如何对 API 进行逆向工程：优势和工具

互操作性是逆向工程 API 的主要原因之一。

以下是关于逆向工程 API 的关键要点：

• 逆向工程 API 具有诸多优势，例如了解未记录的 API、与遗留系统集成、快速原型设计、增强第三方集成以及学习行业最佳实践。
  • 还有一些缺点需要考虑，包括法律和道德考虑、缺乏官方文件和支持、脆弱的集成、对底层业务逻辑的理解有限、安全性和可靠性风险以及维护和更新挑战。Mitmproxy、Fiddler、Burp 和 Postman 等 Web 代理工具通常用于逆向工程 API，允许开发人员捕获和分析 HTTP 流量。使用 Mitmproxy 和 Postman 等工具对 API 进行逆向工程的步骤包括安装工具、设置代理配置、捕获和检查网络请求以及复制 API 调用以进行进一步分析。
  • 仔细权衡逆向工程 API 的优缺点并根据项目的具体目标和要求选择合适的工具和技术非常重要。

为什么要对 API 进行逆向工程？

互操作性是逆向工程 API 的主要原因之一。与几十年前软件可以独立存在不同，如今程序运行在复杂的操作系统上，并涉及与不同人创建的多个库进行通信。互操作性的逆向工程 API 涉及API 集成和学习程序交换和使用信息的新方法。逆向工程还有助于揭露安全故障和低效的隐私实践。例如，根据卫生和公众服务部的数据，医疗保健行业在 2021 年见证了创纪录的数据泄露数量。逆向工程可以通过跟踪源代码来识别重大安全漏洞来解决此问题，从而确保系统的安全。

逆向工程 API 的优势

对于希望了解和利用现有 API 的开发人员和组织来说，逆向工程 API 具有多种优势。以下是一些主要优势：

• 了解未记录的 API：逆向工程可让开发人员深入了解缺乏适当文档的 API。通过分析网络流量、数据负载和响应，开发人员可以破译 API 的行为、端点和数据结构，从而使他们能够更有效地与 API 交互。
  • 与旧系统集成：许多组织依赖缺乏现代 API 功能的旧系统。逆向工程 API 通过揭示底层通信协议和数据格式，使这些系统能够与较新的应用程序集成。这允许新旧系统之间实现无缝的数据交换和互操作性。快速原型设计和开发：逆向工程 API 可以显著加快开发过程。通过检查现有 API 的功能和数据流，开发人员可以更快地创建原型和概念验证，从而节省从头开始设计 API 的时间和精力。增强第三方集成：逆向工程使开发人员能够了解第三方 API 的工作原理，从而促进与外部服务的更顺畅集成。通过对合作伙伴系统或服务提供商的 API 进行逆向工程，组织可以确保兼容性并优化数据交换流程，从而实现更高效、更强大的集成。学习行业最佳实践：对成熟的 API 进行逆向工程，可让开发人员研究行业最佳实践，并将其应用于自己的 API 设计和开发。通过研究成功的 API 的结构、安全性和维护方式，组织可以将成熟的技术和标准融入自己的 API 实现中。
  • 故障排除和调试：逆向工程 API 可以成为故障排除和调试的有力工具。通过分析 API 的行为、数据负载和错误响应，开发人员可以识别问题，例如不正确的数据格式、身份验证问题或性能瓶颈。这种洞察力有助于解决问题并提高 API 集成的整体可靠性。

