Testando API para Autorização em Nível de Objeto Quebrado (BOLA)

Quando Usar

• Avaliando APIs REST ou GraphQL que usam identificadores de objeto em caminhos de URL, parâmetros de consulta ou corpos de requisição
• Realizando avaliações do OWASP API Security Top 10 onde API1:2023 (BOLA) precisa ser testado
• Testando aplicações SaaS multi-tenant onde usuários de diferentes tenants não devem acessar os dados uns dos outros
• Validando que endpoints de API aplicam verificações de autorização por objeto além da simples autenticação
• Avaliando APIs após a adição de novos endpoints para garantir que o middleware de autorização seja aplicado consistentemente

Não use sem autorização por escrito do proprietário da API. Testes BOLA envolvem acessar ou tentar acessar dados de outros usuários, o que requer permissão explícita.

Pré-requisitos

• Autorização por escrito especificando os endpoints da API alvo e o escopo do teste
• Pelo menos duas contas de teste com níveis de privilégio diferentes e conjuntos de dados distintos
• Burp Suite Professional ou OWASP ZAP configurado como um proxy de interceptação
• Tokens de autenticação (JWT, cookies de sessão, chaves de API) para cada conta de teste
• Documentação da API (especificação OpenAPI/Swagger) ou acesso para enumerar endpoints
• Python 3.10+ com a biblioteca requests para testes scriptados
• Extensão Autorize do Burp instalada para detecção automatizada de BOLA

Fluxo de Trabalho

Passo 1: Descoberta de Endpoints da API e Mapeamento de IDs de Objeto

Enumere todos os endpoints da API e identifique parâmetros que referenciam objetos:

Da Especificação OpenAPI/Swagger:

# Download and parse the OpenAPI spec
curl -s https://target-api.example.com/api/docs/swagger.json | python3 -m json.tool

# Extract all endpoints with path parameters
curl -s https://target-api.example.com/api/docs/swagger.json | \
  python3 -c "
import json, sys
spec = json.load(sys.stdin)
for path, methods in spec.get('paths', {}).items():
    for method, details in methods.items():
        if method in ('get','post','put','patch','delete'):
            params = [p['name'] for p in details.get('parameters',[]) if p.get('in') in ('path','query')]
            if params:
                print(f'{method.upper()} {path} -> params: {params}')
"

Do Tráfego do Burp Suite:

1. Navegue pela aplicação como Usuário A, utilizando todos os recursos que envolvem criação e recuperação de dados
2. No Burp, vá para Target > Site Map e filtre por caminhos de API (por exemplo, /api/v1/, /graphql)
3. Procure por padrões: /api/v1/users/{id}, /api/v1/orders/{order_id}, /api/v1/documents/{doc_uuid}
4. Observe o formato do ID do objeto: inteiros sequenciais (previsíveis), UUIDs (menos previsíveis) ou valores codificados

Classifique os Tipos de ID de Objeto:

Passo 2: Captura de Requisição de Linha de Base com Usuário Autenticado

Capture requisições legítimas para o Usuário A e o Usuário B:

import requests

BASE_URL = "https://target-api.example.com/api/v1"

# Credenciais do Usuário A
user_a_token = "Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
user_a_headers = {"Authorization": user_a_token, "Content-Type": "application/json"}

# Credenciais do Usuário B
user_b_token = "Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
user_b_headers = {"Authorization": user_b_token, "Content-Type": "application/json"}

# Passo 1: Identificar objetos do Usuário A
user_a_profile = requests.get(f"{BASE_URL}/users/me", headers=user_a_headers)
user_a_id = user_a_profile.json()["id"]  # ex: 1001

user_a_orders = requests.get(f"{BASE_URL}/users/{user_a_id}/orders", headers=user_a_headers)
user_a_order_ids = [o["id"] for o in user_a_orders.json()["orders"]]  # ex: [5001, 5002]

# Passo 2: Identificar objetos do Usuário B
user_b_profile = requests.get(f"{BASE_URL}/users/me", headers=user_b_headers)
user_b_id = user_b_profile.json()["id"]  # ex: 1002

user_b_orders = requests.get(f"{BASE_URL}/users/{user_b_id}/orders", headers=user_b_headers)
user_b_order_ids = [o["id"] for o in user_b_orders.json()["orders"]]  # ex: [5003, 5004]

print(f"Usuário A (ID: {user_a_id}): Pedidos {user_a_order_ids}")

…