OWASP API十大安全风险深度解析 - 第二部分 - WWT

OWASP API十大安全风险深度解析 – 第二部分

OWASP API十大安全风险中的第3类和第4类——破碎对象属性级别授权（Broken Object Property Level Authorization）和无限制资源消耗（Unrestricted Resource Consumption, URC）。通过分析这些风险的成因及其可能带来的后果，我们将为开发者提供实用的防护措施建议。

破碎对象属性级别授权的风险与防护

破碎对象属性级别授权是指攻击者利用API的设计缺陷，修改了本不应被更改的敏感属性。这种漏洞通常与批量分配功能有关，可能导致敏感信息的泄露或数据被恶意篡改。

风险分析

API中的过度数据暴露可能带来严重后果，例如：

• 敏感信息泄露：包括个人身份信息（PII）如姓名、地址、社会保障号码，以及财务信息和健康记录。
• 身份盗窃与金融欺诈：攻击者可能利用泄露的数据进行非法活动。
• 声誉损害与经济损失：数据泄露事件可能对企业造成不可估量的负面影响。

防护措施

为了防止破碎对象属性级别授权漏洞，开发者和组织应采取以下措施：

1. 输入验证与净化：确保用户输入的数据符合预期格式，避免恶意数据注入。
2. 参数化查询：防止SQL注入等攻击。
3. 字段限制：明确限制哪些字段可以通过批量分配进行更新。
4. 定期安全审计：通过SAST、DAST、IAST和SCA等工具进行代码级别的安全检测。
5. 运行时保护：使用Web应用程序和API保护（WAAP）工具，提供实时防护。

通过这些措施，企业可以有效降低权限升级、数据篡改等风险，保护用户的敏感数据免受攻击。

无限制资源消耗（URC）的风险与防护

无限制资源消耗（URC）是指API未对单个请求的资源消耗进行限制，从而导致系统资源被耗尽。这种漏洞可能被攻击者利用，通过大量请求触发拒绝服务（DoS）或分布式拒绝服务（DDoS）攻击。

风险分析

URC漏洞的常见成因包括：

• 缺乏速率限制：API允许用户无限制地发送请求，导致资源耗尽。
• 缺乏输入验证：攻击者通过发送恶意或意外数据的请求，导致系统资源被过度占用。

这些问题可能引发以下后果：

• 服务中断：系统无法正常响应用户请求。
• 财务损失：因服务中断导致的收入损失。
• 信息泄露：攻击者可能通过监视手段收集系统信息，进一步识别其他漏洞。

防护措施

为了防止URC漏洞，开发者和组织应采取以下措施：

1. 速率限制：限制用户在特定时间内的请求数量，防止资源被滥用。
2. 输入验证：确保API仅处理有效且预期的输入数据。
3. 实时监控：监控API的使用情况，及时发现异常行为。
4. 恶意请求拦截：部署检测和阻止恶意请求的机制。

通过这些防护措施，企业可以有效降低URC漏洞的风险，确保系统的稳定性和安全性。

总结

破碎对象属性级别授权和无限制资源消耗是API安全中不可忽视的两大风险。通过实施输入验证、速率限制、定期安全审计等措施，开发者和组织可以有效防范这些漏洞，保护用户数据的安全性和系统的完整性。

API安全是一个持续的过程，只有通过不断优化和完善安全策略，才能在快速变化的技术环境中保持领先地位。

原文链接: https://www.wwt.com/blog/owasp-api-top-10-deep-dive-part-duex