↗️ API Hunting

Hola Amigos.

Cuando la mayoría de las personas se inician en el mundo del hacking web, su mente viaja de inmediato a lo visual: formularios de inicio de sesión, barras de búsqueda donde inyectar código y alertas que saltan directamente en el navegador.

Es la escuela clásica de la seguridad web.

Sin embargo, mientras muchos siguen buscando vulnerabilidades en la superficie, los atacantes avanzados están operando en un nivel mucho más profundo e invisible.

El desarrollo de software ha evolucionado drásticamente, y con él, la superficie de ataque, hoy en día, las interfaces visuales son solo un cascarón, el verdadero motor de la red son las APIs, y se han convertido en el vector de ataque más explotado y menos comprendido de la actualidad.

La revolución invisible

En los viejos tiempos, una aplicación web funcionaba de manera monolítica: el servidor procesaba la lógica del negocio y entregaba al navegador una página HTML ya armada, si querías auditar esa aplicación, las herramientas tradicionales de escaneo funcionaban relativamente bien porque todo el comportamiento era predecible a través de los enlaces de la página.

Hoy, el panorama es completamente distinto, vivimos en la era de las arquitecturas de microservicios y las aplicaciones de una sola página (SPA). Una aplicación web moderna o una aplicación móvil no solicitan páginas completas al servidor; solicitan datos puros.

Toda la lógica de negocio, desde la autenticación hasta las transacciones financieras, se gestiona a través de llamadas invisibles en formato JSON o XML utilizando tecnologías como REST o GraphQL.

Estas son las APIs, el navegador o la aplicación móvil son meros traductores visuales de un flujo constante de datos que viaja por detrás., y es precisamente ahí, en la comunicación subyacente, donde las herramientas de seguridad automatizadas suelen fallar.

El peligro de BOLA

Dado que las APIs están diseñadas para ser consumidas por máquinas y no por humanos, los desarrolladores suelen asumir que, si el endpoint no está expuesto en un botón de la interfaz, nadie lo va a encontrar, esta falsa sensación de seguridad da origen a la vulnerabilidad número uno en el TOP 10 de OWASP para APIs: BOLA (Broken Object Level Authorization o Autorización Deficiente a Nivel de Objeto).

BOLA no requiere que el atacante rompa una contraseña compleja, ni que descubra un sofisticado desbordamiento de memoria, funciona abusando de la lógica de confianza de la API.

Imagina el siguiente escenario:

• Un usuario inicia sesión legítimamente en una plataforma financiera y el navegador realiza una petición interna para obtener su balance:
  
  GET /api/v1/usuarios/10452/balance


• El sistema verifica que el usuario es válido y le muestra su información, un atacante intercepta este tráfico e identifica el patrón, se sabe que el identificador de su cuenta es el 10452, el ataque consiste, simplemente, en modificar ese número en la petición y enviarlo directamente al servidor:
  
  GET /api/v1/usuarios/10453/balance

• Si la API padece de BOLA, el servidor asumirá que, como el atacante ya inició sesión (es decir, está autenticado), tiene derecho a pedir cualquier dato, el sistema procesará la solicitud y devolverá la información financiera de la cuenta 10453 el atacante ha accedido a información confidencial de un tercero sin activar una sola alarma de fuerza bruta.
  
  [Image demonstrating Broken Object Level Authorization (BOLA) ID manipulation attack mechanism] 

Por qué los escáneres tradicionales son ciegos ante las APIs

Los escáneres de vulnerabilidades web tradicionales están diseñados para seguir enlaces ("rastrear" o crawlear la web) y probar payloads comunes en los parámetros visibles, sin embargo, una API no tiene enlaces que seguir, si no conoces la estructura exacta del endpoint, los nombres de los parámetros requeridos o el formato del JSON que espera el servidor, la API simplemente responderá con un error genérico o un código de estado 404.

Para el escáner automático, el servicio no existe o es seguro, para un auditor de seguridad que domina el API Hunting, es un campo de juego lleno de configuraciones defectuosas listas para ser descubiertas.

Auditar APIs requiere comprender el flujo de desarrollo, interceptar el tráfico legítimo, descifrar la lógica del programador y manipular manualmente las peticiones para forzar al servidor a revelar datos que deberían estar protegidos.

El hacking web ya no se limita a lo que puedes ver en la pantalla, si tu arsenal de auditoría sigue dependiendo de herramientas que solo analizan el HTML del navegador, estás ignorando el canal por donde fluye el verdadero valor de las empresas modernas.

Dominar la caza de vulnerabilidades en APIs es el factor diferenciador para convertirse en un profesional indispensable en los equipos de seguridad actuales.

¡Nos vemos en una próxima!
Saludos
Equipo Hacker Mentor