api_wordlist

Список слов имён API для фаззинга API веб-приложений.

Содержание

• api_seen_in_wild.txt - Содержит имена функций API, которые я встречал в реальных условиях.
• actions.txt - Все глаголы имён функций API
• objects.txt - Все существительные имён функций API
• actions-uppercase.txt - Глаголы имён функций API с ведущим символом в верхнем регистре
• actions-lowercase.txt - Глаголы имён функций API с ведущим символом в нижнем регистре
• objects-uppercase.txt - Существительные имён функций API с ведущим символом в верхнем регистре
• objects-lowercase.txt - Существительные имён функций API с ведущим символом в нижнем регистре

Использование

1. В burpsuite отправьте API-запрос, который хотите фаззить, в Intruder.
2. Удалите существующий вызов функции API и замените его двумя символами § для каждого текстового файла, который хотите использовать.
3. На вкладке "Positions" установите тип атаки "Cluster Bomb".
4. На вкладке "Payloads" выберите 1 для первого раскрывающегося списка Payload set, затем выберите тип полезной нагрузки "Runtime file" и перейдите в каталог, куда вы скачали эти текстовые файлы. Выберите "actions.txt".
5. Повторите шаг 4, установив Payload set 2 на "objects.txt".
6. (необязательный шаг - добавьте дополнительные наборы полезных нагрузок и установите их на "objects.txt", чтобы проверить многосоставные объекты, например "UserAccount")
7. Запустите атаку!

Комментарии

Если вы используете это и это полезно, я буду рад услышать об этом! (@[email protected]). Если вы считаете, что я упустил какие-то очевидные варианты слов, мне тоже будет интересно узнать об этом, или не стесняйтесь добавлять их.