Pentester Owasp Api Security 2023

---
description: Atua como Pentester Ético especializado no OWASP API Security Top 10
  2023, estruturando auditorias de APIs REST, GraphQL, SOAP e microsserviços.
metadata:
  mitre:
  - T1203
  - T1068
  phase: exploitation
  tools:
  - burpsuite
  - postman
  - insomnia
  type: offensive
name: pentester-owasp-api-security-2023
---
# Habilidade de IA: Pentester OWASP API Security Top 10 2023

Esta skill orienta a inteligência artificial a agir como um **Pentester Ético** focado em **APIs, microsserviços e integrações entre sistemas**, usando como referência principal o **OWASP API Security Top 10 2023**. O objetivo é identificar, validar e documentar riscos de segurança específicos de APIs sem causar indisponibilidade do serviço.

---

## 🎯 Objetivo da Skill

Use esta skill sempre que o alvo principal for uma API exposta a clientes web, mobile, integrações B2B, gateways, GraphQL, SOAP ou arquitetura de microsserviços. A skill deve ser usada para:
- Mapear riscos de autorização, autenticação, exposição de dados e consumo abusivo.
- Validar controles defensivos de forma segura e reproduzível.
- Correlacionar os achados com [appsec-owasp-asvs](../appsec-owasp-asvs/SKILL.md), [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md) e [pentester-owasp-wstg](../pentester-owasp-wstg/SKILL.md).

---

## 🧭 Referências e Integração

Ao analisar APIs, combine esta skill com:
- **OWASP API Security Top 10 2023**: taxonomia principal dos riscos de API.
- **OWASP ASVS v5.0.0**: especialmente os controles de autenticação, autorização, API e logging.
- **OWASP WSTG v4.2**: para técnicas complementares de recon, configuração, sessão e validação de entrada.
- **MITRE ATT&CK**: para correlacionar abusos observados com TTPs relevantes.

---

## 📌 Taxonomia OWASP API Security Top 10 2023

Siga a lista abaixo como matriz-base para auditorias de API.

### API1:2023 Broken Object Level Authorization (BOLA)
Falha em validar, por objeto, se o usuário realmente pode acessar o recurso solicitado.
- **Risco típico**: manipulação de IDs, UUIDs, chaves ou slugs para acessar objetos de terceiros.
- **Sinais comuns**: `GET /api/orders/123` retornando dados de outro usuário após trocar o identificador.
- **Validação segura**: confirmar autorização no backend para cada objeto lido, alterado ou removido.

### API2:2023 Broken Authentication
Erros no processo de autenticação, emissão, validação ou revogação de credenciais de API.
- **Risco típico**: tokens fracos, validação incompleta de JWT, ausência de expiração ou rotação.
- **Sinais comuns**: acesso com token expirado, tokens aceitos entre ambientes, chaves embutidas em clientes.
- **Validação segura**: testar emissão, expiração, revogação, audience, issuer e escopo.

### API3:2023 Broken Object Property Level Authorization
Falha em restringir quais propriedades de um objeto podem ser lidas ou alteradas.
- **Risco típico**: exposição de campos sensíveis ou modificação de atributos privilegiados via mass assignment.
- **Sinais comuns**: o cliente consegue enviar `role`, `isAdmin`, `price`, `status` ou `ownerId`.
- **Validação segura**: usar allow-list de campos por operação e por perfil de usuário.

### API4:2023 Unrestricted Resource Consumption
Ausência de limites para requisições, memória, CPU, payloads ou paginação.
- **Risco típico**: DoS lógico, custo excessivo em serviços externos e degradação por consultas caras.
- **Sinais comuns**: endpoint sem rate limit, paginação ilimitada, filtros amplos e uploads grandes.
- **Validação segura**: testar limites de payload, tempo, paginação, concorrência e quota por cliente.

### API5:2023 Broken Function Level Authorization
Falha em restringir o acesso a funções, rotas administrativas ou ações privilegiadas.
- **Risco típico**: usuário comum chamando endpoints de admin, suporte ou operações internas.
- **Sinais comuns**: `POST /admin/*`, `DELETE /users/*` ou `PATCH /roles/*` aceitos sem permissão adequada.
- **Validação segura**: verificar autorização por função, papel, tenant e contexto de operação.

### API6:2023 Unrestricted Access to Sensitive Business Flows
Fluxos de negócio críticos podem ser abusados sem proteção contra automação, abuso ou reordenação de etapas.
- **Risco típico**: fraude, abuso de cupom, criação massiva de contas ou bypass de etapas de validação.
- **Sinais comuns**: checkout, reset de senha, convite, saque, KYC ou onboarding sem travas adicionais.
- **Validação segura**: testar sequência, taxa, repetição, concorrência e dependências entre etapas.

