API 漏洞频发，企业声誉恐将付诸东流

在生活中，沟通通常是一件好事。没有什么比沟通更能快速达成共识、学习新知或建立关系了。在软件领域，API 承担着沟通的职能，让应用程序能够相互对话，从而增强功能并提升易用性。这种连接性往往能带来终端用户所喜爱的丰富体验，而如今，用户也日益期望日常使用的软件具备这种能力。

然而，就像现实生活一样，如果沟通“过度”，就会引发大问题。Experian 最近就深刻体会到了这一点：他们的一款 API 被第三方合作伙伴使用，导致几乎所有美国公民的信用评分面临泄露风险。

虽然该问题很快得到了修复，但人们仍质疑这一漏洞是否真的被彻底根除。如果一家供应商受到影响，那么其他供应商很可能也未能幸免。这极有可能是一个系统性漏洞，影响所有使用该不安全 API 的用户。

API 安全是大多数安全专家时刻关注的问题，我们必须掌握相关知识，以应对这一挑战。

任何投机取巧的黑客都能绕过薄弱的 API 身份验证

许多数据泄露、入侵和安全事件的一个共同点是，它们往往不需要高超的手段就能实现。像 SolarWinds 事件那样复杂、隐蔽且破坏力巨大的攻击，确实需要网络犯罪天才团队才能完成，但这只是极少数情况，而非普遍现象。

当 API 的身份验证机制薄弱时，极易遭到利用。发现 Experian API 漏洞的安全研究员 Bill Demirkapi 指出，该 API 在没有任何身份验证的情况下即可访问。只需在出生日期字段输入 00/00/0000，并结合姓名和关联邮寄地址等公开信息，即可获取他人的信用评分。虽然目前尚未有相关报道，但这些记录被抓取并整合为具有商业价值的信用数据转储的风险确实存在。

无论应用场景规模大小，都应部署清晰且功能完善的身份验证流程；一个缺乏妥善保护且可能开放多个系统访问权限的“话痨”API，是一个巨大的安全隐患。

失效的身份验证在 OWASP API 安全十大风险列表中排名第二。点击此处了解如何规避此类漏洞，并在掌握知识后前往我们的平台测试您的技能。

API 安全管控不力是一个普遍问题，需要从文化层面进行变革

将责任完全归咎于 Experian 等机构并不公平，但此次 API 暴露事件所反映出的安全管控意识淡薄和细节缺失，对于许多正在将 API 作为 IT 系统和端点一部分的企业来说，绝非好兆头。

总的来说，我们还有很多工作要做，不仅要发现并修复 API 漏洞，还要将其视为我们需要保护的攻击面的一部分。对 API 及其构建方式的可见性是一个重大关切，应将其作为安全最佳实践的要求。即使是拥有最严格安全措施的组织，也可能因为一个在公司安全管控之外发布并运行的 API 而前功尽弃。现在比以往任何时候都更需要审视 API 的来源、最终维护者（是第三方供应商吗？他们的安全标准如何？），以及它正在访问哪些信息。

注入漏洞依然是每位 CISO 的心头大患。

API 安全看起来像是安全计划中一个较新的模块，但它仍可能被我们熟悉的陈旧网络软件攻击手段所利用。

近期披露的针对 Accellion 的攻击显示，攻击者通过链式 SQL 注入和操作系统命令执行攻击操纵 API，窃取了包括社会安全号码在内的大量敏感数据。他们认定，攻击者必须对 Accellion 的 FTA 软件有深入了解才能实施此次窃取，而这很可能是通过大量的逆向工程实现的。

此次入侵发生在 2020 年 12 月至 2021 年 1 月期间，窃贼有充足的时间造成破坏。2021 年 2 月的进一步发现揭示了一个存储型 XSS 漏洞，取证分析显示，仅因一个 API 端点未对用户输入进行适当过滤，就使得在调用 admin.pl 脚本时能够注入参数。

此次泄露影响了包括许多知名教育机构在内的 3000 多家客户，后果可能极其深远。令人遗憾的是，这些漏洞利用手段都是基于常见弱点，而其中许多本可以在生产前由具备安全意识的开发人员在代码层面解决。正如我们反复看到的那样，一个小小的疏忽就足以酿成大祸。以人为本的网络防御文化必须成为解决这一人为问题的战略组成部分。

想立即测试您的 API 安全技能吗？涵盖 Java Spring API、 Kotlin Spring API、 C# (.NET) Web API 等。请在我们的学习平台上尝试 API 挑战（通过下拉菜单查看所有语言和框架）：
‍

‍