O que você vai encontrar
🛡️ Pentest em APIs : Segurança Ofensiva em REST e GraphQL
Entenda a superfície. Teste o comportamento. Valide a evidência.
Treinamento intermediário de segurança ofensiva em APIs, dos fundamentos de HTTP e metodologia de API Pentest até autorização, manipulação de entradas, lógica de negócio, controles e GraphQL.
🚀 Sobre o Treinamento
APIs concentram lógica de negócio, identidade, dados, integrações e operações críticas. O percurso desenvolve análise metodológica, evitando dependência de listas de payloads.
O aluno aprende a ler a comunicação, construir um workflow reproduzível, mapear a superfície, modelar comportamento, testar controles e transferir as competências para GraphQL.
Princípio central: relacionar baseline, alteração, resposta, interpretação e evidência reproduzível.
🎯 Objetivo da Formação
Ao final, o aluno deverá conduzir metodologicamente um Pentest em APIs, incluindo REST e GraphQL, validando achados e delimitando corretamente o que foi ou não comprovado.
- Interpretar requests, responses, objetos, propriedades, autenticação e estados.
- Capturar, reproduzir e modificar chamadas.
- Mapear a superfície e formular hipóteses.
- Testar autenticação, autorização, entradas, lógica e controles.
- Aplicar OWASP API Security Top 10 2023 como referência de cobertura.
- Mapear e testar GraphQL.
- Produzir evidências e findings reproduzíveis.
📚 Conteúdo Programático
| Módulo | Conteúdo |
|---|---|
| M01 : Fundamentos e Anatomia de APIs | Interpretar corretamente uma comunicação de API e explicar tecnicamente seus componentes, estados e mecanismos fundamentais antes de iniciar testes ofensivos. Conteúdos centrais: Arquitetura cliente/API/backend; Requests e responses HTTP; Métodos e status; Stateful/stateless; JSON, XML e YAML; Recursos, objetos, propriedades e endpoints. |
| M02 : Ambiente e Método de API Pentest | Capturar, reproduzir, modificar e documentar chamadas de API por um fluxo de trabalho reproduzível, preservando contexto e evidência. Conteúdos centrais: Escopo e autorização; Threat modeling inicial; DevTools; Burp Proxy e Repeater; Postman; cURL. |
| M03 : Discovery e Attack Surface Mapping | Construir um inventário tecnicamente útil da superfície de API sem depender apenas do frontend. Conteúdos centrais: Recon passivo/ativo; Tráfego e JavaScript; OpenAPI/Swagger; Métodos e content types; Endpoints ocultos; Versionamento. |
| M04 : Endpoint Analysis e Modelagem de Comportamento | Transformar endpoints em um modelo comportamental que permita formular hipóteses de segurança. Conteúdos centrais: Contrato; Reverse engineering; Baseline; Intended use; Objetos/propriedades; Ações privilegiadas. |
| M05 : Authentication, Sessions & Token Security | Compreender e testar mecanismos que estabelecem identidade e mantêm contexto autenticado. Conteúdos centrais: Authn x authz; Login/sessão; Cookies; Brute force/spraying; Reset; MFA. |
| M06 : Authorization Hacking | Identificar quando uma identidade consegue operar sobre objeto, propriedade ou função indevida. Conteúdos centrais: Ownership; BOLA; Side-channel BOLA; Roles; BFLA; Escalada horizontal/vertical. |
| M07 : Input Manipulation, Mass Assignment & Injection | Identificar entradas controláveis, formular hipóteses sobre processamento e testar comportamentos inseguros. Conteúdos centrais: Fuzzing; Parâmetros ocultos; Mass Assignment; Blind MA; Injection surface; SQLi. |
| M08 : Business Logic, Exposure & API Controls | Identificar riscos decorrentes de negócio, arquitetura, exposição e controles, não apenas payloads clássicos. Conteúdos centrais: Business logic; Sensitive flows; BOPLA exposure; Disclosure; Verbose errors; Misconfiguration. |
| M09 : GraphQL: Linguagem, Superfície e Reconhecimento | Operar uma API GraphQL suficientemente bem para mapear sua superfície antes da exploração. Conteúdos centrais: Schema; Queries; Mutations; Subscriptions; Fields/arguments; Aliases. |
| M10 : Pentest Integrado em APIs REST e GraphQL | Transferir competências anteriores para GraphQL, testar mecanismos específicos e conduzir um Pentest integrado em APIs com autonomia. Conteúdos centrais: Disclosure; Auth/authz; BOLA/BOPLA/BFLA; Injection; Query complexity; Circular queries. |
🧩 Como o Treinamento é Estruturado
A progressão acrescenta capacidades reutilizadas nos módulos seguintes.
COMPREENDER
M01 → M02
↓
MAPEAR
M03 → M04
↓
TESTAR
M05 → M06 → M07 → M08
↓
TRANSFERIR
M09
↓
INTEGRAR
M10Práticas constroem autonomia antes dos laboratórios; laboratórios consolidam capacidades já ensinadas.
🧪 Práticas e Laboratórios
| Atividade | Aplicação |
|---|---|
| Protocol Lens (M01) | Leitura técnica de requests, responses, recursos, identidade e estado por artefatos. |
| Evidence Trail (M02) | Baseline, análise diferencial, reprodutibilidade e qualidade de evidência por arquivos. |
| Surface Atlas (M03) | Discovery e Attack Surface Mapping em VM descartável. |
| Behavior Map (M04) | Baseline, comportamento diferencial e hipóteses em VM descartável. |
| Identity Chain (M05) | Autenticação, sessões, tokens e validação de impacto. |
| Boundary Matrix (M06) | BOLA, BOPLA, BFLA e matriz de autorização. |
| Input Trace (M07) | Fuzzing, Mass Assignment, injection, SSRF e SSPP. |
| Flow Control (M08) | Lógica, exposure, resource controls e Race Conditions. |
| Schema Recon (M09) | Endpoint discovery, schema, operações, relationships e subscriptions GraphQL. |
| API Assessment (M10) | Assessment integrado REST + GraphQL, findings e reteste. |
🛠️ Ferramentas e Ambientes Utilizados
| Recurso | Aplicação |
|---|---|
| DevTools | Observação de chamadas. |
| Burp Suite | Interceptação e manipulação. |
| Postman | Collections e reprodução. |
| cURL | Referência textual reproduzível. |
| Ferramentas auxiliares | Somente quando acrescentarem capacidade real. |
| Ambientes controlados | Práticas e laboratórios homologados. |
📦 Materiais de Apoio
- Artigos HTML autossuficientes.
- Matrizes e folhas de referência.
- Arquivos/datasets de prática.
- Modelos de evidência e Attack Surface Map.
- Materiais de laboratório.
- Horizonte Prodigium com referências complementares.
👥 Para Quem é Este Treinamento?
- Pentest e Red Team.
- Analistas de segurança.
- AppSec e desenvolvimento.
- Alunos com base em redes, HTTP e terminal.
🏁 Resultado Final
O aluno deverá mapear, modelar, testar, validar e documentar uma API parcialmente conhecida, incluindo GraphQL.
O objetivo é desenvolver uma forma de investigar APIs que permaneça útil quando endpoint, framework, versão ou ferramenta mudar.
Prodigium Academy : Profundidade para entender, direção para evoluir.