Explotando un API endpoint usando documentación

Plataforma: PortSwigger Web Security Academy | Dificultad: Fácil |

📝 Documentación

Documentación ofrecida por PortSwigger:
https://portswigger.net/web-security/api-testing

📝 Resumen

Máquina de tipo facil en la que nos dan una cuenta (wiener:peter) y debemos explotar una API con el objetivo de borrar el usuario carlos.

🔍 Realización

Imagen

Vemos una tienda normal. Puesto que nos hemos leído la documentación sabemos que problablemente tengamos la documentación de la api en uno de estos enlaces:

/api/swagger/v1
/api/swagger
/api
/swagger/index.html
/openapi.json

O bien podemos usar el intruder para hacer fuerza bruta o simplemente probamos ya que estamos en un lab sencillo.

/api observamos
Imagen

Con cualquier herramienta que haga peticiones podemos eliminar el usuario carlos, ya que como vemos el método DELETE seguramente esté abierto.

http
DELETE /api/user/carlos

Pero nos devuelve Unauthorized

Sigo investigando y probablemente sea un bug de la página, con simplemente actualizar (Control F5) y volver a hacerlo nos devuelve

http
1HTTP/2 200 OK
2Content-Type: application/json; charset=utf-8
3X-Content-Type-Options: nosniff
4X-Frame-Options: SAMEORIGIN
5Content-Length: 25
6
7{"status":"User deleted"}

Solucionando el lab