7 边线效果1.8 放大效果1.9 渐出效果1.10 痕迹效果1.11 交叉效果1.12 着重效果1.13 详展效果1.14 能动效果1.15 明细效果 2.主要源码2.1 源代码 源码下载 作者&#xff1a;…
阅读更多...
windows系统如何配置yarn环境变量

windows系统如何配置yarn环境变量

启动前端项目&#xff0c;突然遇到报错&#xff1a; 原因在于没有安装yarn&#xff0c;或没有配置环境变量。 全局安装 yarn 可在vsCode中输入&#xff0c;也可在命令行输入&#xff08;winR&#xff0c;输入cmd&#xff09; npm install -g yarn添加环境变量 找到yarn的安…
阅读更多...
【算法】单调栈题单——字典序最小⭐（一种类型的模板题）

【算法】单调栈题单——字典序最小⭐（一种类型的模板题）

文章目录 题目列表316. 去除重复字母⭐⭐⭐⭐⭐&#xff08;类型题模板&#xff1a;单调栈&#xff0c;字典序最小&#xff09;221021天池-03. 整理书架&#xff08;保留数量为 limit 的字典序最小&#xff09;402. 移掉 K 位数字&#xff08;最多删除 k 次 前导零的处理&…
阅读更多...
从0开始学习JavaScript--JavaScript 单元测试

从0开始学习JavaScript--JavaScript 单元测试

JavaScript单元测试是保障代码质量和可维护性的关键步骤之一。通过编写和运行单元测试&#xff0c;开发者可以确保代码在不断迭代的过程中依然具有正确的行为。本文将深入探讨JavaScript单元测试的核心概念、工具使用和最佳实践&#xff0c;并通过丰富的示例代码演示其实际应用…
阅读更多...
mac 系统 vmware 安装centos8

mac 系统 vmware 安装centos8

选择镜像 安装系统 依次设置有告警的项目 设置用户名密码 设置root密码 重启系统 重启成功进入下面界面 勾选&#xff0c;点击done 点击箭头所指按钮 输入密码登录 安装成功了 设置网络 打开终端 切换root用户 输入下面指令 su root 输入root的密码 安装git
阅读更多...
振动温度一体式传感器的工作原理及其在设备状态监测中的作用

振动温度一体式传感器的工作原理及其在设备状态监测中的作用

振动温度一体式传感器是一种先进的监测设备&#xff0c;可以同时测量和监测目标物体的振动和温度信息。它结合了振动传感技术和温度传感技术&#xff0c;为工业领域提供了全面而高效的设备状态监测解决方案。在振动温度一体式传感器中&#xff0c;有线和无线两种类型分别在设备…
阅读更多...
[github全教程]github版本控制最全教学------- 大厂找工作面试必备!

[github全教程]github版本控制最全教学------- 大厂找工作面试必备!

作者&#xff1a;20岁爱吃必胜客&#xff08;坤制作人&#xff09;&#xff0c;近十年开发经验, 跨域学习者&#xff0c;目前于新西兰奥克兰大学攻读IT硕士学位。荣誉&#xff1a;阿里云博客专家认证、腾讯开发者社区优质创作者&#xff0c;在CTF省赛校赛多次取得好成绩。跨领域…
阅读更多...
iOS简单理解区分MVC、MVP、MVVM

iOS简单理解区分MVC、MVP、MVVM

MVC、MVP、MVVM 前言 这篇文章简单介绍MVC、MVP和MVVM三种架构&#xff0c;并配上一个简单的Swift demo来区分MVC和MVVM两种架构。 MVC 传统MVC 下图是传统结构MVC&#xff0c;可以看到这种结构是紧耦合的&#xff0c;不推荐使用。 苹果的MVC 如下图&#xff0c;这是苹果…
阅读更多...
【翻译】直流电动机的控制

【翻译】直流电动机的控制

直流电&#xff08;DC&#xff09;电机由于其转矩易于控制&#xff0c;速度控制范围广&#xff0c;已广泛应用于可调速驱动或可变转矩控制中。然而&#xff0c;直流电机有一个主要的缺点&#xff0c;即它们需要机械装置&#xff0c;如换向器和刷子来连续旋转。这些机械部件需要…
阅读更多...
windows配置go调用python的编译环境

windows配置go调用python的编译环境

go是支持调用python代码的&#xff0c;之前写了几篇linux的部署教程&#xff0c;因为觉得windows的不复杂就没有写&#xff0c;结果今天新部署一个Windows的环境&#xff0c;有些步骤想不起来了&#xff0c;好记性不如烂笔头&#xff0c;还是记录一下吧。 这些是之前写的linux…
阅读更多...
FlowJo软件的简单介绍 掌控流式细胞分析的科技巨匠 FlowJo10

