swagger介绍

Swagger 是一个用于生成、描述和调用 RESTful 接口的 Web 服务。通俗的来讲，Swagger 就是将项目中所有（想要暴露的）接口展现在页面上，并且可以进行接口调用和测试的服务。

在平时渗透测试的的时候，经常会发现Swagger ui（swagger-ui是将api接口进行可视化展示的工具）接口泄露，如下，在这个页面中暴露了目标站点中所有的接口信息，所以可以对这个接口进行漏洞测试，看是否存在未授权访问、sql注入、文件上传等漏洞。由于接口太多，一个个接口测试的话太费时间，所以出了这篇自动化接口漏洞测试文章

利用思路：

将Swagger ui中所有的接口导入到postman
postman设置代理，将流量转发给burpsuite，方便观察发包情况
对导入的所有api自动运行测试，让postman自动对每个api进行请求
burpsuite挂上xray，进行漏洞检测

postman

postman是一个api接口自动化测试工具，下载：Download Postman | Get Started for Free

导入Swagger Api

1、访问Swagger ui，箭头中的就是api接口地址，将其复制

与域名拼接后访问一下，将整个地址复制“https://xx.com/cdy-api-mng/v2/api-docs”

1、打开postman
点击“import”，在Link下填上刚才复制的api地址，点击继续

然后点击import，进行导入

导入成功后，可在apis中查看刚才导入的整个Swagger api接口

设置Environment

Environment即环境变量，随便点击一个地址过去看一下，这里的baseurl是一个变量，postman对所有api的请求的格式都是“http://ip/详细地址”，http://ip为变量，需要设置值。把鼠标放在baseUrl处，会显示其值，将其地址记住

点击如下Add，添加“active Environment”

填写如下，设置变量名为test。其值设置为“https://xx.xx.com/cdy-api-mng/”

然后选择刚刚设置的环境"test"

此时再点击就能看到我们设置的环境

最后可以尝试进行发包测试了