Para empezarLa mayoría de los pentesters novatos intentan atacar una API sin entender si viaja sobre REST o SOAP, y ahí es exactamente donde pierden el 80% de las vulnerabilidades.
Arquitectura REST
REST o Representational State Transfer es un estilo arquitectónico ligero que utiliza los métodos estándar de HTTP (GET, POST, PUT, DELETE). Está diseñado para ser rápido, escalable y sin estado, convirtiéndose en el estándar absoluto para aplicaciones web y móviles modernas.
Arquitectura SOAP
SOAP o Simple Object Access Protocol es un protocolo estricto basado en XML. A diferencia de REST, es altamente formal, requiere contratos WSDL rígidos y se utiliza habitualmente en entornos empresariales, bancarios y gubernamentales por su seguridad integrada.
Diferencias Clave
Para auditar una API con éxito, debes reconocer inmediatamente contra qué arquitectura estás operando analizando sus características estructurales básicas.
Marca cada paso al entenderlo · 0/3
Inspeccionando una API REST
Una petición típica a un endpoint REST nos devuelve una respuesta limpia en formato JSON, fácil de interpretar y manipular durante un test de intrusión.
$ curl -X GET https://api.target.local/v1/users/1 -H 'Authorization: Bearer eyJhbGciOi...'
HTTP/1.1 200 OK
Content-Type: application/json
{"id": 1, "username": "admin", "role": "administrator"}
El Riesgo Oculto en SOAP
Debido a que SOAP procesa estructuras XML complejas, es históricamente vulnerable a ataques de XML External Entity (XXE) y Denegación de Servicio por bombardeo XML si el parser del servidor no está correctamente configurado.
Error del Pentester Novato
Nunca asumas que una API es segura solo porque utiliza SOAP o implementa tokens complejos. Los fallos de control de acceso a nivel de objeto roto (BOLA) ocurren exactamente igual en REST que en SOAP si la lógica de negocio está mal diseñada.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar