Vulnerabilità delle API

Question 1

Perchè abbiamo problemi di vulnerabilità delle API

Answer 1

Oggi i client sempre più potenti, motivo per cui logica passa da server a client spesso
Certe volte client consumano dati raw che poi rielaborano

Question 2

Descrivi Broken object Level auth

Answer 2

Attacker può sostituire altro ID nell’Api al posto del proprio per poter acceder a dati altrui, manca anche un controllo delle autorizzazioni
Per evitare bisogna checkare utente non tramite ID api, ma tramite oggetti di sessione creati ad hoc

Question 3

Descrivi Broken authentication

Answer 3

Non vengono controllate autenticazioni e attacker può assumere identità di altri utenti
Per prevenire bisogna verificare tutti i possibili path, e assicurarsi che ci siano dovuti controlli

Question 4

Descrivi Dati eccessivamente esposti

Answer 4

Vengono inviati ai client dati raw
Inviare il minimo indispensabile ai client

Question 5

Descrivi Mancanza di risorse

Answer 5

Client possono inviare oggetti di qualunque dimensione o utilizzare qualunque amount di risorse
Limitare risorse concedute

Question 6

Descrivi Broken function level auth

Answer 6

Inseriamo livello di autenticazione nell’url dell’api
Non bisogna farci affidamento

Question 7

Descrivi Mass assignment

Answer 7

Prendere elementi da post e trasformarli in oggetti direttamente, attacker può guessarli guardando le get
Definisci per bene tipi accettati

Question 8

Descrivi Mal configurazione di API

Answer 8

Permette ad attackers di trovare problemi ed utilizzarli a proprio vantaggio
Effettuare adjustments per evitarli

Question 9

Descrivi Injections di codice

Answer 9

Per risolvere check dei campi

Question 10

Descrivi Assets management improprio

Answer 10

Attackers potrebbero trovare delle versioni non di produzione delle API e utilizzarle
Limitarne accesso

Question 11

Descrivi Logging e monitor insufficienti

Answer 11

Aggiungere logging e monitor

Question 12

Tipologie di scanning

Answer 12

Attivo cerca di penetrare sistema
Passivo cerca problemi del sistema

Question 13

Analisi dinamica del codice

Answer 13

Genera varie tipologie di input che triggerano max numero possibile di paths

Question 14

Tool per analisi dinamica

Answer 14

OWASP ZAP che permette di trovare vulnerabilità in running web apps, ZAP funziona come proxy tra client app e server.

Question 15

Penetration Testing 101 cos’è?

Answer 15

Test diviso in 3 fasi:
1) esplorazione del sistema
2) attacco del sistema
3) report degli attacchi andati a buon fine