REST API Fuzzing

Définition

Le REST API Fuzzing (fuzzing d'APIs REST) est une technique de test de sécurité dynamique qui consiste à générer et envoyer automatiquement des milliers de requêtes avec des données inattendues, malformées, ou aléatoires vers une API REST pour découvrir des comportements non anticipés, des vulnérabilités de sécurité (injections, débordements, plantages), et des erreurs de gestion des cas limites. Le fuzzing est une approche automatisée complémentaire aux tests manuels et aux tests basés sur des cas de test prédéfinis. Le fuzzing d'API REST se distingue du fuzzing web classique par sa connaissance du format attendu des requêtes : en s'appuyant sur la spécification OpenAPI (Swagger) de l'API, les fuzzers d'API peuvent générer des mutations intelligentes des requêtes conformes au format attendu (valeurs string trop longues, entiers négatifs là où des positifs sont attendus, types incorrects, champs obligatoires manquants) plutôt que des données purement aléatoires. Cette approche "smart fuzzing" découvre plus rapidement des vulnérabilités d'application tout en réduisant le bruit. Les outils de REST API Fuzzing incluent : RESTler (Microsoft Research — génère automatiquement des séquences de requêtes depuis une spec OpenAPI, en tenant compte des dépendances entre endpoints), Schemathesis (Python — génère des tests basés sur les schémas OpenAPI/GraphQL avec Property-Based Testing via Hypothesis), Dredd (validation de conformité de l'API à sa spécification, et découverte des cas non couverts), CATS (Contract Aware Tests) — génère des tests de fuzzing d'API en Java, et OWASP ZAP avec ses extensions de fuzzing pour les APIs REST. Les types de mutations testées par les fuzzers d'API incluent : les valeurs limites (entiers MIN_INT/MAX_INT, chaînes vides, très longues, null), les injections (SQL, XSS, SSTI via les paramètres), les types incorrects (envoi d'un array où une string est attendue), les champs supplémentaires non documentés (mass assignment test), les requêtes dans un ordre inattendu (tester les pre-conditions manquantes), et les séquences de requêtes exploitant des relations entre ressources (créer puis supprimer puis accéder à une ressource supprimée).