Chaves API
Aplicações que utilizam-se de API para otimizar seu funcionamento, precisam de fornecer essas chaves geradas para que a API funcione corretamente.
Porém muitas vezes essas chaves API (que são um componente que deve ser privado apenas para a aplicação), estão expostas dentro do código fonte e sem nenhum meio de se proteger contra terceiros, o que faz que agentes maliciosos possam se aproveitar delas e utilizá-las.
Para validar uma chave API encontrada há diversos meios variando para qual tipo de API ela funciona, por exemplo:
Google Maps:
Podemos validar essa chave através do link:
Trocando o campo "TOKEN" pela chave encontrada.
Através da ferramenta Google Maps API Scanner:
Executando ela, automaticamente ela testa os parâmetros do Google Maps e retorna uma POC validando o que foi encontrado.
Slack:
Podemos validar essa chave através do link:
https://slack.com/api/auth.test?token=xoxp-TOKEN_HERE&pretty=1
Trocando o campo "TOKEN" pela chave encontrada.
Github
Podemos validar essa chave através do link:
https://api.github.com/users/whatever?client_id=xxxx&client_secret=yyyy
Podemos validar trocando o parâmetro "client_id" e "client_secret"
Gitlab
Podemos validar essa chave através do link:
https://gitlab.example.com/api/v4/projects?private_token=<your_access_token>
Podemos validar trocando o parâmetro "your_acess_token"
Para mais informações consulte:
Last updated
