35、Web API Verifier：助力物联网Web API安全测试

Web API Verifier：助力物联网Web API安全测试

1. 背景与相关工作

随着物联网的发展，越来越多的物理设备能够连接到互联网，如冰箱、自动门、风扇和空调等。然而，物联网设备面临着各种安全威胁，惠普发现70%连接到互联网的物联网设备易受各种攻击。同时，在物联网应用中，REST是构建Web API最流行的方法之一，但Web API的漏洞可能会导致敏感数据泄露、注入攻击、参数篡改和中间人攻击等严重后果。目前，在IoTtalk及其应用（如EduTalk和ScratchTalk）中，还没有有效的方法来测试Web API，因此验证Web API的安全性变得至关重要。

1.1 相关技术与工具

• 云服务与REST API ：如今，大多数云服务（如AWS和Microsoft Azure）使用REST API来访问其服务。OpenAPI（原Swagger）已成为最流行的REST API接口描述语言，其规范描述了如何通过REST API访问服务，包括API的URL规则、服务使用的方法、客户端发送的请求参数、服务的响应以及响应格式。
• Swagger Editor ：这是一个用于编写OpenAPI规范的在线编辑器。如果用户在编辑器中输入的OpenAPI定义有误，验证器会在GUI上显示错误消息。用户完成文档后，可以将其保存到本地计算机。
• RESTler-fuzzer ：这是微软开发的第一个有状态的REST API模糊测试工具，其核心技术是Fuzzing。Fuzzing是一种软件测试技术，通过反复向应用程序发送不同的输