Hacking APIs

Guía especializada en seguridad ofensiva y pruebas de penetración contra interfaces de programación de aplicaciones web, publicada en 2022 por No Starch Press con autoría de Corey J. Ball. Está dirigida a analistas de seguridad, profesionales de pruebas de penetración, cazadores de recompensas (bug hunters) y desarrolladores de backend de nivel intermedio que ya dominan los fundamentos de redes y peticiones HTTP, pero buscan especializarse en la identificación y explotación metódica de vulnerabilidades exclusivas en arquitecturas de APIs modernas.

El libro analiza en profundidad los estándares arquitectónicos REST, GraphQL y SOAP, relacionándolos con los vectores de ataque del OWASP API Security Top 10. Enseña a desplegar un ecosistema completo de herramientas que incluye Burp Suite, Postman, OWASP Amass, Kiterunner, ffuf, jwt_tool y Nikto para ejecutar tareas de reconocimiento activo y pasivo, fuzzing de parámetros y descubrimiento de endpoints ocultos. Asimismo, profundiza en el análisis y abuso de autenticación con tokens JWT, fallos graves de autorización como BOLA (Broken Object Level Authorization) y BFLA (Broken Function Level Authorization), manipulación por asignación masiva (Mass Assignment), exposición indebida de datos e inyecciones de comandos, SQL y NoSQL.

El aprendizaje se consolida mediante el despliegue práctico de un laboratorio local con Docker compuesto por aplicaciones deliberadamente vulnerables como crAPI (Completely Ridiculous API) y VAmPI (Vulnerable REST API), sobre las cuales el lector reproduce ataques reales paso a paso y redacta reportes formales de hallazgos. Aporta una metodología sumamente clara y aplicable a auditorías de APIs en entornos de producción que los manuales clásicos de seguridad web suelen omitir; no obstante, omite la configuración defensiva avanzada en pasarelas de API (API Gateways) y cortafuegos de aplicaciones web (WAF). Es indispensable contar con soltura en la terminal de Linux y el uso de contenedores para aprovecharlo al máximo.