api-sec

API セキュリティルーター

API セキュリティテストのルーティングエントリーポイントです。

まずこのスキルを使って、API の問題が主に偵察／ドキュメント、オブジェクト認可、トークンの信頼性、GraphQL／隠しパラメーターのどれに該当するかを判断してから、より詳しいトピックのスキルに進んでください。

使用するタイミング

• 対象が REST API、モバイルバックエンド、または GraphQL エンドポイントを公開している
• 特定のトピックに進む前に、API のテスト順序を決める必要がある
• オブジェクト認可、JWT、GraphQL、隠しフィールドをそれぞれ別のトラックとして扱いたい

スキルマップ

• API の偵察とドキュメント：OpenAPI、Swagger、バージョンの乖離、非公開ドキュメント
• API 認可と BOLA：BOLA、BFLA、メソッドの悪用、非公開の書き込み可能フィールド
• API 認証と JWT の悪用：ベアラートークン、ヘッダーの信頼性、クレームの悪用、レート制限の回避
• GraphQL と隠しパラメーター：イントロスペクション、バッチ処理、未公開フィールド、隠しパラメーター

簡易トリアージ

観察事項	ルート
Swagger または OpenAPI が存在する	api-recon-and-docs
URL、JSON、ヘッダー、または GraphQL 引数に ID が含まれている	api-authorization-and-bola
通信内に JWT トークンが見える	api-auth-and-jwt-abuse
/graphql またはバッチ処理された JSON 配列が存在する	graphql-and-hidden-parameters
登録、ログイン、またはプロフィールの更新で追加フィールドを受け付ける	まず api-authorization-and-bola、次に api-auth-and-jwt-abuse

推奨フロー

1. 公開されているエンドポイントとドキュメントアセットから始めます
2. 次に、オブジェクトレベルおよび機能レベルの認可を評価します
3. その後、トークン、ヘッダー、署名、レート制限の境界を評価します
4. GraphQL または複雑な JSON が存在する場合は、隠しフィールドとスキーマの悪用について調べます

関連カテゴリ

• auth-sec
• business-logic-vuln
• recon-for-sec