API的几个寻常漏洞
发布时间：2022-07-29 10:43:40 所属栏目：安全 来源：互联网
导读：企业的网络安全能力更多的是一种管理能力，面对疫情和数字化云端转型带来的新挑战：攻击面增长、IT复杂化、碎片化、影子化，企业网络安全部门面临的最大挑战就是对动态风险的集中化有效管控。而网络安全策略管理技术则好比企业的空中和地面一体化交通指挥系
|
API让天下没有难做的生意，黑客也是这么认为的。在企业数字化转型如火如荼的今天，API已经远远超出了技术范畴，互联网商业创新和传统企业数字化转型都离不开API经济或者API战略。API连接的不仅仅是系统和数据，还包括企业职能部门、客户和合作伙伴，甚至整个商业生态。与此同时，日益严峻的安全威胁，使得API正在成为网络安全的下一个前沿阵地。 拦截代理能够捕获浏览器或移动应用程序对后端Web服务器发出的所有请求，从而使攻击者可以对所有可用的API端点进行分类。例如，大多数API都将API/V1/login作为身份验证端点。 如果目标也是移动应用程序，则将应用程序包拆开，并查看应用程序内部可用的API调用。考虑到所有可能的活动，攻击者可以搜索无法正确保护用户数据的常见配置错误或API。 最后，攻击者寻找API文档。一些组织为第三方发布API文档，但为所有用户使用相同的API端点。 有了一个不错的端点清单，攻击者就可以测试标准用户行为和异常行为测试，可以通过两种方法找到有趣的漏洞。 解决方法：为了使攻击者更加难以发现API，请确保通过仅允许有效用户访问的权限管理来控制对API文档的访问。虽然将证书固定在移动应用程序上并不能完全隐藏API端点，并且也不完美，但确实给攻击增加了额外的步骤。对Web服务器的API请求应尽可能地被混淆和控制。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号