API 보안 테스팅 취약점 검사
Tier: Ultimate
Offering: GitLab.com, GitLab Self-Managed, GitLab Dedicated
Offering: GitLab.com, GitLab Self-Managed, GitLab Dedicated
요약
API 보안 테스팅은 테스트 대상 API의 취약점을 스캔하는 데 사용되는 취약점 검사를 제공합니다.
히스토리
- GitLab 17.0에서 DAST API 취약점 검사에서 API 보안 테스팅 취약점 검사로 이름이 변경되었습니다.
API 보안 테스팅은 테스트 대상 API의 취약점을 스캔하는 데 사용되는 취약점 검사를 제공합니다.
수동 검사#
| 검사 | 심각도 | 유형 | 프로파일 |
|---|---|---|---|
| 애플리케이션 정보 검사 | Medium | Passive | Passive, Passive-Quick, Active-Quick, Active-Full, Quick, Full |
| 평문 인증 검사 | High | Passive | Passive, Passive-Quick, Active-Quick, Active-Full, Quick, Full |
| JSON 하이재킹 | Medium | Passive | Passive, Passive-Quick, Active-Quick, Active-Full, Quick, Full |
| 민감 정보 | High | Passive | Passive, Passive-Quick, Active-Quick, Active-Full, Quick, Full |
| 세션 쿠키 | Medium | Passive | Passive, Passive-Quick, Active-Quick, Active-Full, Quick, Full |
능동 검사#
| 검사 | 심각도 | 유형 | 프로파일 |
|---|---|---|---|
| CORS | Medium | Active | Active-Full, Full |
| DNS 리바인딩 | Medium | Active | Active-Full, Full |
| 프레임워크 디버그 모드 | High | Active | Active-Quick, Active-Full, Quick, Full |
| Heartbleed OpenSSL 취약점 | High | Active | Active-Full, Full |
| HTML 인젝션 검사 | Medium | Active | Active-Quick, Active-Full, Quick, Full |
| 안전하지 않은 HTTP 메서드 | Medium | Active | Active-Quick, Active-Full, Quick, Full |
| JSON 인젝션 | Medium | Active | Active-Quick, Active-Full, Quick, Full |
| 오픈 리다이렉트 | Medium | Active | Active-Full, Full |
| OS 커맨드 인젝션 | High | Active | Active-Quick, Active-Full, Quick, Full |
| 경로 순회 | High | Active | Active-Full, Full |
| 민감 파일 | Medium | Active | Active-Full, Full |
| Shellshock | High | Active | Active-Full, Full |
| SQL 인젝션 | High | Active | Active-Quick, Active-Full, Quick, Full |
| TLS 구성 | High | Active | Active-Full, Full |
| 인증 토큰 | High | Active | Active-Quick, Active-Full, Quick, Full |
| XML 외부 엔티티 | High | Active | Active-Full, Full |
| XML 인젝션 | Medium | Active | Active-Quick, Active-Full, Quick, Full |
프로파일별 API 보안 테스팅 검사#
Passive-Quick#
Active-Quick#
- 애플리케이션 정보 검사
- 평문 인증 검사
- 프레임워크 디버그 모드
- HTML 인젝션 검사
- 안전하지 않은 HTTP 메서드
- JSON 하이재킹
- JSON 인젝션
- OS 커맨드 인젝션
- 민감 정보
- 세션 쿠키
- SQL 인젝션
- 인증 토큰
- XML 인젝션
Active-Full#
- 애플리케이션 정보 검사
- 평문 인증 검사
- CORS
- DNS 리바인딩
- 프레임워크 디버그 모드
- Heartbleed OpenSSL 취약점
- HTML 인젝션 검사
- 안전하지 않은 HTTP 메서드
- JSON 하이재킹
- JSON 인젝션
- 오픈 리다이렉트
- OS 커맨드 인젝션
- 경로 순회
- 민감 파일
- 민감 정보
- 세션 쿠키
- Shellshock
- SQL 인젝션
- TLS 구성
- 인증 토큰
- XML 인젝션
- XML 외부 엔티티
Quick#
- 애플리케이션 정보 검사
- 평문 인증 검사
- 프레임워크 디버그 모드
- HTML 인젝션 검사
- 안전하지 않은 HTTP 메서드
- JSON 하이재킹
- JSON 인젝션
- OS 커맨드 인젝션
- 민감 정보
- 세션 쿠키
- SQL 인젝션
- 인증 토큰
- XML 인젝션