Вопрос для вечера пятницы ) Есть REST API. И есть

Question

Вопрос для вечера пятницы ) Есть REST API. И есть

к ней доступ: могу авторизоваться и подергать ручки (ну или, попустим там все без авторизации работает).
Документации на этот API нет ни Сваггера, ничего (украли, сгорела, разработчики унесли с собой).

ВОПРОС. Есть ли способ как-то узнать, какие вообще ручки/конечные точки есть у этого API и что они возвращают?

Например, в Graph QL можно сделать запрос интроспекции и вуаля - вся апишка как на ладони.
А как это сделать в случае с REST API, и возможно ли это в принципе?
Пробовал OPTIONS - возвращает только список поддерживаемых методов (CRUD).

0

15.09.2023

9 ответов

13 просмотров

Eduard Tibet

1. Есть ли ограничения на частоту доступа к API? 2. Есть ли доступ к коду?

0

15.09.2023

Denis Автор вопроса

Eduard Tibet
1. Есть ли ограничения на частоту доступа к API? 2...

1. Нет 2. Нет

0

15.09.2023

Юра

Транслировал твой вопрос своим разрабам. Они меня отправили сюда (https://itsecforu.ru/2021/12/24/🌐-обзор-проверенных-способов-поиска/). Говорят, нужно узнать все endpoints по url, а затем по get-запросу через Postman посмотреть, что выдает. Не знаю, чем это тебе поможет. Но, вдруг?

0

15.09.2023

Denis Автор вопроса

Юра
Транслировал твой вопрос своим разрабам. Они меня ...

Ого. Похоже на правду. Спасибо.

0

15.09.2023

Eduard Tibet

Юра
Транслировал твой вопрос своим разрабам. Они меня ...

Все равно немного непонятно, как использовать эти методы для сервиса, который представляет собой blackbox, размещенный, например, в интранете. Или у @Denis_Malov другие исходные условия? Т.е. все изложенные методы, насколько я понял, основаны на каких-нибудь уже существующих где-то заранее сохраненных данных (webarchive) или на доступе к коду (как JS файлы).

0

15.09.2023

Denis Автор вопроса

Eduard Tibet
Все равно немного непонятно, как использовать эти ...

Блин, вы про blackbox написали и у меня возникла мысль. Может для таких случаев можно DAST-анализатор приспособить?

0

15.09.2023

Stas Rychkov

Привет. Для запросов используете curl, лучше питоновский. Перебором. https://github.com/juice-shop/juice-shop/issues/824 Варианты: • Вкладка Network в Хроме. Смотрите запросы в левой панели. Нажимаете запрос, смотрите вкладку Responses. • Устанавливаете Fiddler в браузер. Это перехватчик запросов. Смотрите все запросы. • PCAP-драйвер.

0

15.09.2023

Юра

Eduard Tibet
Все равно немного непонятно, как использовать эти ...

Как я понял, у @Denis_Malov проблема была в том, что он знал только основной url (или сетевой адрес). Доступа к коду и серверу нет. Для получения данных нужны endpoints url (конечные точки), чтобы обраться именно к ним. В постановке задачи они неизвестны, т.е. скрыты. Следовательно, вопрос: как их узнать? Для этого нужно воспользоваться каким-то общедоступным сервисом (ну, не ломать же сервак)) Может быть, парсингом. Из известных мне, на ум приходит только Google Sheets. Но, об этом он и сам скорее всего знает. Я транслировал вопрос разработчикам. А сегодня тяпница! Вот, они меня и направили по адресу. Дальше см. выше. 😀😀

0

15.09.2023

Natalya Antonova · Accepted Answer

Natalya Antonova

код идти ковырять, мне так аналитики восстанавливают данные на методы, которые никак не описаны

0

15.09.2023

Похожие чаты

Вопрос для вечера пятницы ) Есть REST API. И есть

9 ответов

Похожие вопросы