AppScanapi登录接口postman_API测试简单谈一下API测试工具Postman

最近由于项目需求需要做 API 测试&＃xff0c;所以这里简单记录一下&＃xff0c;如果其他朋友也要用到可以做一个参考。

什么是 API 测试&＃xff1f;

API测试用于测试API收到合理参数&＃xff0c;被调用后是否能够以预期的格式返回正确的结果。在测试中尤其需要关注API对服务虚拟化是否能够作出适当的处理&＃xff1a;比如对一个不合理的输入抛出合适错误、对极端的输入也能够在可以接受的响应时间内给出正确应答或是能够妥善应对潜在安全攻击&＃xff08;如XSS攻击&＃xff09;。

API 测试包括直接针对 API 本身进行的测试和将API置于实际应用环境&＃xff0c;将API与其服务的用户逻辑一同进行集成测试两种。

此类测试包括针对表现层状态转换&＃xff08;SOAP&＃xff09;应用程序接口、Web服务&＃xff0c;企业服务总线、数据库、大型机、网页&＃xff08;及其UI&＃xff09;&＃xff0c;以及企业资源计划等相关系统的测试。

API 测试工具

目前比较流行的 API 测试工具有&＃xff1a;

• Postman
• SoapUI
• Katalon Studio

由于 Postman 支持 Linux、macOS、Windows 多平台&＃xff0c;所以我下载了 Postman 来进行测试。

Postman 下载地址&＃xff1a;

Postman 使用方法

如果你比较熟悉 burpsuite 的话&＃xff0c;Postman 应该很好上手。

Postman 左侧展示请求记录&＃xff0c;右侧是一个「浏览器」&＃xff0c;你可以通过不同的 HTTP Method 发送请求&＃xff0c;并且可以非常方便的修改包括 Params&＃xff08;参数&＃xff09;、Authorization&＃xff08;认证&＃xff09;、Header&＃xff08;头部字段&＃xff09;、Body、Pre-request&＃xff08;JS 脚本&＃xff09;等在内的数据。

自动化 API 测试

这里要特别指出的是&＃xff0c;Postman&＃xff08;Free edition&＃xff09;只是一个让你方便的构造 API 请求的工具&＃xff0c;本身并不提供 API 漏洞检测的功能&＃xff0c;那么 API 测试方法有两种&＃xff1a;

• Postman 手工测试
• Postman 搭配 Burpsuite 等工具进行自动化检测

因为 Postman 本质上就是一个浏览器&＃xff0c;所以也可以通过配置代理将请求数据发送到 Burpsuite&＃xff0c;然后通过 Burpsuite 的扫描模块进行自动化检测。

如果每个 API 请求中都包含一个一次性生成的 access_token、signature 之类的字段&＃xff0c;那么可以通过 Postman 的 Pre-request 模块中 JS 编程的动态生成&＃xff0c;也可以通过 Burpsuite 搭配格外的脚本来生成。

如何发送 Json 格式的请求&＃xff1f;

有些接口只接受 Json 格式的数据&＃xff0c;这时候我们需要调整 Postman 配置来发送 Json 格式的请求。

1. 选择 Post 请求方式&＃xff0c;同时将 header 的 content-type 设置为 application/json(如果没有就自行添加)&＃xff1a;

2. Body 选择 raw 格式&＃xff0c;右侧选择 JSON&＃xff1a;

3. 接下来就可以直接写 Json 格式的数据了&＃xff1a;

由于项目保密相关&＃xff0c;这里就不记录 API 测试实际分析的过程了&＃xff0c;今天就简单记录到这里&＃xff0c;如果你觉得文章还不错的话可以关注我或者我的专栏&＃xff0c;会定期分享一下安全类的技术文章。