Testando Fraquezas de Autenticação de API

Quando Usar

• Avaliando mecanismos de autenticação de API REST para vulnerabilidades de bypass antes da implantação em produção
• Testando a implementação de tokens JWT para fraquezas comuns (nenhum algoritmo, confusão de chave, expiração ausente)
• Avaliando se todos os endpoints da API impõem autenticação ou se alguns estão expostos não intencionalmente
• Testando mecanismos de geração, armazenamento e rotação de chaves de API para previsibilidade ou vazamento
• Validando o gerenciamento de sessão, incluindo expiração de token, revogação e segurança de token de atualização

Não use sem autorização por escrito. Testes de autenticação envolvem tentativas de contornar controles de segurança.

Pré-requisitos

• Autorização por escrito especificando a API alvo e os mecanismos de autenticação em escopo
• Credenciais de teste válidas para pelo menos duas funções de usuário (usuário regular, administrador)
• Burp Suite Professional com extensões relacionadas a JWT (JSON Web Tokens, JWT Editor)
• Python 3.10+ com requests, PyJWT e jwt bibliotecas
• Listas de palavras para teste de credenciais (listas de palavras de autenticação SecLists)
• Documentação da API ou especificação OpenAPI

Fluxo de Trabalho

Etapa 1: Identificação do Mecanismo de Autenticação

import requests
import json

BASE_URL = "https://target-api.example.com/api/v1"

# Probe the API to identify authentication mechanisms
auth_indicators = {
    "jwt_bearer": False,
    "api_key_header": False,
    "api_key_query": False,
    "basic_auth": False,
    "oauth2": False,
    "session_cookie": False,
    "custom_token": False,
}

# Test 1: Check unauthenticated access
resp = requests.get(f"{BASE_URL}/users/me")
print(f"Unauthenticated: {resp.status_code}")
if resp.status_code == 200:
    print("[CRITICAL] Endpoint accessible without authentication")

# Test 2: Check WWW-Authenticate header
if "WWW-Authenticate" in resp.headers:
    scheme = resp.headers["WWW-Authenticate"]
    print(f"Auth scheme advertised: {scheme}")
    if "Bearer" in scheme:
        auth_indicators["jwt_bearer"] = True
    elif "Basic" in scheme:
        auth_indicators["basic_auth"] = True

# Test 3: Login and examine tokens
login_resp = requests.post(f"{BASE_URL}/auth/login",
    json={"username": "testuser@example.com", "password": "TestPass123!"})

if login_resp.status_code == 200:
    login_data = login_resp.json()
    # Check for JWT tokens
    for key in ["token", "access_token", "jwt", "id_token"]:
        if key in login_data:
            token = login_data[key]
            if token.count('.') == 2:
                auth_indicators["jwt_bearer"] = True
                print(f"JWT found in response field: {key}")
    # Check for refresh tokens
    for key in ["refresh_token", "refresh"]:
        if key in login_data:
            print(f"Refresh token found in field: {key}")
    # Check for session cookies
    for cookie in login_resp.cookies:
        print(f"Cookie set: {cookie.name} = {cookie.value[:20]}...")
        if "session" in cookie.name.lower():
            auth_indicators["session_cookie"] = True

print(f"\nAuthentication mechanisms detected: {[k for k,v in auth_indicators.items() if v]}")

Etapa 2: Descoberta de Endpoints Não Autenticados

# Test all endpoints without authentication
endpoints = [
    ("GET", "/users"),
    ("GET", "/users/me"),
    ("GET", "/users/1"),
    ("GET", "/admin/users"),
    ("GET", "/admin/settings"),
    ("GET", "/health"),
    ("GET", "/metrics"),
    ("GET", "/debug"),
    ("GET", "/actuator"),
    ("GET", "/actuator/env"),
    ("GET", "/swagger.json"),
    ("GET", "/api-docs"),
    ("GET", "/graphql"),
    ("POST", "/graphql"),
    ("GET", "/config"),
    ("GET", "/internal/status"),
    ("GET", "/.env"),
    ("GET", "/status"),
    ("GET", "/info"),
    ("GET", "/version"),
]

print("Unauthenticated Endpoint Scan:")
for method, path in endpoints:
    try:
        resp = requests.request(method, f"{BASE_URL}{path}", timeout=5)
        if resp.status_code not in (401, 403):
            content_preview = resp.text[:100] if resp.text else "empty"
            print(f"  [OPEN] {method} {path} -> {resp.status_code}: {content_preview}")
    except requests.exceptions.RequestException:
        pass

Etapa 3: Análise de Token JWT

import base64
import json
import hmac
import hashlib

def decode_jwt_parts(token):
    """Decodifica partes do JWT (cabeçalho e payload) sem verificação."""
    parts = token.split('.')
    if len(parts) != 3:
        return None, None

    def pad_base64(s):

…