Encuentra los endpoints del servidor que tu escáner no puede alcanzar

Los crawlers dinámicos descubren endpoints simulando la interacción del usuario: clics, envíos de formularios, navegación. Tres categorías de endpoints del servidor suelen escapar a este enfoque:

1  const api = "/application/iuT6ei/";
2  const remove = async (params) => {
3    if (prompt("Enter 'yes' to remove") !== "yes") return;
4    await fetch(api + "interface/remove/handle", {
5      method: "POST", body: JSON.stringify(params)
6    });
7  };
8  const removeByID = (id) => remove({ ident: id });

Estas funciones nunca se llaman en ningún lugar de la página. Ningún botón las activa. Ningún enlace las referencia. Un crawler dinámico que simule clics de usuario nunca ejecutará este código. Pero la llamada a fetch en la línea 4 referencia un endpoint activo del servidor que un escáner debería probar. En nuestra investigación encontramos este patrón exacto en un plugin de WordPress con más de 70.000 instalaciones activas.

1  class ApiClient {
2    baseURL = '/api/v2/';
3
4    async sendData(payload) {
5      await fetch(this.baseURL + 'data/ingest', {
6        method: 'POST', body: JSON.stringify(payload)
7      });
8    }
9  }

Si esta clase no se instancia en la página, la llamada a fetch de la línea 5 es invisible para los crawlers. La coincidencia de URLs por regex tampoco la encontrará — la URL está dividida entre un campo de clase y un método, y requiere resolver this.baseURL. Los escáneres de la industria probados en nuestra investigación — incluidos Acunetix, Burp Scanner, HCL AppScan, Detectify y PT BlackBox Scanner — no encontraron ningún endpoint oculto en código como este.

Estos no son casos excepcionales. En nuestras pruebas sobre cinco aplicaciones de referencia, encontramos bundles de JavaScript del lado del cliente que contenían endpoints para paneles de administración, funciones autenticadas, funciones deshabilitadas e interfaces de depuración. El código del lado del servidor detrás de estos endpoints estaba activo y era potencialmente explotable.