SysBraykr.com news -

16. Google Dorks: Mencari Endpoint API dengan Query site:target.tld inurl:api

Penjelasan: Google Dorks adalah teknik pencarian menggunakan Google untuk menemukan informasi yang tidak seharusnya terbuka untuk umum, seperti endpoint API. Query ini berguna untuk menemukan endpoint API yang terdaftar di domain target.

Kenapa penting: Teknik ini memungkinkan penguji keamanan menemukan informasi penting yang mungkin terbuka atau terungkap di internet, seperti endpoint API yang dapat dieksploitasi. Ini bisa menjadi langkah awal dalam pengumpulan informasi untuk tes keamanan.Ringkasan referensi: OWASP menekankan pentingnya melindungi informasi sensitif dan memastikan bahwa data sensitif seperti endpoint API tidak dapat diakses melalui pencarian publik.

Referensi: https://owasp.org/www-project-api-security/

17. Google Dorks: Mencari File API YAML dengan Query site:target.tld intitle:"index of" "api.yaml"


Penjelasan: Query ini digunakan untuk mencari file api.yaml, yang biasanya berisi informasi tentang struktur API, seperti rute, metode HTTP yang didukung, dan parameter. Jika file ini ditemukan, penyerang dapat memanfaatkannya untuk lebih memahami cara kerja API dan mengeksploitasinya.

Kenapa penting: File konfigurasi API yang terbuka dapat memberikan penyerang wawasan mendalam tentang cara kerja sistem, membuka peluang untuk eksploitasi lebih lanjut.

Ringkasan referensi: OWASP API Security menyarankan agar file konfigurasi API tidak boleh diakses secara publik, karena ini dapat memberikan informasi penting kepada penyerang.

Referensi: https://owasp.org/www-project-api-security/

18. Google Dorks: Mencari File WADL dengan Query site:target.tld inurl:/application.wadl

Penjelasan: WADL (Web Application Description Language) adalah format yang digunakan untuk menggambarkan API RESTful. Query ini mencari file WADL yang terbuka. Jika ditemukan, file ini dapat memberikan penjelasan terperinci tentang API, termasuk endpoint, metode, dan parameter yang diterima.

Kenapa penting: Dengan menemukan dan mengakses file WADL, penyerang bisa mendapatkan peta lengkap API target, yang memungkinkan mereka untuk merencanakan serangan lebih terarah.

Ringkasan referensi: OWASP memperingatkan bahwa file seperti WADL yang terbuka dapat menyebabkan paparan informasi yang tidak seharusnya diakses publik.

Referensi: https://owasp.org/www-project-api-security/

19. Google Dorks: Mencari File WSDL dengan Query site:target.tld ext:wsdl inurl:/%24metadata

Penjelasan: Query ini mencari file WSDL (Web Services Description Language), yang merupakan format XML yang menggambarkan layanan web SOAP. File WSDL yang ditemukan dapat digunakan oleh penyerang untuk memahami cara berinteraksi dengan layanan web target.

Kenapa penting: File WSDL yang terbuka dapat memberikan akses ke informasi penting tentang layanan web, termasuk operasi yang didukung, metode, dan parameter yang diperlukan. Ini dapat membuka pintu untuk serangan terhadap layanan tersebut.

Ringkasan referensi: OWASP merekomendasikan agar file WSDL dan metadata layanan web lainnya dijaga kerahasiaannya untuk mengurangi risiko eksploitasi.

Referensi: https://owasp.org/www-project-api-security/

20. Pengujian Berbagai Tipe Konten (Content-Type)

Penjelasan: API sering kali mendukung berbagai jenis format data, seperti x-www-form-urlencoded, application/json, dan application/xml. Penguji keamanan akan mencoba mengirim data dalam berbagai format ini untuk melihat bagaimana API merespons. Misalnya:x-www-form-urlencoded: Mengirim data sebagai kunci-nilai (contoh: user=test).application/json: Mengirim data dalam format JSON (contoh: {"user": "test"}).application/xml: Mengirim data dalam format XML (contoh: <user>test</user>).

Kenapa penting: Menguji berbagai tipe konten membantu mengidentifikasi apakah API menangani format data dengan benar dan aman, serta apakah ada celah yang bisa dieksploitasi, seperti serangan injeksi atau parsing yang tidak aman.

Ringkasan referensi: OWASP menekankan pentingnya memastikan bahwa API dapat memproses berbagai format data dengan aman tanpa mengekspos kerentanan.

Referensi: https://owasp.org/www-project-api-security/

21. Mengirim Data POST dengan Array atau Dictionary

Penjelasan: Jika API menerima data POST biasa, penguji keamanan bisa mencoba mengirim data dalam bentuk array atau dictionary untuk melihat apakah API dapat menangani input yang tidak terduga. Misalnya:username[]=John: Mengirim array.username[$neq]=lalala: Mengirim dictionary.

Kenapa penting: Beberapa API mungkin tidak memproses data kompleks dengan benar, sehingga menyebabkan kerentanan. Ini dapat dimanfaatkan untuk manipulasi data atau bypass validasi input.

Ringkasan referensi: OWASP menekankan perlunya validasi input yang kuat untuk mencegah eksploitasi dari input yang tidak sesuai format.

Referensi: https://owasp.org/www-project-api-security/

22. Mengirimkan Tipe Data yang Tidak Terduga dalam Format JSON

Penjelasan: Ketika API mendukung format JSON, penguji bisa mencoba mengirim tipe data yang tidak diharapkan untuk melihat bagaimana API merespons. Contoh:{"username": "John"} (string){"username": true} (boolean){"username": null} (null){"username": 1} (integer){"username": [true]} (array){"username": ["John", true]} (array campuran){"username": {"$neq": "lalala"}} (objek dengan operator)

Kenapa penting: API yang tidak memiliki validasi input yang baik mungkin memproses tipe data yang tidak sesuai, menyebabkan kerentanan seperti bypass otorisasi, injeksi, atau bahkan crash pada server.

Ringkasan referensi: OWASP memperingatkan bahwa input yang tidak divalidasi dapat menyebabkan berbagai masalah keamanan, termasuk manipulasi data dan serangan injeksi.

Referensi: https://owasp.org/www-project-api-security/

23. Pengujian XXE (XML External Entity) pada API yang Mendukung XML

Penjelasan: Jika API mendukung format XML, kamu harus menguji apakah API rentan terhadap serangan XXE (XML External Entity). Ini adalah jenis serangan injeksi yang memungkinkan penyerang mengeksekusi entitas eksternal di dalam XML, yang dapat digunakan untuk membaca file sensitif di server atau menyebabkan serangan Denial of Service (DoS).

Kenapa penting: Serangan XXE bisa sangat merusak karena memungkinkan penyerang mendapatkan akses ke informasi sensitif atau bahkan mengendalikan server.

Ringkasan referensi: OWASP API Security Top 10 memasukkan XXE sebagai salah satu ancaman utama yang perlu diperhatikan dalam pengujian API.

Referensi: https://owasp.org/www-project-api-security/

Artikel berdasarkan https://github.com/HolyBugx/HolyTips/blob/main/Checklist/API%20Security.md