逆向工程 API 的缺点

虽然逆向工程 API 可能是一种有价值的做法，但重要的是要考虑所涉及的潜在缺点和挑战。以下是需要牢记的一些主要缺点：

• 法律和道德方面的考量：逆向工程可能会引发法律和道德问题，尤其是当 API 受知识产权保护或流程违反服务条款协议时。在进行逆向工程活动之前，务必审查并了解法律含义，以避免任何潜在的法律问题。
• 缺乏官方文档和支持：当 API 缺乏适当的文档或API 提供商的支持有限时，逆向工程通常是必要的。这会使准确理解 API 的行为变得更加困难，并可能导致不完整或不准确的发现。
• 脆弱且不稳定的集成：由于缺乏官方支持和文档，逆向工程 API 可能会导致脆弱的集成。API 提供商可以随时更新或更改 API，而无需事先通知，从而导致兼容性问题并破坏逆向工程集成。组织需要为潜在的中断做好准备，并投资于逆向工程集成的持续维护和监控。
• 对底层业务逻辑的理解有限：逆向工程 API 侧重于理解 API 的技术方面，但可能无法全面理解某些设计选择背后的底层业务逻辑或意图。如果没有完整的背景信息，仅基于逆向工程信息做出明智的决策或优化集成可能会很困难。
• 安全性和可靠性风险：如果不小心操作，逆向工程 API 可能会带来安全风险。它可能涉及泄露敏感数据，并可能绕过 API 提供商实施的安全机制。此外，依赖逆向工程 API 可能会使集成更容易出现错误和稳定性问题，因为底层实现细节可能尚未完全了解或理解。
• 维护和更新挑战：逆向工程集成需要持续维护和监控，以确保 API 不断发展过程中的兼容性和功能性。如果没有官方文档和支持，组织可能难以跟上 API 更新，从而随着时间的推移引入潜在的兼容性问题或功能缺陷。

用于逆向工程 API 的 Web 代理工具

开发人员使用工具来实现代理，以对私有或公共 API 进行逆向工程。Web 代理服务器是一种备用服务器，可以捕获网站的真实服务器和 Web 浏览器之间的 HTTP 请求。您可以使用任何透明的 HTTP/S 代理来实现此目的。

• Mitmproxy：MITM 是“中间人”的缩写，它是一个具有 HTTP/1、HTTP/2 和 WebSockets 控制台界面的开源代理。 
  • Fiddler：Fiddler 是一个针对 Windows、Linux 和 macOS 具有增强 UI 的调试代理工具。
  • Burp：Burp 是一个 Web 代理服务器，可拦截浏览器和目标应用程序之间的流量。如果您使用任何典型客户端为该端点生成流量，它可以测试任何 REST API 端点。
  • Postman：这是一个用于创建和使用 API 的 API 平台。您可以使用 Postman 配置自定义代理设置，以便它可以通过代理服务器转发您的 HTTP/S 请求。

使用 MITM 代理对 API 进行逆向工程的步骤

步骤 1：从mitmproxy.org安装可执行文件以启动服务器。

步骤2：打开8080端口或者禁用防火墙。

步骤 3：转到手机的 Wi-Fi 设置并导航到代理服务器以输入 PC 的 IP 地址。

步骤 4：在 Android 手机上访问 http://mitm.it/ 并安装所需的证书。对于 iOS，您需要访问 iPhone 的设置并确认安装最近下载的证书。

第五步：在你的Chrome浏览器上访问一个网站，你将能够查看mitmproxy上的流量。

第 6 步：探索任何私有 API，并熟悉 API 的端点及其 JSON 有效负载格式。

步骤 7：复制 API 调用以查看不同的选项。

在 mitmproxy 中重放请求时，您应该识别必需的标头。要测试 API，您还可以使用浏览器扩展程序（例如 Postman）。但是，这样做无法避免创建不必要的标头。

使用 Postman 对 API 进行逆向工程的步骤

Postman 通过使客户端请求更加清晰可见，使复制请求变得更加容易。您还可以使用 Postman 检查单个请求或请求流。以下是导入单个请求的步骤。

步骤1：进入ChromeDevTools，右键选择Inspect打开面板。

第 2 步：导航到“网络”选项卡以查看网络请求。

步骤3：选择要导入到Postman的请求。

步骤4：右键单击请求并选择复制为cURL。

步骤5：现在，转到 Postman 应用程序并单击导入按钮。

步骤 6：导航到粘贴原始文本并粘贴您的 cURL 并授权导入。您的请求现已成功导入 Postman 以供进一步检查。

这些步骤只是帮助您开始检查网站上的 HTTP 流量并了解正在发生的事情。有时网站可能会使用 SSL 证书锁定来限制对特定网站有效的证书。需要注意的是，如果网站使用证书锁定，这些步骤可能不起作用。此外，您可能会遇到需要进行身份验证的复杂请求。

