【Udemy中英字幕】Ethical Hacking of RESTful and GraphQL APIs Training Course

RESTful 和 GraphQL API 道德黑客培训课程

成为一名成功的 REST API 和 GraphQL API 渗透测试员和 Bug Bounty Hunter！

讲师：Martin Voelk

双语IT资源独家Udemy付费课程，独家中英文字幕，配套资料齐全！

用不到1/10的价格，即可享受同样的高品质课程，且可以完全拥有，随时随地都可以任意观看和分享。

您将学到什么

RESTful API 漏洞
GraphQL API 漏洞
基本 Web 应用程序漏洞
基本移动应用程序漏洞
开始参与 Web 应用程序漏洞赏金计划
开始参与移动应用程序漏洞赏金计划
REST API 介绍
REST API 发现和侦察
REST API 枚举
REST API 损坏对象级别授权 (BOLA)
REST API 身份验证失败
REST API 损坏对象属性级别授权
REST API 过度数据暴露
REST API 批量分配
REST API 不受限制的资源消耗
REST API 损坏功能级别授权 (BLFA)
REST API 不受限制地访问敏感业务流程
REST API 服务器端请求伪造 (SSRF)
REST API 安全配置错误
REST API 不当的库存管理
REST API 不安全的 API 使用
REST API 服务器端参数污染
GraphQL 简介
什么是 GraphQL
GraphQL 关键术语
GraphQL Burp 扩展
GraphQL 单词列表
GraphQL 负载
GraphQL 工具
GraphQL API 攻击面、侦察、枚举
GraphQL 攻击面分析
GraphQL GET 请求及其问题
GraphQL POST 请求
GraphQL 信息泄露
GraphQL 自省
GraphQL GET 与 POST 自省
GraphQL Introspection 过滤器绕过示例
GraphQL 非生产 GraphQL 端点
GraphQL 字段建议
GraphQL 自动化字段建议
GraphQL 字段填充
GraphQL 滥用错误消息
GraphQL IDE
GraphQL DoS
GraphQL 深度递归查询攻击
GraphQL 循环片段漏洞
GraphQL 批量查询攻击 / 资源密集型查询攻击
GraphQL 字段重复攻击
基于 GraphQL Alias 的攻击（DoS 场景）
GraphQL 指令重载
GraphQL 对象限制覆盖
基于 GraphQL 数组的查询批处理
GraphQL 身份验证和授权攻击
GraphQL 登录函数
GraphQL 绕过保护
基于 GraphQL 别名的攻击/查询批处理
GraphQL JWT 令牌伪造
GraphQL Cookie 伪造
GraphQL 访问控制问题和 IDOR
GraphQL 注入攻击
GraphQL OS 命令注入
GraphQL SQL 注入
GraphQL HTML 注入
GraphQL XSS（跨站点脚本）
GraphQL 请求伪造和劫持
GraphQL 服务端请求伪造（SSRF）
GraphQL 跨站请求伪造（CSRF）
基于 GraphQL GET 的 CSRF
基于 GraphQL POST 的 CSRF
GraphQL 跨站点 WebSocket 劫持（CSWH）

显示更多显示较少

探索相关主题

渗透测试
网络与安全
信息技术与软件

要求

基本 IT 技能
对网络或移动应用技术有基本的了解
无需 Linux、编程或黑客知识
至少具有 4GB RAM/内存的计算机
操作系统：Windows / Apple Mac OS / Linux
可靠的互联网连接
Burp Suite 社区（专业版可选）
Firefox 网络浏览器
使用 VMware、Virtual Box、Raspberry PI 或类似软件来运行虚拟服务器

描述

欢迎参加 RESTful 和 GraphQL API 道德黑客培训课程

重要提示：本课程不教授 Burp Suite 及其功能的实际用法。本课程是对 RESTful 和 GraphQL API 漏洞的大量实践介绍。这些 API 在现代 Web 和移动应用程序中非常常见。

