KeyHacks muestra métodos para validar diferentes claves de API encontradas en un programa Bug Bounty o una prueba de penetración.

@Gwen001 ha automatizado todo el proceso disponible aquí y se puede encontrar aquí

Tabla de Contenidos

• Clave de API de ABTasty
• Clave de API de Algolia
• Claves de API de Amplitude
• Token de acceso de Asana
• ID de clave de acceso y secreto de AWS
• ID de APP y Clave de API de Azure Application Insights
• Passkey de Bazaarvoice
• Clave de API de Bing Maps
• Token de acceso de Bit.ly
• Clave y Secreto de Branch.io
• Clave de acceso de BrowserStack
• Token de acceso de Buildkite
• Clave de API de ButterCMS
• Clave de API de Calendly
• Token de acceso de Contentful
• Token de acceso de CircleCI
• Clave de API de Cloudflare
• Clave de grabación de Cypress
• Clave de API de DataDog
• Clave de API de Delighted
• Token de acceso de Deviant Art
• Secreto de Deviant Art
• API de Dropbox
• Token de acceso de Facebook
• AppSecret de Facebook
• Firebase
• Firebase Cloud Messaging (FCM)
• Clave de API de FreshDesk
• ID de cliente y secreto de cliente de Github
• Clave SSH privada de GitHub
• Token de GitHub
• Token de acceso personal de Gitlab
• Token de registro de runner de GitLab
• Credenciales de cuenta de servicio de Google Cloud
• Clave de API de Google Maps
• Clave de Google Recaptcha
• Token de acceso de Grafana
• OAUTH de Help Scout
• Clave de API de Heroku
• Clave de API de HubSpot
• Clave de API de Infura
• Token de acceso de Instagram
• Token de acceso de Instagram Basic Display API
• Token de acceso de Instagram Graph API
• Clave de API de Ipstack
• Clave de API de Iterable
• Clave de API de JumpCloud
• Clave de API de Keen.io
• OAUTH de LinkedIn
• Clave de API de Lokalise
• Clave de API de Loqate
• Clave de API de MailChimp
• Clave privada de MailGun
• Clave de API de Mapbox
• Tenant de Microsoft Azure
• Firmas de Acceso Compartido (SAS) de Microsoft
• Webhook de Microsoft Teams
• Clave de API Personal de New Relic (NerdGraph)
• API REST de New Relic
• Token de NPM
• Clave de API de OpsGenie
• Token de API de Pagerduty
• ID de cliente y clave secreta de Paypal
• Clave de Integración de Pendo
• Token de API de PivotalTracker
• Clave de API y clave secreta de Razorpay
• Clave de API de Salesforce
• Nombre de usuario y clave de acceso de SauceLabs
• Token de API de SendGrid
• Clave de API de Shodan.io
• Token de API de Slack
• Webhook de Slack
• Token de Sonarcloud
• Token de acceso de Spotify
• Square
• Token en vivo de Stripe
• Token de API de Bot de Telegram
• Token de API de Travis CI
• Account_sid y Auth token de Twilio
• Secreto de API de Twitter
• Token Bearer de Twitter
• Token de API de Visual Studio App Center
• Clave de API de WakaTime
• Clave de API de WeGlot
• Clave de API de WPEngine
• Clave de API de YouTube
• Token de Webhook de Zapier
• Token de acceso de Zendesk
• Clave de API de Zendesk

Información Detallada

Webhook de Slack

Si el siguiente comando devuelve missing_text_or_fallback_or_attachments, significa que la URL es válida; cualquier otra respuesta significaría que la URL no es válida.``` curl -s -X POST -H "Content-type: application/json" -d '{"text":""}' "https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX"

## [Token de API de Slack](https://api.slack.com/web)```
curl -sX POST "https://slack.com/api/auth.test?token=xoxp-TOKEN_HERE&pretty=1"

o``` curl -sX POST "https://slack.com/api/auth.test" -H "Accept: application/json; charset=utf-8" -H "Authorization: Bearer xoxb-TOKEN_HERE"

## [Nombre de usuario y clave de acceso de SauceLabs](https://wiki.saucelabs.com/display/DOCS/Account+Methods)```
curl -u USERNAME:ACCESS_KEY https://saucelabs.com/rest/v1/users/USERNAME

Facebook AppSecret

Puedes generar tokens de acceso visitando la URL a continuación.``` https://graph.facebook.com/oauth/access_token?client_id=ID_HERE&client_secret=SECRET_HERE&redirect_uri=&grant_type=client_credentials

## Token de acceso de Facebook```
https://developers.facebook.com/tools/debug/accesstoken/?access_token=ACCESS_TOKEN_HERE&version=v3.2

Firebase

Requiere un token personalizado y una clave de API.

1. Obtén el token de ID y el token de actualización a partir del token personalizado y la clave de API: curl -s -XPOST -H 'content-type: application/json' -d '{"token":":custom_token","returnSecureToken":True}' 'https://identitytoolkit.googleapis.com/v1/accounts:signInWithCustomToken?key=:api_key'
2. Intercambia el token de ID por un token de autenticación: curl -s -XPOST -H 'content-type: application/json' -d '{"idToken":":id_token"}' https://www.googleapis.com/identitytoolkit/v3/relyingparty/verifyCustomToken?key=:api_key'

Github Token```

curl -s -u "user:apikey" https://api.github.com/user curl -s -H "Authorization: token TOKEN_HERE" "https://api.github.com/users/USERNAME_HERE/orgs"

Check scope of your api token

curl "https://api.github.com/rate_limit" -i -u "user:apikey" | grep "X-OAuth-Scopes:"

## [Identificador de cliente y secreto de cliente de Github](https://developer.github.com/v3/#oauth2-keysecret)```
curl 'https://api.github.com/users/whatever?client_id=xxxx&client_secret=yyyy'

Firebase Cloud Messaging