逆向工程加密 API

在对 API 进行逆向工程时，您经常会遇到加密或混淆的数据。这可能包括发送和接收的数据，以及所涉及的身份验证机制。理解和解密这些数据对于全面分析 API 的功能至关重要。

加密算法

加密算法旨在保护数据，这使得逆向工程更具挑战性。API 中使用的常见算法包括AES（高级加密标准）、RSA 等，但也可能遇到自定义或专有加密方法。以下是您可以如何对加密 API 进行逆向工程：

1.识别加密算法：

• 静态分析：分析客户端应用程序代码（例如移动应用程序或 Web 应用程序中的 JavaScript）以识别加密库和方法。IDA Pro、Ghidra 或 ApkTool 等工具可以帮助反编译和检查代码。
• 动态分析：监控 API 流量，在加密负载中寻找可能暗示所用算法的模式。库可能会留下可识别的模式或指示加密方法的元数据。

2.了解加密工作流程：

• 跟踪代码：跟踪加密和解密数据所涉及的代码路径。关注密钥管理和加密初始化过程。
• 观察API 调用：使用 Mitmproxy 或 Fiddler 等工具捕获加密流量。分析请求标头和参数可以深入了解加密过程。

3.绕过或模拟加密：

• 模拟加密函数：一旦您了解了加密逻辑，您就可以创建模拟函数来模拟加密/解密以进行测试。
• 修改流量：拦截 API 请求和响应以测试不同的有效负载，确认有关加密过程的假设。

密钥提取

提取加密通信中使用的密钥或令牌通常是解密数据和了解 API 行为所必需的。以下是提取这些关键元素的技术：

1.静态密钥提取：

• 源代码分析：在某些情况下，加密密钥可能硬编码在应用程序中。在反编译的代码中搜索类似密钥的字符串或标识符。
• 配置文件：检查应用程序使用的配置文件或环境变量中存储的密钥。

2.动态密钥提取：

• 调试和检测：使用调试器在运行时检查内存，确定密钥的加载或生成位置。Frida 或 Xposed 等工具可以帮助检测应用程序以记录敏感数据。
• 函数挂钩：挂钩负责加密和密钥管理的函数，以在使用密钥时捕获它们。

3.内存转储分析：propfrovid

• 转储进程内存：创建正在运行的应用程序的内存转储，以搜索内存中的键。Volatility 等工具可以帮助分析内存转储。
• 堆和堆栈检查：检查堆和堆栈中的密钥材料，尤其是在加密操作期间。

4.网络流量检查：

• MitM 攻击：对 API 流量执行中间人攻击，以捕获通过网络传输的密钥。使用此类技术时，请确保遵守法律。
• TLS 拦截：使用具有 TLS 拦截功能的代理来解密流量并分析加密数据交换。

5.逆向工程密钥导出：

• 算法分析：如果密钥是派生的而不是静态的，则对密钥派生函数进行逆向工程以了解密钥是如何生成的。
• 暴力破解和密码分析：在极少数情况下，密码分析技术或暴力攻击可用于对抗弱加密实现，但这些对于强加密通常不切实际。

最后的想法

逆向工程是一种强大的工具，可帮助软件开发人员改进其代码以及不同程序之间的互操作性。有时，API 编写不正确，因此第三方开发人员别无选择，只能对他们想要使用的程序进行逆向工程。

本文翻译源自：https://blog.dreamfactory.com/reverse-engineering-apis-the-benefits-and-tools