OWASP Top 10 API安全终极指南 - Appknox

什么是OWASP API Top 10？

OWASP API Top 10 是一个列出 API 中常见漏洞的清单。它为开发人员、测试人员和安全专业人士提供了一个资源，帮助他们了解如何有效防范 API 安全威胁。

许多人可能认为 API 只是另一种类型的数据泄露，从而对企业造成长期影响。

根据 Salt Security 的研究，API 已成为新的攻击面，网络犯罪分子比以往更加关注它们。数据显示，95% 的企业在过去一年中遇到过 API 安全问题，而 API 攻击流量更是增长了 681%。

为了更好地保护 API，组织需要正确的资源和指导。OWASP API Top 10 是一个非常好的起点，它不仅易于理解，还提供了减轻 CSRF 攻击、跨站脚本（XSS）和 SQL 注入等风险的实用建议。

在本指南中，我们将详细解析 OWASP API Top 10 中列出的每个攻击向量。

API 1：断开对象级别授权

断开对象级别授权（BOLA）是指用户能够直接访问他们无权访问的资源。最常见的攻击方式是通过修改 ID 参数来绕过授权检查。由于 API 未对权限进行充分验证，攻击者可以在 API 调用中将资源 ID 替换为其他用户资源的 ID，从而获取未经授权的访问权限。

API 2：断开的用户身份验证

用户身份验证是 API 安全的核心。它的作用是确保只有经过授权的用户才能访问 API，并根据用户身份（或缺乏身份）限制访问权限。

简单来说，用户身份验证是验证用户身份的过程，以确定其是否有权使用某个应用程序或服务。因此，所有 API 的身份验证机制都需要进行严格检查，以防止漏洞的产生。

API 3：过度数据暴露

过度数据暴露是指 API 返回了超出客户端需求的数据，这些数据可能被攻击者利用来访问其他系统或个人信息。

当 API 设计依赖客户端过滤数据时，可能会暴露敏感信息，例如信用卡号、社会安全号码或密码等。攻击者可以通过嗅探客户端流量，获取这些敏感数据，从而造成严重的安全问题。

API 4：缺乏资源与速率限制

如果 API 没有针对资源请求设置适当的保护措施，就可能遭受恶意攻击。攻击者可能通过大量查询来过载 API，导致系统的稳定性和安全性受到严重影响。

速率限制是一种有效的安全措施，它限制了应用程序在一定时间内向 Web 服务发出的请求数量。通过设置速率限制，开发人员可以确保服务器不会因恶意行为或合法流量过载而崩溃。

API 5：断开的功能级别授权

功能级别授权是指限制用户对应用程序中特定功能、特性或数据的访问权限。漏洞可能出现在允许访问本应受限的功能，或拒绝访问本应开放的功能上。

功能级别授权是授权的一种子集，它专注于对每个功能单独进行权限控制，而不是在单个请求中跨多个对象分配权限。

API 6：批量分配

当客户端提供的数据直接绑定到数据模型时，如果缺乏基于白名单的特性过滤，就可能导致批量分配漏洞。

攻击者可以通过猜测对象属性、查看其他 API 端点或在请求有效负载中添加新的对象属性，来修改未经授权的对象属性。这种漏洞可能导致 SQL 注入等威胁，因为攻击者可以恶意更改对象的属性。

API 7：安全配置错误

安全配置错误通常发生在应用程序未正确配置安全连接或加密时。这可能导致敏感信息（如密码和信用卡号）被第三方窃取。

这种错误的后果可能从低级别的渗透尝试到特权升级攻击，甚至可能导致攻击者完全控制整个基础设施。因此，确保正确的安全配置至关重要。

API 8：注入攻击

注入攻击是 Web 应用程序中最常见的攻击媒介之一。攻击者通过将恶意代码注入数据库，可以访问应用程序的其他部分，甚至完全破坏应用程序。

注入攻击的根本原因在于用户输入未经过充分验证，允许攻击者在数据到达目标之前修改或操纵信息。

API 9：不当的资产管理

为了识别潜在的暴露和风险，组织需要维护准确的 API 清单，并确保文档的及时更新。不当的资产管理可能导致 API 攻击面暴露出未知漏洞，尤其是那些需要退役的早期 API 版本。

此外，攻击者可能会利用易受攻击的非生产环境 API（如测试、暂存或早期版本）进行攻击。因此，正确的资产管理对于降低风险至关重要。

API 10：日志记录和监控不足

日志记录是最重要的安全控制之一。它不仅可以用于检测和调查安全事件，还能监控系统和用户活动。

通过日志记录，组织可以获得系统或应用程序中发生的事件的取证记录，从而更好地应对潜在的安全威胁。

结论

在OWASP API Top 10 风险纳入考虑范围。与传统的网站和 Web 应用程序相比，API 面临着一组独特的安全挑战，因此制定有效的风险缓解策略尤为重要。

尽管没有单一的解决方案可以完全确保 API 的安全性，但了解这些潜在威胁并采取相应的防护措施，可以显著降低风险，保护您的移动应用程序免受攻击。

原文链接: https://www.appknox.com/blog/guide-to-owasp-api-top-10