تست امنیت REST API

REST API چیست؟

REST (Representational State Transfer) یک معماری برای طراحی API‌های وب است. REST API‌ها از متدهای HTTP (GET, POST, PUT, DELETE) برای عملیات CRUD استفاده می‌کنند و معمولاً داده‌ها را به‌صورت JSON ارسال و دریافت می‌کنند.

OWASP API Security Top 10

آسیب‌پذیری‌های رایج REST API

۱. Broken Object Level Authorization (BOLA)

رایج‌ترین آسیب‌پذیری API. مهاجم با تغییر ID در درخواست به داده‌های سایر کاربران دسترسی پیدا می‌کند.

1# درخواست عادی
2curl -H "Authorization: Bearer token_user1" \
3  https://target.com/api/users/123/orders
4
5# تغییر ID برای دسترسی به داده‌های کاربر دیگر
6curl -H "Authorization: Bearer token_user1" \
7  https://target.com/api/users/456/orders

۲. Excessive Data Exposure

API اطلاعات بیشتر از حد نیاز را برمی‌گرداند.

1// پاسخ ناامن
2{
3  "id": 123,
4  "name": "Ali",
5  "email": "ali@internal.com",
6  "password_hash": "$2b$12$...",
7  "phone": "+989121234567",
8  "role": "admin"
9}

۳. Injection

ورودی‌های API ممکن است در query پایگاه داده، دستورات سیستمی یا سایر مفسرها استفاده شوند.

روش‌شناسی تست

مرحله ۱: شناسایی API

• شناسایی endpoint‌ها از مستندات (Swagger, OpenAPI)
• شناسایی endpoint‌ها از ترافیک مرورگر
• شناسایی endpoint‌ها از فایل‌های JavaScript
• شناسایی نسخه‌های مختلف API (/v1, /v2)

مرحله ۲: تست Authentication

• بررسی اجبار authentication در تمام endpoint‌ها
• تست token‌های نامعتبر و منقضی
• تست endpoint‌های بدون authentication
• بررسی مدیریت session و token

مرحله ۳: تست Authorization

• تست BOLA با تغییر ID
• تست دسترسی به endpoint‌های مدیریتی
• تست تغییر role و permission
• تست horizontal و vertical privilege escalation

مرحله ۴: تست Input Validation

• تست injection (SQL, NoSQL, OS)
• تست نوع داده (string به‌جای number)
• تست طول و محدودیت داده‌ها
• تست کاراکترهای خاص

ابزارهای تست

• Postman: تست و مستندسازی API
• Burp Suite: اسکنر امنیت وب
• OWASP ZAP: ابزار رایگان تست امنیت
• Swagger/OpenAPI: مستندات API
• Newman: اجرای خودکار تست‌های Postman

تأثیر

• دسترسی غیرمجاز به داده‌های حساس
• تغییر یا حذف داده‌ها
• دور زدن مکانیزم‌های امنیتی
• انکار سرویس

راه‌حل

• بررسی authorization در هر درخواست و هر شیء
• استفاده از schema validation برای ورودی‌ها
• محدود کردن داده‌های بازگشتی
• استفاده از محدودیت نرخ
• لاگ‌برداری و مانیتورینگ
• استفاده از API Gateway