Уязвимости и атаки на API

ОБЯЗАТЕЛЬНОДЛЯ НОВИЧКОВ

Разработчику Архитектору

Публичный API — граница доверия. Ошибки авторизации и валидации здесь дороже, чем в UI: скрипты бьют тысячи запросов в минуту.

Общая база: безопасность приложений, интеграционная авторизация.

---

Модель угроз (кратко)

Защита строится на: аутентификация, авторизация на каждый ресурс, валидация входа, лимиты, наблюдаемость.

---

Каталог угроз

Угроза	Суть	Пример	Митигация
Broken Access Control / IDOR	Доступ к чужому объекту по ID	GET /orders/999 чужого заказа	Проверка владельца в сервисе, не только «есть JWT»
SQL / NoSQL / Command injection	Враждебный ввод в запрос	' OR 1=1--	Параметризованные запросы, ORM, whitelist
Mass assignment	Клиент прислал лишние поля	{"role":"admin"} в профиле	DTO, явный allow-list полей
Open Redirect	?next=http://evil	Фишинг с вашим доменом	Whitelist URL редиректа
SSRF	Сервер дергает внутренний URL	url=http://169.254.169.254	Блок private IP, исходящий proxy
XSS (через API → HTML)	Неэкранированные данные в письме/админке	Stored XSS	Экранирование, CSP
CSRF	Браузер шлёт cookie без ведома	POST с чужого сайта	SameSite, anti-CSRF token
Brute force	Перебор паролей / OTP	Тысячи /login	Rate limit, captcha, lockout
DoS / HTTP flood	Исчерпание воркеров	Медленные POST	Rate limit, WAF, body size cap
Slowloris / slow POST	Держит соединения открытыми	Медленная отправка тела	Таймауты на прокси
Zip bomb	Маленький архив → гигабайты	Распаковка без лимита	Лимит размера, streaming scan
Logic bomb	Злоупотребление бизнес-правилом	Бесконечные бонусы	Инварианты, аудит, лимиты
MITM	Подслушивание канала	Публичный Wi‑Fi	TLS везде, HSTS
Утечка в ответе	Stack trace, внутренние ID	500 с SQL в теле	Единый error handler

---

IDOR — разбор типичного промаха

GET /api/v1/documents/550e8400-e29b-41d4-a716-446655440000
Authorization: Bearer <valid_user_A>

Сервер возвращает документ, если UUID существует, не проверяя, что документ принадлежит user A.

Правильно: SELECT … WHERE id = @id AND owner_id = @currentUser.

Тест: два пользователя, два объекта — ни один не читает чужой ID.

---

Rate limiting

Уровень	Где
Глобальный	API Gateway, Nginx limit_req
По пользователю	Middleware + Redis counter
По операции	Строже на /login, /reset-password

Алгоритмы: token bucket, sliding window. Ответ: 429 Too Many Requests + заголовок Retry-After.

---

Заголовки и hardening

Минимальный набор для HTTP API за прокси:

• Strict-Transport-Security
• ограничение Content-Type на входе
• не отдавать лишние заголовки (Server, внутренние версии)

Для браузерных клиентов — CORS и CSP на фронте.

---

Процесс в команде

1. Threat modeling на новый endpoint (STRIDE-lite достаточно).
2. Security-тесты в CI: известные IDOR/SQLi кейсы на staging.
3. Пентест перед крупным релизом публичного API.
4. Реагирование: блок токена, откат, post-mortem (наблюдаемость).

---

Связанные темы

• Zero Trust
• Проектирование API
• Компетенции бэкенда

---