您的导师是 Martin Voelk。他是一位拥有 25 年经验的网络安全老手。Martin 拥有一些最高级别的认证，包括 CISSP、OSCP、OSWP、Portswigger BSCP、CCIE、PCI ISA 和 PCIP。他是一家大型科技公司的顾问，并参与了 Bug Bounty 计划，在那里他发现了数千个关键和高危漏洞。

本课程以理论形式介绍 API 漏洞，然后介绍常见 RESTful API 和 GraphQL API 漏洞的实际利用。一些实验利用 Portswigger Web Academy Labs 进行。其他实验在独立 VM 上进行，例如 crAPI 和 DVGA。由于人们使用不同的平台，培训不会展示 crAPI 或 DVGA 的设置。但您可以在 Windows 或 MacOSX 上的免费虚拟化软件（如虚拟盒）上轻松安装它们。Martin将解决许多实验，并解释查找漏洞的每个步骤以及为什么可以以某种方式利用它。这些视频易于理解和复制。对于任何想要开始 API 渗透测试或 API Bug Bounty Hunting 的人，我们强烈推荐此培训。

本课程包含以下主题。

REST API 介绍

REST API 发现和侦察

REST API 枚举

REST API 损坏对象级别授权 (BOLA)

REST API 身份验证失败

REST API 损坏对象属性级别授权

REST API 过度数据暴露

REST API 批量分配

REST API 不受限制的资源消耗

REST API 损坏功能级别授权 (BLFA)

REST API 不受限制地访问敏感业务流程

REST API 服务器端请求伪造 (SSRF)

REST API 安全配置错误

REST API 不当的库存管理

REST API 不安全的 API 使用

REST API 服务器端参数污染

GraphQL 简介

GraphQL 它是什么？

GraphQL 关键术语

GraphQL Burp 扩展

GraphQL 单词列表

GraphQL 负载

GraphQL 工具

GraphQL API 攻击面、侦察、枚举

GraphQL 攻击面分析

GraphQL GET 请求及其问题

GraphQL POST 请求

GraphQL 信息泄露

GraphQL 自省

GraphQL GET 与 POST 自省

GraphQL Introspection 过滤器绕过示例

GraphQL 非生产 GraphQL 端点

GraphQL 字段建议

GraphQL 自动化字段建议

GraphQL 字段填充

GraphQL 滥用错误消息

GraphQL IDE

GraphQL DoS

GraphQL 深度递归查询攻击

GraphQL 循环片段漏洞

GraphQL 批量查询攻击 / 资源密集型查询攻击

GraphQL 字段重复攻击

基于 GraphQL Alias 的攻击（DoS 场景）

GraphQL 指令重载

GraphQL 对象限制覆盖

基于 GraphQL 数组的查询批处理

GraphQL 身份验证和授权攻击

GraphQL 登录函数

GraphQL 绕过保护

基于 GraphQL 别名的攻击/查询批处理

GraphQL JWT 令牌伪造

GraphQL Cookie 伪造

GraphQL 访问控制问题和 IDOR

GraphQL 注入攻击

GraphQL OS 命令注入

GraphQL SQL 注入

GraphQL HTML 注入

GraphQL XSS（跨站点脚本）

GraphQL 请求伪造和劫持

GraphQL 服务端请求伪造（SSRF）

GraphQL 跨站请求伪造（CSRF）

基于 GraphQL GET 的 CSRF

基于 GraphQL POST 的 CSRF

GraphQL 跨站点 WebSocket 劫持（CSWH）

注释和免责声明
Portswigger 实验室是 Portswigger 提供的一项公共免费服务，任何人都可以使用它来提高自己的技能。您只需注册一个免费帐户即可。crAPI 和 DVGA 也是免费的，可以从 GitHub 克隆。我会在合理的时间内回答问题。学习 Web/移动应用程序渗透测试/漏洞赏金狩猎是一个漫长的过程，因此如果您没有立即发现漏洞，请不要感到沮丧。尝试使用 Google，阅读 Hacker One 报告并深入研究每个功能。本课程仅用于教育目的。此信息不得用于恶意利用，并且只能用于您有权攻击的目标。