API 幫助跨多個設備互連多個應用程式或軟體系統，定義它們可以發出的呼叫或請求的種類、呼叫的方式、應使用的資料格式以及應遵守的約定，API 已經發展成為重要的互連，支持不同應用程式架構之間的通信，促進新服務的更快集成和部署，軟體開發程式也依賴 API 來提供服務、平臺管理和持續部署，涉及移動設備、云資料系統和微服務設計模式的現代應用程式架構需要使用多個 API 作為網關，以促進不同 Web 應用程式之間的互操作性，
在 API 安全領域，“攻擊”和“漏洞”這兩個詞經常互換使用，許多人并不了解 API 攻擊/漏洞的真正含義，API 攻擊/漏洞是一種威脅類別，在很大程度上未被行業現有的 API 安全框架和指南解決，為了保持基于 API 的安全和可信度，必須改進應對的思維和工具，以應對公司現在面臨的各種 API 威脅——以及 API 威脅形勢的快速發展，
什么是 API 濫用？
任何設計和代碼都難以避免錯誤，安全技術也是如此，有時軟體的結構，哪怕是根據相應規范設計的，都可能有被濫用技術利用的風險，
OWASP 這樣定義軟體 “濫用（abuse）”：
創建誤用和濫用案例以濫用或利用軟體功能中控制元件的弱點來攻擊應用程式，使用應用程式的濫用案例模型，作為識別直接或間接利用濫用場景的具體安全測驗的媒介，
簡 而言之，濫用案例模型在某種程度上是威脅建模，API 對于構建堅固且持續的通信橋梁至關重要，該橋梁使設備能夠無縫傳遞所需資訊，然而黑客采用多種方式來利用 API 并破壞目標設備，這種 API 開發是對 API 安全的潛在威脅，如果在 API 設計的威脅建模階段沒有考慮到執行鎖定埠，并且沒有添加補償控制，那么這些 API 就有可能被“濫用”，API 濫用是指錯誤處理 API、獲得未經批準的訪問和修改關鍵功能的行為，以便 API 可用于攻擊服務器或使服務器超載等敵對程序，它是在機器人、網路釣魚攻擊或手動插入惡意代碼的幫助下執行的，
API 濫用很常見，但原因不總是因為 API 本身設計不佳，有時 API 具有可預測的設計結構，這也讓攻擊者有機會濫用 API，API 濫用包括：
- 出于惡意原因以未經批準的方式使用 API，在這些情況下，API 在技術上按設計使用，但被錯誤的人或出于錯誤的原因使用，比如資料抓取，
- 利用應用程式邏輯中的漏洞，這些濫用是特定于特定業務的，在許多情況下，并沒有通過 OWASP 框架來解決，
API 濫用的嚴重影響
企業往往會因為他們的 API 通過了漏洞評估而覺得企業的 API 是安全且“完美”的，但最大的 API 保護缺口是對向合作伙伴開放的 API 的保護，這些 API 很容易被濫用，即使 API 撰寫得非常完美且沒有漏洞，也可能以意想不到的方式被濫用，從而暴露共享它們的組織的核心業務功能和資料，
最典型的例子就是 2018 年劍橋分析公司 (CA) 丑聞，在該事件中，CA 利用 Facebook 的開放 API 收集了至少 8700 萬用戶的大量資料，這是通過使用 Facebook 測驗應用程式來實作的，該應用程式利用了一個允許第三方應用程式收集有關測驗者的資訊的許可設定，以及他們所有朋友的興趣、位置資料等，這些資訊隨后被出售給各種政治活動，其全部影響可能永遠不得而知，但公認的影響對2016年美國總統大選和英國“脫歐”公投產生了重大影響，該事件還導致 Facebook 的市值立即遭受超過 1000 億美元的打擊，罰款超過數十億美元，并在數年后一直成為政府監管機構的目標，
所有這些都不涉及利用 Facebook API 基礎設施中的基礎設施漏洞，Facebook 暴露了一個最終被濫用的核心業務 API，而 CA 只是簡單地以創建它時未打算或未預料到的方式使用了 Facebook 的公共 API，
