Forum
Aktif konular
Üyeler
Kurallar
Arama
Api'yi Keşfetmek Api'yi Keşfetmek
-
Selamlar arkadaşlar, umarım iyisinizdir. Bir chrome app'in api adresini buldum. Daha önce api'ler ile ilişkim az oldu. Hatta uzun zamandır da işim olmadı. FiddlerCap ile bakınca api'nin adresleri görünüyor.( Örneğin /api/FDGet/GetUserData) Ben bunu nasıl bızıklarım? Tavsiye ettiğiniz yol, yordam, yöntemler/tavsiyeler verirseniz çok sevinirim.
Sevgi ve hürmetlerimle.
-
En basitinden Postman ile deneme yaparsın hocam.
-
apiye ne postlandığını görebiliyor musun? chrome applerin chrome network tabında yaptığı istekler gözüküyor mu ? bir bak oradan nereye ne göndermiş ne cevap almış ne cookie ile istek atılmış falan görürsün.
-
hocam network bölümünde bu isteğin request ve response'una bakmak lazım. request header token, cookie vb. bilgileri görebilirsin.
mimarisini biraz bızıklamak lazım. ismine GetUserData gibi bir şey koydularsa aşırı nizami bir tasarım yaptıklarını düşünmüyorum. jwt token ile auth verildiyse o token'ı kullanarak, eğer kullanıcı id vb. ile alınıyorsa başka verilere de ulaşılabilir. tabi bunu yapmaları için baya rookie olmaları lazım. response'lara göre adamların yöntemi az çok ortaya çıkar zaten. test için postman kullanabilirsin. aksi halde cors'a düşeceksin zaten -eğer ayarladılarsa-
olay biraz sosyal mühendislikle alakalı aslında. yazanın takip ettiği mimariyi çözdükten sonra her türlü bızıklanır.
-
Tüm endpointleri eğer uygulama izin veriyorsa uygulama üzerinden tıklayarak görebilirsin fakat eğer daha böyle discovery tarzındaysa uygulamayı indirip reverseleyebilir (chrome app'ler genellikle JS sanırım onun içerisinden çıkartabilirsin regex ile vs) ha yok farklı dersen KiteRunner veya wfuzz, fuff gibi araçlarla bodoslama dalabilirsin.
-
0x656e bunu yazdı
Tüm endpointleri eğer uygulama izin veriyorsa uygulama üzerinden tıklayarak görebilirsin fakat eğer daha böyle discovery tarzındaysa uygulamayı indirip reverseleyebilir (chrome app'ler genellikle JS sanırım onun içerisinden çıkartabilirsin regex ile vs) ha yok farklı dersen KiteRunner veya wfuzz, fuff gibi araçlarla bodoslama dalabilirsin.
şu araçları paylaşma durumun var mı hocam. kendi apilerimizi bi stress testine sokalım bakalım sağ salim çıkacaklar mı
-
cemnet bunu yazdı0x656e bunu yazdı
Tüm endpointleri eğer uygulama izin veriyorsa uygulama üzerinden tıklayarak görebilirsin fakat eğer daha böyle discovery tarzındaysa uygulamayı indirip reverseleyebilir (chrome app'ler genellikle JS sanırım onun içerisinden çıkartabilirsin regex ile vs) ha yok farklı dersen KiteRunner veya wfuzz, fuff gibi araçlarla bodoslama dalabilirsin.
şu araçları paylaşma durumun var mı hocam. kendi apilerimizi bi stress testine sokalım bakalım sağ salim çıkacaklar mı
Abi stress testlik bir şey değiller aslında. Yani beklediğin stress testi gerçekleştirmez. Hepsi github da var tek tek link atmayayım şimdi.
Edit: yanlış anlaşılmaya mahal vermemek için. Uygulama izin veriyorsadan kastım uygulama içerisinde her endpoint ile ilgili bir fonksiyon vs varsa demiştim.
0x656e tarafından 14/Kas/22 14:37 tarihinde düzenlenmiştir -
cemnet bunu yazdı0x656e bunu yazdı
Tüm endpointleri eğer uygulama izin veriyorsa uygulama üzerinden tıklayarak görebilirsin fakat eğer daha böyle discovery tarzındaysa uygulamayı indirip reverseleyebilir (chrome app'ler genellikle JS sanırım onun içerisinden çıkartabilirsin regex ile vs) ha yok farklı dersen KiteRunner veya wfuzz, fuff gibi araçlarla bodoslama dalabilirsin.
şu araçları paylaşma durumun var mı hocam. kendi apilerimizi bi stress testine sokalım bakalım sağ salim çıkacaklar mı
Stress testi icin Apache JMeter kullanabilirsin.
-
Abiler ilerleme kaydettim. "\xe5\x87\xba\xe7\x8e\xb0\xe9\x94\x99\xe8\xaf\xaf\xe3\x80\x82"}' tarzı dönüşler alıyorum get ile api'den istekte bulununca(henüz acemiyim bu konuda ciddi anlamda) bu \x ile başlayan datalar ile neler yapabilirim? Bu konuda da yol gösterirseniz sevinirim.
-
Dark_Lord bunu yazdı
Abiler ilerleme kaydettim. "\xe5\x87\xba\xe7\x8e\xb0\xe9\x94\x99\xe8\xaf\xaf\xe3\x80\x82"}' tarzı dönüşler alıyorum get ile api'den istekte bulununca(henüz acemiyim bu konuda ciddi anlamda) bu \x ile başlayan datalar ile neler yapabilirim? Bu konuda da yol gösterirseniz sevinirim.
Hex code'lari stringe cevirdigin zaman 出现错误 seklinde Cince karakterler cikiyor onu da Turkceye cevirdigin zaman ise "Bir hata oluştu". :)
-
burp suite biraz kurcalayacaksın birşey varsa eğer çıkar elbette .p
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla