hunt-shadow-api

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

OWASP API9 — Gerenciamento Incorreto de Inventário (APIs Sombra / Zumbis)

À medida que uma API evolui, versões antigas e rotas internas/de staging frequentemente permanecem acessíveis sem receber as mesmas correções de segurança que a versão atual — porque ninguém rastreia que elas ainda existem. O bug raramente está em um endpoint; está na diferença entre o que uma versão antiga impõe e o que a versão atual impõe na mesma operação.

Quando usar

Acione quando:

• Caminhos versionados são visíveis (/v1/, /v2/, /api/2023-01-01/) ou cabeçalhos Accept/X-API-Version estão em jogo.
• Um changelog, notas de lançamento ou aviso de depreciação referenciam comportamento de API removido/antigo.
• Um APK/IPA móvel (via apk-redteam-pipeline / ios-redteam-pipeline) codifica endpoints que parecem uma versão de backend mais antiga do que a que o aplicativo web atual chama.
• Múltiplas especificações OpenAPI/Swagger são descobertas, ou info.version em uma especificação implica que outras existem.

NÃO use para APIs de versão única sem histórico de versões — não há nada para comparar; vá diretamente para hunt-api-misconfig para exploração direta da única superfície que existe.

Estágio 1 — Enumerar a Superfície Completa de Versões

# Path-based versioning
for v in v1 v2 v3 v4 beta alpha internal legacy old 2022-01-01 2023-01-01 2024-01-01; do
  curl -s -o /dev/null -w "%{http_code} /api/$v/\n" "https://$TARGET/api/$v/"
done

# Header-based versioning
curl -s -H "X-API-Version: 1" https://$TARGET/api/users
curl -s -H "Accept: application/vnd.company.v1+json" https://$TARGET/api/users

# Subdomain-based versioning
for sub in api api-v1 api-v2 apiv1 apiv2 legacy-api old-api internal-api staging-api; do
  curl -s -o /dev/null -w "%{http_code} $sub\n" "https://$sub.$TARGET/"
done

Um 200/401/403 em um caminho de versão antigo (qualquer coisa exceto 404/connection-refused) significa que a versão ainda está ativa e vale a pena levá-la para o Estágio 3, mesmo que exija autenticação.

Estágio 2 — Obter Todas as Especificações Acessíveis, Não Apenas a Vinculada

for path in openapi.json swagger.json v1/swagger.json v2/swagger.json v3/api-docs \
            api-docs.json swagger/v1/swagger.json .well-known/openapi.json; do
  curl -s -o /dev/null -w "%{http_code} /$path\n" "https://$TARGET/$path"
done

# Wayback Machine — a DEPRECATED version's spec often stays indexed after the live link is removed
curl -s "http://web.archive.org/cdx/search/cdx?url=$TARGET/*swagger*&output=json&collapse=urlkey"
curl -s "http://web.archive.org/cdx/search/cdx?url=$TARGET/*openapi*&output=json&collapse=urlkey"

Quando mais de uma especificação é resolvida (uma atual e uma arquivada/antiga), compare os inventários de endpoints diretamente:

jq -r '.paths | keys[]' v1-swagger.json | sort > /tmp/v1_paths.txt
jq -r '.paths | keys[]' v2-swagger.json | sort > /tmp/v2_paths.txt
comm -23 /tmp/v1_paths.txt /tmp/v2_paths.txt   # in v1 only — candidates for "still live but forgotten"

Para cada caminho nessa diferença, confirme se ele ainda é acessível contra o URL base v1. Uma rota documentada apenas na especificação antiga que ainda retorna algo diferente de 404 é um candidato a endpoint zumbi — leve-o para o Estágio 3.

Estágio 3 — Comparação Comportamental Entre Versão Antiga e Atual

Para cada operação que existe em ambas as versões, compare o comportamento relevante para segurança, não a forma da resposta. Diferenças na forma da resposta são Informacionais; regressões de segurança comportamentais são a descoberta.

• Força da autenticação. A versão antiga aceita nenhum token, um token expirado ou um token de menor privilégio que a versão atual rejeita?

…