API 濫用實體及預防建議
以下是一些常見的 API 濫用案例，以及如何預防的建議，
失效的物件級授權 (BOLA)
BOLA 指對物件訪問請求的驗證不充分，允許攻擊者通過重用訪問令牌來執行未經授權的操作，根據 OWASP 的 API 安全專案，BOLA 是當今最嚴重且最常見的 API 攻擊，占所有 API 攻擊的40%，
預防 BOLA 的建議：
- 實施依賴于用戶策略的授權機制，驗證登錄用戶是否有權執行請求的操作，
- 使用隨機和不可預測的值作為記錄 ID 的 GUID，
- 撰寫評估授權的測驗，
分布式拒絕服務攻擊 (DDoS)
DDoS 是一種常見的攻擊型別，惡意攻擊者通過故意使用來自多個設備和 IP 地址的大量機器人流量使 API 過載，對于企業而言，關鍵業務服務因此面臨風險，例如登錄服務、會話管理和其他為用戶提供應用程式正常運行時間和可用性的服務，
執行 DDoS 活動的攻擊者通常使用不對稱技術，通過這種技術發送少量資料來生成 API 呼叫，這通常會導致服務器嚴重超載，因為他們必須使用大量資料來回應此類 API 呼叫，此類攻擊會嚴重占用系統資源并大大增加系統所有用戶的服務器回應時間，
企業可以采取以下措施來阻止 DDoS 攻擊：
- 流量分析
- 速率限制（例如，每個客戶端/資源的請求數、請求負載大小），
- 自動縮放資源（確保為閾值報告打開警報），
安全配置錯誤
應用程式中安全設定的不當配置可能會導致通過帳戶接管(ATO) 的方式被利用和攻擊，
防止這種情況的幾種方法是：
- 盤點和管理所有 API，特別留意影子 API 和僵尸 API，
- 擴大資料治理范圍，從應用程式擴展到所涉及的 API 的資料，
資料泄露
這種威脅通常被認為是通過開放的 API 意外泄露機密資訊造成的，Venmo 是 PayPal 旗下的移動支付服務，在 Venmo 中，交易在設計上和默認情況下都是公開的，這種開放策略在 2019 年導致了嚴重的資料抓取問題，2 億 Venmo 用戶的私人資訊被抓取，此外，還發現了美國總統拜登的 Venmo 賬戶， 無論是有意還是無意的資料泄露，在被大量濫用時都可能引發國家安全問題，
緩解或消除資料泄露風險的兩種方法是：
- 在 API 而非客戶端級別執行資訊過濾
- 避免在功能不需要時發送敏感資訊
API 注入
API 注入指惡意代碼連同 API 請求被注入，注入的命令執行后，這種惡意代碼（不僅僅是 SQLi）可以從服務器洗掉用戶的整個站點，惡意攻擊者通常以此來獲取對私人資料的訪問權限，
以下是一些避免注入的方法：
- 引數化查詢
- 保證安全的背景關系，可在時間線上查看所有 API 活動，
- 用授權取代過時和不安全的認證方法，
- 在服務器端添加輸入驗證機制
- 避免執行特殊字符
- 全面的日志記錄、監控和警報
參考鏈接：
https://cheatsheetseries.owasp.org/cheatsheets/Abuse_Case_Cheat_Sheet.html
https://apiacademy.co/2018/06/how-the-facebook-api-led-to-the-cambridge-analytica-fiasco/
https://salt.security/blog/api-security-fundamentals
https://www.buzzfeednews.com/article/ryanmac/we-found-joe-bidens-secret-venmo
轉載請註明出處，本文鏈接：https://www.uj5u.com/qiye/538201.html
標籤：其他
下一篇：高并發下丟失更新的解決方案