FlowJo软件的简单介绍 掌控流式细胞分析的科技巨匠 FlowJo10

FlowJo 10 for Mac是一款强大的流式细胞数据分析软件&#xff0c;具有以下功能&#xff1a; 数据导入与预处理&#xff1a;FlowJo 10可以轻松导入各种类型的流式细胞数据&#xff0c;并对数据进行预处理&#xff0c;包括去噪、背景校正等&#xff0c;以确保数据的准确性和可靠…
阅读更多...
STM32F407-14.3.9-01输出比较模式

STM32F407-14.3.9-01输出比较模式

输出比较模式 此功能用于控制输出波形&#xff0c;或指示已经过某一时间段。 当捕获/比较寄存器与计数器之间相匹配时&#xff0c;输出比较功能&#xff1a; ● 将为相应的输出引脚分配一个可编程值&#xff0c;该值由输出比较模式&#xff08;TIMx_CCMRx 寄存器中的 OCxM⑦…
阅读更多...
[网鼎杯 2020 青龙组]singal 1

[网鼎杯 2020 青龙组]singal 1

前言 在主函数中找到了一个vm的译码器&#xff0c;译码器主要是解释传入的opcode&#xff0c;然后对我们输入的字符操作&#xff0c;这里我们发现他是单字节比较的&#xff0c;方法很多可以使用单字节映射&#xff0c;也可以是使用符号化执行&#xff0c;当然也可以硬着头皮去…
阅读更多...
Docker 环境中 Spring Boot 应用的 Arthas 故障排查与性能优化实战

Docker 环境中 Spring Boot 应用的 Arthas 故障排查与性能优化实战

&#x1f680; 作者主页&#xff1a; 有来技术 &#x1f525; 开源项目&#xff1a; youlai-mall &#x1f343; vue3-element-admin &#x1f343; youlai-boot &#x1f33a; 仓库主页&#xff1a; Gitee &#x1f4ab; Github &#x1f4ab; GitCode &#x1f496; 欢迎点赞…
阅读更多...
EasyExcel两行表头

EasyExcel两行表头

例子&#xff1a; 代码&#xff1a; StorageService localStorageService storageFactory.getLocalStorageService();String path "";// 文件信息String dateTime DateUtils.formatTimestampToString(new Date());String title "xxx统计";String fil…
阅读更多...
TZOJ 1379 C语言合法标识符

TZOJ 1379 C语言合法标识符

答案&#xff1a; #include <stdio.h> #include <string.h> int main() {char arr[60];int n 0, i 0, num 0, flag;scanf("%d", &n);getchar(); //读取回车键while (n--) //循环N次{gets(arr);num strlen(arr); //num为字符串长度flag 1; …
阅读更多...
Echarts大屏可视化_05 折线图的定制开发

Echarts大屏可视化_05 折线图的定制开发

继续跟着pink老师学习Echarts相关内容&#xff01;&#xff01;&#xff01;&#xff01;&#xff01;&#xff01;&#xff01;&#xff01;&#xff01; 折线图1 1.引入 折线图选取示例地址 标题没有用到就给他删了 直接引入 注意这里是line下面的chart 获取dom元素一定不…
阅读更多...
java餐饮刀削面快餐店点餐服务系统springboot+jsp

java餐饮刀削面快餐店点餐服务系统springboot+jsp

网上点餐省去了客户很多不必要的时间和麻烦&#xff0c;给商家带来更多利益。同时&#xff0c;网上点餐可以辅助餐饮企业营销。传统的点餐是需要配备一个专业的服务员负责菜品介绍并记录顾客点单&#xff0c;确认后上交至后台厨房&#xff0c;厨房根据菜品种类安排做菜顺序最终…
阅读更多...
Spring 多数据源搭建

Spring 多数据源搭建

目录 前言 正文 1.Druid 介绍和使用 2.其他多数据源解决方案 总结 前言 对于复杂的业务和项目&#xff0c;可能在一个单体项目中存在需要连接多个数据库的情况。这时&#xff0c;就会使用到多数据源&#xff0c;实际中遇到的可能性比较大。 正文 如果一个项目中需要连…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023