Labs de API Abuse

Playbook práctico — del recon a la prueba de concepto.

1. 1

   Mapear la superficie de la API

   Recoge endpoints del tráfico móvil/web, de la doc Swagger/OpenAPI y de versiones antiguas (/api/v1 vs /api/v2). Cuanto más completo el mapa, más fallos encuentras.

   GET /swagger.json · /api/v1/ · /api/internal/

2. 2

   Probar BOLA en cada objeto

   Repite peticiones cambiando el ID de objeto por uno ajeno con tu token. Si devuelve datos de otro, es Broken Object Level Authorization.

   GET /api/v1/orders/1002   (tu token, pedido de otro usuario)

3. 3

   Probar BFLA en funciones admin

   Llama a operaciones de gestión (crear/borrar usuarios, cambiar roles) con una cuenta normal. Muchas APIs no revalidan el nivel de función.

   POST /api/v1/admin/users   {"role":"admin"}   (con token básico)

4. 4

   Abusar de mass assignment

   Añade campos privilegiados al body de un update. Si el modelo los acepta sin allowlist, escalas privilegios o saltas verificaciones.

   PATCH /api/v1/users/me   {"isAdmin":true,"emailVerified":true}

5. 5

   Explotar GraphQL

   Si la introspección está activa, vuelca el schema completo y descubre mutations ocultas; con alias batching haces brute force en una sola petición.

   {__schema{types{name fields{name}}}}   ·   alias1:login(...) alias2:login(...) ...

6. 6

   Bypassear el rate limit

   Rota IP simulada, varía la ruta o el casing, o agrupa intentos en batch para saltarte el throttling y habilitar fuerza bruta.

   X-Forwarded-For: 1.2.3.4 (rotando)   ·   /api/v1/login vs /API/V1/login