Ordner öffnen
Wählen Sie Ihr Projektverzeichnis aus.
Workflows
API-Sicherheitstest mit Orso Connect
03
Prüfen Sie Ihre Staging-API
Öffnen Sie Ihren Projektordner in Orso Connect und bitten Sie den Agenten, den Login-Flow zu überprüfen, z. B. ob MFA erforderlich ist, und senden Sie GET-Anfragen an Ihren Staging-Server. Sie prüfen die Ergebnisse im Chat-Fenster, wo der Agent möglicherweise erklärt, warum MFA für APIs in bestimmten Kontexten nicht erforderlich ist.
Konfiguration lesen
Der Agent liest die Einstellungsdatei.
Anfrage senden
Der Agent sendet eine Testanfrage.
Ergebnis prüfen
Überprüfen Sie die Statuscode-Ausgabe.
Beispiel-Testplan
Lesen Sie die Plan-Datei und führen Sie die Prüfungen nacheinander mit einem Testbefehl aus, fragen Sie vor Änderungen.
- read_file
api-test-plan.txt18 Zeilen - grep
check 11 Treffer - Shell
run testexit 0 - edit_file
report.mdgespeichert
wartet auf Ihre Bestätigung, bevor der nächste Schritt ausgeführt wirdAblehnenAkzeptieren
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Diese Plain-Text-Datei definiert die spezifischen Prüfungen für die Staging-Umgebung. Sie listet die erwarteten Ergebnisse für jede Anfrage auf, um das API-Verhalten zu verifizieren.
JWT-Tests und Umfangsprüfung
Tokens überprüfen
Der Agent verwendet read_file, um die Issuer- und Audience-Claims in der Konfiguration zu bestätigen, und eine Testanfrage mit einem abgelaufenen Token auf Staging sollte 403 zurückgeben. Dies ist ein JWT-Test. Sie prüfen die detaillierten Ausgaben sorgfältig im Ask first-Modus, bevor Sie Änderungen akzeptieren. Behandeln Sie IDOR in APIs, indem Sie prüfen, ob Benutzer A nicht die Datensätze von Benutzer B lesen kann. Der Agent zeichnet die Testergebnisse für Ihren API-Sicherheitstestbericht auf. Keine Telemetriedaten verlassen Ihren PC während des Prozesses und Geheimnisse werden maskiert. Updates sind über die Schaltfläche Update verfügbar, wenn neue Versionen bereitstehen. Feedback wird über die In-App-Schaltfläche gesendet, um Ihre Erfahrung zu teilen.
Umfang prüfen
Der Agent verwendet grep, um Routendefinitionen aufzulisten, damit Sie diese mit Ihrem genehmigten Umfang vergleichen und die Struktur klar und vollständig überprüfen. Ask first-Modus pausiert. Er sendet Anfragen an den Staging-Server, um die Antworten zu verifizieren. Sie prüfen die vom Server zurückgegebenen Statuscodes sorgfältig. Öffentliche API-Endpunkte, die personenbezogene Daten exponieren, müssen jetzt sorgfältig überprüft werden. Das Lesen von Rate-Limit-Einstellungen ist eine Frage, um die Logik zu bestätigen. Sie prüfen die Fehlermeldungen auf eventuelle Datenlecks. Dies ist Teil des API-Sicherheitstests für Sicherheitstests.