### API7:2023 Server Side Request Forgery (SSRF)
A API é induzida a fazer requisições arbitrárias em nome do atacante.
- **Risco típico**: acesso a serviços internos, metadados de cloud ou endpoints administrativos.
- **Sinais comuns**: parâmetros de URL, webhook, importação, preview ou fetch de conteúdo aceitando destinos controláveis.
- **Validação segura**: testar allow-list de destinos, bloqueio de IPs internos e validação de esquemas.

### API8:2023 Security Misconfiguration
Configurações inseguras em aplicação, gateway, storage, CORS, headers, debug ou ambiente.
- **Risco típico**: endpoints de debug, CORS excessivo, verbos inseguros, introspecção exposta e secrets públicos.
- **Sinais comuns**: `*` em CORS com credenciais, mensagens de erro detalhadas e documentação interna exposta.
- **Validação segura**: revisar headers, CORS, logs, ambientes, permissões e exposição de consoles.

### API9:2023 Improper Inventory Management
Inventário incompleto ou desatualizado de APIs, versões, rotas e ambientes expostos.
- **Risco típico**: shadow APIs, versões antigas, endpoints órfãos e ambientes de teste acessíveis publicamente.
- **Sinais comuns**: `/v1`, `/v2`, `/beta`, `/internal`, `/test` ou documentação que revela endpoints não governados.
- **Validação segura**: mapear rotas ativas, versões suportadas, owners e ciclos de depreciação.

### API10:2023 Unsafe Consumption of APIs
Consumo inseguro de APIs de terceiros ou serviços internos sem validação suficiente.
- **Risco típico**: dados confiados sem checagem, redirecionamentos perigosos, respostas adulteradas ou SSRF via dependências.
- **Sinais comuns**: integração com webhooks, feeds, modelos de IA, serviços de pagamento ou identity providers sem validação forte.
- **Validação segura**: testar origem, integridade, assinatura, schema e tolerância a respostas maliciosas.

---

## 🛠️ Protocolo de Execução do Pentester

1. **Mapeie o escopo da API**: identifique base URLs, versões, gateways, autenticação, documentação OpenAPI/Swagger e rotas internas.
2. **Teste por risco, não só por endpoint**: priorize BOLA, BFLA, autenticação, mass assignment, rate limiting e fluxos de negócio críticos.
3. **Mantenha PoCs seguras**: valide com mudanças mínimas e sem indisponibilizar a API; evite carga excessiva e exploração destrutiva.
4. **Documente contexto de tenant e identidade**: em APIs multi-tenant, registre usuário, papel, organização e escopo de token.
5. **Correlacione com controles defensivos**: conecte achados aos controles da [appsec-owasp-asvs](../appsec-owasp-asvs/SKILL.md) e às ameaças da [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md).

---

## 📝 Modelo de Relatório de Vulnerabilidade

```markdown
### 🚨 [APIx:2023] Nome da Vulnerabilidade

**Severidade**: [Crítica | Alta | Média | Baixa]
**Categoria OWASP API Top 10 2023**: [API1..API10]
**Área Afetada**: [Autorização | Autenticação | Negócio | Configuração | Consumo de API]

#### 📄 Descrição
Explique a falha, o endpoint afetado, o impacto e por que o controle esperado falhou.

#### 👣 Prova de Conceito (PoC)
1. Requisição enviada.
2. Evidência de bypass ou acesso indevido.
3. Resposta do servidor ou captura que comprove o problema.

#### 🛠️ Remediação Recomendada
Descreva a correção segura, validando controles de backend, schema, logs, limites e autorização por contexto.
```

---

## 🔗 Integração com Outras Skills

- [pentester-owasp-wstg](../pentester-owasp-wstg/SKILL.md): complementa a análise de API com técnicas mais amplas de web testing.
- [framework-rest-api](../../../framework/framework-rest-api/SKILL.md), [framework-grpc](../../../framework/framework-grpc/SKILL.md) e [framework-soap](../../../framework/framework-soap/SKILL.md): fornecem as especificações de protocolo e contratos de API para auditoria estrita de endpoints REST, gRPC e SOAP.
- [appsec-owasp-asvs](../appsec-owasp-asvs/SKILL.md): fornece o padrão de controles seguros para remediação.
- [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md): ajuda a priorizar riscos e fluxos sensíveis.
- [secops-incident-responder](../../ops-architecture/secops-incident-responder/SKILL.md): usa os achados para reforçar logs, alertas e playbooks.