Giriş

Modern web ve mobil uygulama ekosistemlerinin bel kemiğini oluşturan REST (Representational State Transfer) mimarisi, HTTP protokolü üzerinden veri alışverişini standartlaştırarak sistemler arası entegrasyonu kolaylaştırır. Ancak bu esneklik, beraberinde ciddi güvenlik risklerini de getirir. Geleneksel web uygulamalarından farklı olarak REST API’lar, uygulamanın iş mantığını ve veri tabanı yapısını doğrudan dış dünyaya açan “uç noktalara” (endpoints) sahiptir.

REST API Sızma Testi (Pentest), bu uç noktaların yetkilendirme hataları, veri sızıntıları ve enjeksiyon zafiyetleri açısından sistematik olarak denetlenmesi sürecidir. Bir API testi, sadece arayüzü değil, sunucunun arkasındaki işleyişi (backend) hedef alır. Bu makalede, OWASP API Security Top 10 projesini temel alarak, bir REST API’nın keşif aşamasından istismar aşamasına kadar nasıl test edileceğini teknik detaylarıyla ele alacağız.

Konun Temel Açıklaması

REST API sızma testi, HTTP metodlarının (GET, POST, PUT, DELETE, PATCH) ve dönen JSON/XML yanıtlarının manipüle edilmesine dayanır. Web uygulamalarındaki görsel öğelerin aksine, API testlerinde odak noktası “istek ve yanıt” (request/response) döngüsüdür. Test süreci; API dokümantasyonunun analizi, uç noktaların haritalandırılması, kimlik doğrulama mekanizmalarının zorlanması ve veri bütünlüğünün kontrol edilmesini kapsar.

Teknik Detaylar ve Uygulama Aşamaları

Profesyonel bir REST API pentest operasyonu, metodolojik olarak şu beş ana aşamada gerçekleştirilir:

1. Keşif ve Dokümantasyon Analizi (Enumeration)

API testi, hedefin ne olduğunu anlamakla başlar.

• Swagger/OpenAPI: Eğer varsa, swagger.json veya /v1/api-docs gibi dosyalar incelenerek tüm uç noktalar, parametreler ve beklenen veri tipleri belirlenir.

• Fuzzing ve Keşif: Dokümantasyon yoksa, ffuf veya Gobuster gibi araçlarla yaygın API yolları (örn: /api/v1/users, /admin/config) taranarak gizli kalmış (shadow) API’lar aranır.

2. Kimlik Doğrulama ve Yetkilendirme Testleri

API güvenliğinin en sık kırıldığı noktadır.

• BOLA (Broken Object Level Authorization): Saldırgan, /api/users/100 isteğindeki ID değerini 101 yaparak başka bir kullanıcının verisine erişip erişemediğini test eder. Bu, API dünyasındaki en kritik açıdır.

• JWT Analizi: Token içeriği Base64’ten çözülerek incelenir. “None” algoritması saldırısı, zayıf imza kontrolü veya süresi dolmayan token’lar araştırılır.

• BOPLA (Broken Object Property Level Authorization): Kullanıcı, profilini güncellerken gönderdiği JSON’a "role": "admin" ekleyerek yetki yükseltmeye (Mass Assignment) çalışır.