testing-mobile-api-authentication

测试移动应用 API 认证

适用场景

适用于以下情况：

• 在渗透测试中评估移动应用后端 API 认证机制
• 测试 JWT 实现中的常见漏洞（none 算法、弱签名密钥）
• 评估移动应用中 OAuth 2.0 / OIDC 流程的重定向、PKCE 和权限范围问题
• 测试 API 端点中的 BOLA/IDOR（对象级授权失效）漏洞

不适用场景：未经明确授权且无速率限制意识，不得对生产 API 使用此技能。

前置条件

• Burp Suite 或 mitmproxy 已配置为移动设备代理
• 目标应用已绕过 SSL 固定（如已实现）
• 目标应用的有效测试账户凭据
• Postman 或 curl 用于构造 API 请求
• jwt.io 或 PyJWT 用于 JWT 分析与篡改

工作流程

步骤 1：映射认证端点

拦截移动应用流量，识别认证相关端点：

POST /api/v1/auth/login          - 初始认证
POST /api/v1/auth/register       - 账户注册
POST /api/v1/auth/refresh        - Token 刷新
POST /api/v1/auth/logout         - 会话终止
POST /api/v1/auth/forgot-password - 密码重置
POST /api/v1/auth/verify-otp     - OTP 验证
GET  /api/v1/auth/me             - 已认证用户信息

步骤 2：分析 Token 格式与安全性

JWT 分析：

# 不验证签名直接解码 JWT
echo "eyJhbGciOiJIUzI1NiIs..." | cut -d. -f2 | base64 -d 2>/dev/null

# 检查常见 JWT 漏洞：
# 1. None 算法攻击
# 修改 Header 为：{"alg":"none","typ":"JWT"}
# 去掉签名：header.payload.

# 2. 算法混淆（RS256 改为 HS256）
# 若服务器使用 RS256，尝试以公钥作为 secret 使用 HS256

# 3. 弱签名密钥
# 使用 hashcat 或 jwt-cracker 爆破 HMAC secret
hashcat -m 16500 jwt.txt wordlist.txt

# 4. 过期时间绕过
# 修改 "exp" 声明为未来时间戳

不透明 Token 分析：

- 测试 Token 长度和熵值
- 检查 Token 是否具有顺序性或可预测性
- 测试登出后 Token 是否可复用
- 验证密码修改后 Token 是否失效

步骤 3：测试认证绕过

# 测试无认证访问
curl -X GET https://api.target.com/api/v1/users/profile

# 使用空/null Token 测试
curl -X GET https://api.target.com/api/v1/users/profile \
  -H "Authorization: Bearer "

curl -X GET https://api.target.com/api/v1/users/profile \
  -H "Authorization: Bearer null"

# 使用过期 Token 测试（应返回失败）
curl -X GET https://api.target.com/api/v1/users/profile \
  -H "Authorization: Bearer <过期_token>"

# 使用其他用户 Token 测试
curl -X GET https://api.target.com/api/v1/users/123/profile \
  -H "Authorization: Bearer <用户456的_token>"

步骤 4：测试 IDOR（对象级授权失效）

# 修改请求路径中的用户 ID
curl -X GET https://api.target.com/api/v1/users/123/orders \
  -H "Authorization: Bearer <用户456的_token>"

# 修改请求体中的对象 ID
curl -X PUT https://api.target.com/api/v1/orders/789 \
  -H "Authorization: Bearer <用户456的_token>" \
  -d '{"status": "cancelled"}'

# 测试横向权限提升
# 使用普通用户 Token 访问管理员端点
curl -X GET https://api.target.com/api/v1/admin/users \
  -H "Authorization: Bearer <普通用户_token>"

步骤 5：测试会话管理

# 测试并发会话
# 从多台设备同时登录——两个会话是否均保持有效？

# 测试登出后 Token 失效
TOKEN=$(curl -s -X POST https://api.target.com/api/v1/auth/login \
  -d '{"email":"test@test.com","password":"pass"}' | jq -r '.token')

# 执行登出
curl -X POST https://api.target.com/api/v1/auth/logout \
  -H "Authorization: Bearer $TOKEN"

# 尝试使用相同 Token（应返回失败）
curl -X GET https://api.target.com/api/v1/users/me \
  -H "Authorization: Bearer $TOKEN"

# 测试密码修改后 Token 失效
# 密码修改前获取的 Token 应在修改后失效

步骤 6：测试 OAuth 2.0 / OIDC 移动端流程

# 测试授权码拦截
# 检查是否强制使用 PKCE（Proof Key for Code Exchange）
# 测试缺少 code_verifier 参数的情况

# 测试重定向 URI 操纵
# 尝试自定义 Scheme 劫持：myapp://callback
# 测试修改 redirect_uri 参数

# 测试权限范围提升
# 请求超出已授权的权限范围

核心概念

术语	定义
BOLA/IDOR	对象级授权失效——通过修改标识符访问资源，而服务端未进行授权检查
JWT	JSON Web Token——包含 Header、Payload 和 Signature 的自包含认证令牌
PKCE	Proof Key for Code Exchange——防止移动应用授权码被拦截的 OAuth 2.0 扩展
Token 刷新	使用长期有效的刷新令牌获取新访问令牌的机制，无需重新认证
会话固定（Session Fixation）	攻击者在受害者认证前预设已知会话 ID，随后劫持该会话的攻击方式

工具与系统

• Burp Suite：HTTP 代理，用于拦截和修改认证请求
• jwt_tool：Python 工具，用于测试 JWT 漏洞（none 算法、密钥混淆、声明篡改）
• Postman：API 测试客户端，用于构造认证请求
• hashcat：密码/JWT secret 爆破工具，用于测试 HMAC 签名密钥强度
• Autorize：Burp Suite 插件，用于自动化授权测试

常见问题

• 速率限制掩盖问题：API 可能对测试请求进行速率限制。需在请求间添加延迟，并先从测试者已授权的视角进行测试。
• URL 中的 Token：部分移动 API 将 Token 作为 URL 查询参数传递，使其暴露在服务器日志和浏览器历史中。即使授权功能正常，也应标记为发现项。
• 刷新令牌轮换：部分 API 在每次使用刷新令牌后进行轮换。若测试使刷新令牌失效，可能导致测试账户被锁定。
• 移动端特定 OAuth：移动应用使用自定义 URI Scheme 进行 OAuth 重定向，可能被注册了相同 Scheme 的恶意应用拦截。