hunt-spa-api

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando usar esta habilidade

Ative quando:

• Um host alvo retornar um pequeno shell HTML + grandes pacotes /static/js/*.js ou /_next/static/* (SPA React/Vue/Angular/Next/Svelte)
• Você vir um subdomínio chamado console, app, dashboard, portal, admin, panel, manage, internal
• A recon encontrar qualquer host *api*, *-api*, api.*
• Uma página de login for controlada por OAuth/SSO (a autenticação do frontend não diz nada sobre se a API impõe autenticação)

O insight principal: uma SPA é um cliente para uma API backend e envia o mapa completo dessa API — hosts, rotas, às vezes chaves — para quem visualizar o código-fonte. A página de login protegida não diz nada sobre se a API por trás dela verifica tokens. A autenticação é frequentemente imposta no gateway/login e ausente em um grupo de rotas da API.

NÃO pule isso porque "o aplicativo precisa de login" — é exatamente quando isso compensa.

A jogada (5 passos)

1. Baixar o shell + enumerar os pacotes

curl -s https://console.target.com/ -o index.html
# React/CRA:
grep -oE '/static/js/[^"]+\.js' index.html
# Next.js:
grep -oE '/_next/static/[^"]+\.js' index.html
# generic:
grep -oiE 'src="[^"]+\.js[^"]*"' index.html

Baixe todos os pacotes (eles podem ter vários MB — tudo bem, são todos dados de rota):

mkdir bundles
for j in $(grep -oE '/static/js/[^"]+\.js' index.html | sort -u); do
  curl -s "https://console.target.com$j" -o "bundles/$(echo "$j"|tr '/' '_')"
done

2. Coletar hosts, rotas e segredos da API dos pacotes

B=bundles/*.js
# Backend API hosts (incl. dev/beta/staging variants — often weaker auth)
grep -ohiE 'https://[a-z0-9.-]*(api|console|backend|service)[a-z0-9.-]*\.target\.com[a-z0-9/_-]*' $B | sort -u
# Versioned API base paths
grep -ohiE '/api/v[0-9]+/?' $B | sort -u
# Route literals — minified bundles store routes as STRING segments, not full URLs.
# Grep for quoted "resource/action" strings:
grep -ohiE '"[a-z0-9_-]+/[a-z0-9_/-]+"' $B | tr -d '"' \
  | grep -iE '(login|user|account|order|billing|invoice|payment|deal|report|token|otp|password|reset|admin|profile|auth|upload|export|role|permission|dashboard|wallet|finance|sales)' | sort -u
# Secrets (validate before trusting — most AIza keys are Maps/analytics, not Auth)
grep -ohiE '(AIza[0-9A-Za-z_-]{35}|AKIA[0-9A-Z]{16}|sk_live_[0-9A-Za-z]+|eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}|apiKey["'"'"']?\s*[:=]\s*["'"'"'][^"'"'"']+)' $B | sort -u

Observação: minificadores armazenam rotas como segmentos de string concatenados (por exemplo, "account/payment/list"), NÃO URLs /api/v2/... completos — então um grep ingênuo /api/v* não retorna nada. Use grep para as strings de rota com palavras de recurso e adicione a base você mesmo.

Chunks carregados preguiçosamente (assíncronos) — não pare nos pacotes referenciados pelo HTML. SPAs CRA/webpack referenciam apenas runtime+main+vendor em index.html; chunks de rota assíncronos numerados são nomeados dentro do mapa de chunks de main.js e carregados em tempo de execução, então usar grep apenas /static/js/*.js do shell trunca a cobertura de rota para chunks eager.

grep -oE '[0-9]+:"[a-f0-9]+"' bundles/*main*.js        # {chunkId:"hash"} pairs
# reconstruct /static/js/<id>.<hash>.chunk.js, download each, re-run route/host/secret harvest
# asset-manifest.json (if present) lists them all -> hunt-source-leak

3. Estabelecer um CONTROLE — encontrar um endpoint que ESTEJA restrito

Antes de declarar qualquer coisa como vulnerável, envie uma solicitação não autenticada para um endpoint que você espera que seja protegido e capture como é uma rejeição correta:

curl -s -X POST https://api.target.com/api/users -H 'Content-Type: application/json' -d '{}'
# seguro → {"error":"Missing or invalid authorization header"} ou HTTP 401

…