Skip to content

Øvelse 11 – Endpointanalyse med Postman

Forfatter: Mathias Greisen

Dato: 2026-09-25

Fag/modul: IT-Sikkerhed i Webapplikationer

Status: Færdig

1. Beskrivelse af øvelsen

Brug postman til at udføre testing og endpoint analyse af crAPI og JuiceShop.

2. Reproduktion trin for trin

Jeg fulgte denne guide.

Forudsætninger

  • Postman
  • Burp Suite
  • Adgang til crAPI og Juiceshop

3. Problemer og løsninger

Jeg løb ikke ind i problemer under denne øvelse.

4. Resultater og besvarelser

  1. Why is it helpful to replicate captured requests in a structured tool like Postman?

    • Det gør det nemt at sende request igen, og endda ændre i dem for at se hvordan systemet/endpointet svarer. Det gør altså testing nemmere og hurtigere.

  2. What does the API (crAPU) allow that the frontend UI blocks? What does that imply about backend validation?

    • Det gør kun krav om at passwordet skal være mellem 6 og 100 karakterer. Webapplikationen kræver istedet mellem 8 og 16 karakterer med mindst et tal, et stort bogstav, et lille bogstav og et special tegn (#$@!%&*?).

    • Password kravene er altå meget svagere ved api endpointet.

  3. How does this workflow compare to testing via browser forms?

    • Gør testing nemmere ved at man kan køre de samme requests igen og igen, evt. med ændringer.

  4. How could automated capture help you quickly prepare for a penetration test or bug bounty?

    • Det kan hjælpe med hurtigt at danne et overblik over de forskellige endpoints og hurtigt give en mulighed for at ændre i indput for at se om man for et uforventeligt output som måske er en sårbarhed.

  5. Why might combining Postman and Burp be more powerful than using either alone?

    • Man kan ændre i requests uden at man ændrer i sine gemte postman requests.
    • Man kan se de rå http request/response, både headers, cookies, auth tokens og redirect.
    • Burp Suite har vidst nogle automatiske funktioner som f.eks. scanning af endpoints som kunne bruges. Man får også mulgihed for at intercepte og dermed pause ens requests på vejen.

  6. What advantages does Postman offer over browser-based testing?

    • Mulgiheden for at se selve responsen fra api'en samt at man kan gemme og organisere sine requests.

  7. What does the ability to bypass frontend validation suggest about API security?

    • At det faktisk er mere vigtigt end frontend validation, da man jo alligevel kan omgå validation i frontend.

  8. How can token-based authorization be manipulated during testing?

    • Man kan forsøge at ændre detaljerne i den token man har. F.eks. kunne en JWT token indeholde en rolle som man så kan forsøge at ændre.

  9. What are the risks of capturing live traffic with Interceptor or a proxy?

    • Hvis man gemmer sine sessions, så kan andre måske få utilsigtet adgang.
    • Man kan risikere at andre kan se med i den trafik man sender og modtager.
    • Man kan komme til at sende forkerte requests afsted, her vil det især være et problem hvis det er et produltionsmiljø.

  10. How can you ensure your token use and captured requests do not accidentally leak?

    • Man kan gemme den som miljøvariabel eller i postmans lokale vault. Her kan man også indtaste hvilke URL's den må bruges på / sendes til.
    • Man skal passe på med at dele skærmbilleder af sit arbejde, især hvis der er tokens osv. i den requets man deler.

  11. Could this Swagger documentation itself be considered an information disclosure risk? How might it help an attacker understand the internal structure of the application?

    • Ja, det åbner op for hurtig kortlæggelse af endpoints, datastrukturer, defaults og potentiel autorisation.
    • Det kan altså hjælpe en mulig trusselsaktør med at finde de endpoints som de mener har størst mulgihed for at have sårbarheder.
    • Det kunne f.eks. være skjulte endpoints som er blevet efterladt ved en fejl.

  12. How does Swagger documentation improve developer experience—and how might it help attackers?

    • Det hjælper developers med lettere at oprette requests til api'en og forstår både hvad data der skal sendes, og hvad man kan forvente at få retur.
    • Det kan på samme måde hjælpe en angriber med at kortlægge endpoints og måske med at finde skjulte endpoints, defaults og sårbarheder.

  13. What API security concerns can arise from public exposure of Swagger docs?

    • Det åbner f.eks. op for autmatiserede angreb, da dokumentationen kan indlæses i programmer.
    • Det giver oplysninger om potentielle autentifikationsmetoder som bruges.
    • Information om skjulte endpoints der måske ikke skulle gives informationer omkring.

  14. Was your manual Postman collection consistent with the API spec? Why or why not?

    • Altså API spec havde kun et enkelt endpoint for b2b kunder. Ved at lave en endpoint analyse af selve applikationen fandt jeg frem til mange flere endpoints.

5. Opsummering af erfaringer

Jeg har lært at oprette collections med requests i postman, samt at bruge deres browser plugin til automatisk at fange api requests og gemme dem.

Jeg har også lært at postman kan kombineres med Burp Suite som proxy. På den måde kan man stoppe, se, ændre og teste de requests man sender fra postman uden at ændre i de gemte postman requests.