api_wordlist

Une wordlist de noms d'API utilisée pour le fuzzing des API d'applications web.

Contenu

• api_seen_in_wild.txt - Contient des noms de fonctions d'API que j'ai rencontrés dans la nature.
• actions.txt - Tous les verbes de noms de fonctions d'API
• objects.txt - Tous les noms (substantifs) de noms de fonctions d'API
• actions-uppercase.txt - Verbes de noms de fonctions d'API avec le premier caractère en majuscule
• actions-lowercase.txt - Verbes de noms de fonctions d'API avec le premier caractère en minuscule
• objects-uppercase.txt - Noms (substantifs) de fonctions d'API avec le premier caractère en majuscule
• objects-lowercase.txt - Noms (substantifs) de fonctions d'API avec le premier caractère en minuscule

Utilisation

1. Dans burpsuite, envoyez une requête d'API que vous souhaitez fuzzer vers Intruder.
2. Supprimez l'appel de fonction d'API existant et remplacez-le par deux caractères § pour chaque fichier texte que vous souhaitez utiliser.
3. Sous l'onglet « Positions », réglez le type d'attaque sur « Cluster Bomb ».
4. Sous l'onglet « Payloads », sélectionnez 1 pour le premier Payload set dans le menu déroulant, puis choisissez un type de Payload « Runtime file » et accédez au répertoire dans lequel vous avez téléchargé ces fichiers texte. Sélectionnez « actions.txt ».
5. Répétez l'étape 4 en réglant le Payload set 2 sur « objects.txt ».
6. (étape facultative - ajoutez d'autres payload sets et réglez-les sur « objects.txt » pour tester des objets en plusieurs parties comme « UserAccount »)
7. Lancez l'attaque !

Commentaires

Si vous utilisez ceci et que cela vous est utile, j'aimerais beaucoup en entendre parler ! (@[email protected]). Si vous pensez qu'il manque des choix de mots évidents, j'aimerais aussi le savoir, ou n'hésitez pas à les ajouter.